Аутентификация без пароля: WebAuthn и FIDO2

FIDO2 — это обобщающий термин для спецификации веб-аутентификации W3C (WebAuthn), объединённой с протоколом взаимодействия клиента с аутентификатором 2 (CTAP2) Альянса FIDO. Вместе они определяют полноценную систему беспарольной аутентификации с использованием криптографии с открытым ключом, связанной с источником доверяющей стороны.

FIDO2 поддерживает две категории аутентификаторов. Платформенные аутентификаторы встроены в устройство: Touch ID и Face ID на устройствах Apple, Windows Hello в Windows. Перемещаемые аутентификаторы представляют собой внешние аппаратные токены: YubiKey, Google Titan Key, ключи Feitian. Все они используют криптографию с открытым ключом и формируют аттестационные утверждения.

Во время регистрации WebAuthn аутентификатор создаёт новую асимметричную пару ключей для доверяющей стороны. Открытый ключ отправляется на сервер и сохраняется. Закрытый ключ никогда не покидает аутентификатор. Аттестационное утверждение подтверждает тип аутентификатора и то, что ключ был создан внутри аппаратного обеспечения аутентификатора.

Во время аутентификации WebAuthn сервер отправляет клиенту запрос. Аутентификатор подписывает запрос вместе с идентификатором доверяющей стороны и данными клиента, используя сохранённый закрытый ключ. Сервер проверяет подпись с помощью сохранённого открытого ключа. Общий секрет ни на одном этапе не передаётся.

Идентификатор доверяющей стороны в утверждении WebAuthn криптографически связан с источником (доменом) запрашивающей страницы. Аутентификатор откажется подписывать утверждение для источника, отличного от того, с которым он был зарегистрирован. Благодаря самой своей конструкции WebAuthn устойчив к фишингу: поддельный фишинговый сайт не сможет завершить аутентификацию.

Обнаруживаемые учётные данные (ранее — резидентные ключи) хранятся непосредственно в аутентификаторе и индексируются по идентификатору доверяющей стороны. Это обеспечивает настоящие беспарольные сценарии: пользователь предъявляет свой аутентификатор, выбирает свою учётную запись среди данных, сохранённых на устройстве, и проходит аутентификацию без ввода имени пользователя или пароля.

WebAuthn различает проверку пользователя (UV) и присутствие пользователя (UP). Для подтверждения присутствия пользователю достаточно прикоснуться к аутентификатору. Проверка пользователя дополнительно требует ввода PIN или биометрической проверки, подтверждая личность конкретного пользователя. Для аутентификации в приложениях с высокими требованиями к безопасности следует требовать UV.

CTAP2 определяет протокол взаимодействия между клиентом (браузером или OS) и внешним перемещаемым аутентификатором через USB, NFC или BLE. Он задаёт команды для создания учётных данных, формирования утверждений и управления аутентификатором. CTAP2.1 добавляет такие возможности, как управление учётными данными и политики обязательной проверки UV.

Ключи доступа — это обнаруживаемые учётные данные WebAuthn, которые синхронизируются между устройствами пользователя через зашифрованное облако поставщика платформы (Связка ключей iCloud для Apple, Менеджер паролей Google, Windows Hello для бизнеса). Ключи доступа обеспечивают беспарольную аутентификацию с доступностью на разных устройствах, сочетая безопасность с удобством, которого пользователи ожидают от паролей.

Типичный сценарий аутентификации с ключом доступа: пользователь открывает веб-сайт и нажимает «Войти с помощью ключа доступа». Браузер показывает доступные для сайта ключи доступа. Пользователь проходит биометрическую аутентификацию (Face ID, Touch ID, Windows Hello). Браузер подписывает запрос и отправляет утверждение. Весь процесс занимает несколько секунд и не требует ввода пароля.

Традиционные пароли: уязвимы к фишингу, могут использоваться повторно, поддаются взлому при утечках баз данных. Одноразовые коды OTP (TOTP): уязвимы к фишингу в реальном времени. Коды SMS: уязвимы к замене SIM-карты и фишингу. WebAuthn и ключи доступа: устойчивы к фишингу благодаря привязке к источнику, на сервере нет секрета для кражи, они уникальны для каждого сайта, а закрытые ключи защищены аппаратно. WebAuthn — самый надёжный широко внедрённый механизм аутентификации, доступный сегодня.

Какое свойство WebAuthn делает его принципиально устойчивым к фишинговым атакам, в отличие от паролей или кодов TOTP?

FIDO2 объединяет WebAuthn (W3C) и CTAP2 (Альянс FIDO) для устойчивой к фишингу беспарольной аутентификации. Платформенные аутентификаторы (Touch ID, Face ID) и перемещаемые аутентификаторы (YubiKey) используют криптографию с открытым ключом, связанную с источником доверяющей стороны. Ключи доступа расширяют эту возможность синхронизацией между устройствами. WebAuthn сегодня обеспечивает самый высокий уровень безопасности среди широко доступных механизмов аутентификации.