Uwierzytelnianie bez haseł: WebAuthn i FIDO2

FIDO2 to ogólny termin obejmujący specyfikację Web Authentication organizacji W3C (WebAuthn) połączoną z protokołem Client-to-Authenticator Protocol 2 (CTAP2) organizacji FIDO Alliance. Razem definiują kompletny system uwierzytelniania bez haseł, wykorzystujący kryptografię klucza publicznego powiązaną z originem strony ufającej.

FIDO2 obsługuje dwie kategorie uwierzytelniających urządzeń. Uwierzytelniające urządzenia platformowe są wbudowane w urządzenie: Touch ID i Face ID na urządzeniach Apple oraz Windows Hello w systemie Windows. Uwierzytelniające urządzenia roamingowe to zewnętrzne tokeny sprzętowe: YubiKey, Google Titan Key i klucze Feitian. Wszystkie wykorzystują kryptografię klucza publicznego i generują oświadczenia atestacyjne.

Podczas rejestracji WebAuthn uwierzytelniające urządzenie generuje nową parę kluczy asymetrycznych dla strony ufającej. Klucz publiczny jest wysyłany do serwera i zapisywany. Klucz prywatny nigdy nie opuszcza uwierzytelniającego urządzenia. Oświadczenie atestacyjne potwierdza typ uwierzytelniającego urządzenia oraz to, że klucz został wygenerowany wewnątrz jego sprzętu.

Podczas uwierzytelniania WebAuthn serwer wysyła wyzwanie do klienta. Uwierzytelniające urządzenie podpisuje wyzwanie wraz z identyfikatorem strony ufającej i danymi klienta, używając zapisanego klucza prywatnego. Serwer weryfikuje podpis za pomocą zapisanego klucza publicznego. W żadnym momencie nie jest przesyłany współdzielony sekret.

Identyfikator strony ufającej w asercji WebAuthn jest kryptograficznie powiązany z originem (domeną) żądającej strony. Uwierzytelniające urządzenie odmówi podpisania asercji dla innego originu niż ten, z którym zostało zarejestrowane. Dzięki temu WebAuthn jest z założenia odporne na phishing: fałszywa strona phishingowa nie może ukończyć uwierzytelniania.

Wykrywalne poświadczenia (dawniej nazywane kluczami rezydentnymi) są przechowywane na samym uwierzytelniającym urządzeniu i indeksowane według identyfikatora strony ufającej. Umożliwia to prawdziwe uwierzytelnianie bez hasła: użytkownik przedstawia swoje uwierzytelniające urządzenie, wybiera konto spośród poświadczeń zapisanych na urządzeniu i uwierzytelnia się bez podawania nazwy użytkownika ani hasła.

WebAuthn rozróżnia weryfikację użytkownika (UV) i obecność użytkownika (UP). Obecność użytkownika wymaga jedynie dotknięcia lub stuknięcia w uwierzytelniające urządzenie. Weryfikacja użytkownika wymaga dodatkowo podania kodu PIN lub sprawdzenia biometrycznego, co potwierdza obecność konkretnej osoby. Aplikacje o wysokich wymaganiach bezpieczeństwa powinny wymagać UV podczas uwierzytelniania.

CTAP2 definiuje protokół komunikacji między klientem (przeglądarką lub systemem operacyjnym) a zewnętrznym uwierzytelniającym urządzeniem roamingowym przez USB, NFC lub BLE. Określa polecenia służące do tworzenia poświadczeń, generowania asercji i zarządzania uwierzytelniającym urządzeniem. CTAP2.1 dodaje funkcje takie jak zarządzanie poświadczeniami oraz zasady always-UV.

Passkeys to wykrywalne poświadczenia WebAuthn, które synchronizują się między urządzeniami użytkownika za pośrednictwem szyfrowanej chmury dostawcy platformy (iCloud Keychain w przypadku Apple, Google Password Manager oraz Windows Hello for Business). Passkeys zapewniają uwierzytelnianie bez hasła i dostępność na różnych urządzeniach, łącząc bezpieczeństwo z wygodą oczekiwaną przez użytkowników korzystających z haseł.

Typowy przebieg uwierzytelniania za pomocą passkey: użytkownik odwiedza witrynę i klika „Zaloguj się za pomocą passkey”. Przeglądarka wyświetla dostępne passkeys dla tej witryny. Użytkownik uwierzytelnia się biometrycznie (Face ID, Touch ID, Windows Hello). Przeglądarka podpisuje wyzwanie i wysyła asercję. Cały proces trwa kilka sekund i nie wymaga wpisywania hasła.

Tradycyjne hasła: podatne na phishing, wielokrotnego użytku i możliwe do złamania w wyniku wycieków baz danych. Kody OTP (TOTP): podatne na phishing w czasie rzeczywistym. Kody SMS: podatne na przejęcie przez wymianę karty SIM oraz na phishing. WebAuthn/passkeys: odporne na phishing dzięki powiązaniu z originem, bez sekretu po stronie serwera, który można wykraść, unikatowe dla każdej witryny i chronione sprzętowo klucze prywatne. WebAuthn to obecnie najsilniejszy powszechnie wdrożony mechanizm uwierzytelniania.

FIDO2 łączy WebAuthn (W3C) i CTAP2 (FIDO Alliance), zapewniając odporne na phishing uwierzytelnianie bez haseł. Uwierzytelniające urządzenia platformowe (Touch ID, Face ID) i roamingowe (YubiKey) wykorzystują kryptografię klucza publicznego powiązaną z originem strony ufającej. Passkeys rozszerzają te możliwości o synchronizację między urządzeniami. WebAuthn zapewnia obecnie najsilniejszą powszechnie dostępną ochronę uwierzytelniania.