WebAuthn

Tarayıcıda açık anahtar kullanmak

WebAuthn, açık anahtarlı kriptografik giriş bilgilerinin kaydı ve kullanımı için tarayıcı API’sidir. Passkey’ler webde bu arayüzü kullanır. Kayıt navigator.credentials.create(), sonraki giriş ise navigator.credentials.get() üzerinden yapılır. API güvenli bir bağlam gerektirir; normal web işletiminde bu genellikle HTTPS’tir.

Sunucu kontrolü girişin parçasıdır

Kurgusal bir proje portalı her giriş denemesi için yeni, rastgele bir challenge üretir. Tarayıcı bu istek için imzalı yanıt oluşturulmasını sağlar. rpId tanımlayıcısı işlemi hedef hizmete bağlar. Portal sunucusu, diğer kontrollerin yanında kayıtlı açık anahtarla imzayı, beklenen challenge değerini ve hizmet bağlantısını kontrol eder. Sitenin protokol, ana makine adı ve portundan oluşan beklenen origin de kontrole dahildir.

Bu nedenle tarayıcının döndürdüğü nesne tek başına portala başarılı erişim anlamına gelmez. Uygulama girişi ancak sunucudaki kontrolden sonra kabul eder. Bu portalda iptal edilen iletişim kutusu onaylanmış giriş oluşturmaz; arayüz bu durumu anlaşılır biçimde göstermelidir.

WebAuthn, cihazlar arası eşitlemeyi veya kayıp hesap erişiminin kurtarılmasını düzenlemez. Bu akışlar ayrıca kararlaştırılmalıdır. Başarılı girişten sonra da sunucu, hesabın hangi projeleri açabileceğini veya değiştirebileceğini kontrol eder.

Kaynaklar

• MDN — Web Authentication API

• MDN — Passkeys