Pengesahan Tanpa Kata Laluan: WebAuthn dan FIDO2

FIDO2 ialah istilah umum bagi spesifikasi Pengesahan Web W3C (WebAuthn) yang digabungkan dengan Protokol Klien kepada Pengesah 2 (CTAP2) milik Perikatan FIDO. Kedua-duanya mentakrifkan sistem pengesahan tanpa kata laluan yang lengkap menggunakan kriptografi kunci awam yang diikat pada asal pihak yang bergantung.

FIDO2 menyokong dua kategori pengesah. Pengesah platform terbina dalam peranti: Touch ID dan Face ID pada peranti Apple, serta Windows Hello pada Windows. Pengesah perayauan ialah token perkakasan luaran: YubiKey, Google Titan Key dan kunci Feitian. Kesemuanya menggunakan kriptografi kunci awam dan menjana pernyataan pengesahan.

Semasa pendaftaran WebAuthn, pengesah menjana pasangan kunci asimetri baharu untuk pihak yang bergantung. Kunci awam dihantar kepada pelayan dan disimpan. Kunci persendirian tidak pernah meninggalkan pengesah. Pernyataan pengesahan membuktikan jenis pengesah dan bahawa kunci itu dijana di dalam perkakasan pengesah.

Semasa pengesahan WebAuthn, pelayan menghantar cabaran kepada klien. Pengesah menandatangani cabaran itu bersama ID pihak yang bergantung dan data klien menggunakan kunci persendirian yang disimpan. Pelayan mengesahkan tandatangan tersebut dengan kunci awam yang disimpan. Tiada rahsia dikongsi dihantar pada bila-bila masa.

ID pihak yang bergantung dalam pernyataan WebAuthn diikat secara kriptografi pada asal (domain) halaman yang membuat permintaan. Pengesah akan menolak untuk menandatangani pernyataan bagi asal yang berbeza daripada asal tempat ia didaftarkan. Hal ini menjadikan WebAuthn tahan terhadap pancingan data melalui reka bentuknya: laman pancingan data palsu tidak dapat melengkapkan pengesahan.

Kelayakan boleh ditemui (dahulunya kunci residen) disimpan pada pengesah itu sendiri dan diindeks mengikut ID pihak yang bergantung. Hal ini membolehkan aliran tanpa kata laluan sebenar: pengguna mengemukakan pengesah mereka, memilih akaun daripada kelayakan yang disimpan pada peranti, kemudian mengesahkan diri tanpa memasukkan nama pengguna atau kata laluan.

WebAuthn membezakan antara pengesahan pengguna (UV) dengan kehadiran pengguna (UP). Kehadiran pengguna hanya memerlukan pengguna menyentuh atau mengetik pengesah. Pengesahan pengguna turut memerlukan semakan PIN atau biometrik, yang membuktikan individu tertentu benar-benar hadir. Aplikasi berkeselamatan tinggi hendaklah mewajibkan UV untuk pengesahan.

CTAP2 mentakrifkan protokol antara klien (pelayar atau OS) dengan pengesah perayauan luaran melalui USB, NFC atau BLE. Protokol ini menentukan perintah untuk penciptaan kelayakan, penjanaan pernyataan dan pengurusan pengesah. CTAP2.1 menambah ciri seperti pengurusan kelayakan dan dasar UV sentiasa aktif.

Kunci laluan ialah kelayakan WebAuthn boleh ditemui yang disegerakkan merentas peranti pengguna melalui awan disulitkan milik pembekal platform (iCloud Keychain untuk Apple, Google Password Manager dan Windows Hello for Business). Kunci laluan menyediakan pengesahan tanpa kata laluan dengan ketersediaan merentas peranti, sekali gus menggabungkan keselamatan dengan kemudahan yang biasa dijangka pengguna daripada kata laluan.

Aliran pengesahan kunci laluan yang biasa adalah seperti berikut: pengguna melawati laman web dan mengklik "Log masuk dengan kunci laluan." Pelayar memaparkan kunci laluan yang tersedia untuk laman tersebut. Pengguna mengesahkan diri menggunakan biometrik (Face ID, Touch ID atau Windows Hello). Pelayar menandatangani cabaran dan menghantar pernyataan. Keseluruhan aliran ini mengambil masa beberapa saat tanpa memasukkan kata laluan.

Kata laluan tradisional: mudah menjadi sasaran pancingan data, boleh digunakan semula dan boleh dipecahkan melalui kebocoran pangkalan data. Kod OTP (TOTP): boleh dipancing secara masa nyata. Kod SMS: terdedah kepada pertukaran SIM dan pancingan data. WebAuthn/kunci laluan: tahan terhadap pancingan data melalui pengikatan asal, tiada rahsia pada pelayan untuk dicuri, unik bagi setiap laman dan menggunakan kunci persendirian yang dilindungi perkakasan. WebAuthn ialah mekanisme pengesahan paling kukuh yang digunakan secara meluas dan tersedia pada hari ini.

FIDO2 menggabungkan WebAuthn (W3C) dan CTAP2 (Perikatan FIDO) untuk pengesahan tanpa kata laluan yang tahan terhadap pancingan data. Pengesah platform (Touch ID, Face ID) dan pengesah perayauan (YubiKey) menggunakan kriptografi kunci awam yang diikat pada asal pihak yang bergantung. Kunci laluan mengembangkan keupayaan ini dengan penyegerakan merentas peranti. WebAuthn menyediakan keselamatan pengesahan paling kukuh yang tersedia secara meluas pada hari ini.