WebAuthn
WebAuthn er nettleserens API for innlogging med offentlige nøkler. Serveren må kontrollere svaret før den godtar innloggingen.
Bruk offentlige nøkler i nettleseren
WebAuthn er et nettleser-API for å registrere og bruke kryptografiske innloggingsmidler med offentlige nøkler. Passkeys bruker dette grensesnittet på nettet. Registrering skjer via navigator.credentials.create(), og senere innlogging via navigator.credentials.get(). API-et krever en sikker kontekst, vanligvis HTTPS ved ordinær webdrift.
Serverkontroll er en del av innloggingen
En fiktiv prosjektportal lager en ny, tilfeldig challenge for et innloggingsforsøk. Nettleseren sørger for at det lages et signert svar. Identifikatoren rpId knytter handlingen til den tiltenkte tjenesten. Portalserveren kontrollerer blant annet signaturen med den lagrede offentlige nøkkelen, forventet challenge og tilknytningen til tjenesten. Også forventet origin, altså nettstedets protokoll, vertsnavn og port, inngår i kontrollen.
Objektet nettleseren returnerer, er derfor ikke i seg selv vellykket tilgang til portalen. Applikasjonen godtar innloggingen først etter serverkontrollen. I denne portalen gir en avbrutt dialog ingen bekreftet innlogging; grensesnittet må vise denne tilstanden forståelig.
WebAuthn organiserer verken synkronisering mellom enheter eller gjenoppretting av mistet kontotilgang. Disse forløpene krever egne beslutninger. Etter vellykket innlogging kontrollerer serveren fortsatt hvilke prosjekter kontoen kan åpne eller endre.
Kilder
Beslektede begreper
- PasskeyEn passkey gir innlogging med et tjenestebundet nøkkelpar. Enhetsbytte, kontogjenoppretting og rettigheter må fortsatt håndteres separat.
- HttpOnly-informasjonskapselHttpOnly hindrer skript i direkte tilgang til informasjonskapselen. Passende forespørsler kan fortsatt sende den; sesjon og rettigheter må kontrolleres.
- Same-origin-policy (SOP)Same-origin-policyen begrenser nettlesertilgang mellom ulike origins. En annen sidesti skaper ikke i seg selv en ny origin.
- Prinsippet om minste privilegiumPrinsippet begrenser rettigheter til den nødvendige oppgaven og dens dataområde. Nødvendig arbeid er mulig; overflødige fullmakter fjernes.
- Attributtbasert tilgangskontrollABAC vurderer tilgang ut fra definerte egenskaper og regler. Egenskapenes kilde og aktualitet er en del av utformingen.
- Rollebasert tilgangskontrollRBAC knytter rettigheter til roller og tildeler personer disse rollene. Dataområdet må være tydelig i tillegg til rollenavnet.
Ditt prosjekt med ASES
Beskriv prosjektet ditt for oss. Vi tar kontakt med en første vurdering.