Как работает технология WebAuthn?

Технология WebAuthn позволяет аутентифицироваться без паролей. www.pingidentity.com www.securitylab.ru В основе протокола лежит асимметричная криптография (криптография с открытым ключом). blog.logto.io docs.uidm.ru

Процесс аутентификации включает несколько этапов: blog.logto.io

1. Генерация пары ключей. blog.logto.io Пользовательский агент создаёт пару ключей «публичный-приватный». blog.logto.io Публичный ключ передаётся доверенной стороне, а личный ключ надёжно хранится в аутентификаторе пользователя. blog.logto.io
2. Вызов аутентификации. blog.logto.io Когда пользователь пытается войти в систему, доверенная сторона отправляет вызов аутентификации пользовательскому агенту. blog.logto.io
3. Проверка пользователя. blog.logto.io Пользовательский агент отправляет вызов аутентификатору, который взаимодействует с пользователем для проверки (например, биометрия или нажатие кнопки). blog.logto.io
4. Криптографическая подпись. blog.logto.io Аутентификатор использует свой личный ключ для подписи вызова, создавая криптографическую подпись. blog.logto.io
5. Проверка и доступ. blog.logto.io Пользовательский агент проверяет подпись с использованием открытого ключа и информирует доверенную сторону об успешной аутентификации. blog.logto.io Доступ предоставляется. blog.logto.io

В процессе WebAuthn участвуют четыре основные сущности: blog.logto.io

1. Пользователь. blog.logto.io Лицо, которое регистрируется или аутентифицируется в веб-приложении с использованием WebAuthn. blog.logto.io
2. Пользовательский агент. blog.logto.io Веб-браузер, который обрабатывает вызовы API WebAuthn и управляет процессом аутентификации между всеми различными сторонними участниками и аутентификаторами. blog.logto.io
3. Доверенная сторона. blog.logto.io Веб-сервис или приложение, к которому пользователь пытается получить доступ. blog.logto.io Пользователь взаимодействует с доверенной стороной через пользовательский агент. blog.logto.io
4. Аутентификатор. blog.logto.io Аппаратный компонент, находящийся в распоряжении пользователя для проверки его личности. blog.logto.io Он может принимать различные формы в зависимости от платформы или возможностей браузера, такие как ключи безопасности, телефоны или планшеты, биометрические устройства или PIN-коды и т. д.. blog.logto.io