WebAuthn (вебавтентифікація) — це вебстандарт, оприлюднений консорціумом World Wide Web (W3C). WebAuthn є основним складником проєкту FIDO2 під керівництвом Альянсу . Метою проєкту є стандартизація інтерфейсу для автентифікації користувачів до вебзастосунків і служб за допомогою криптографії з публічним ключем (асиметричну криптосистему).
На стороні клієнта підтримка WebAuthn може бути реалізована різними способами. Основні криптографічні операції виконуються за допомогою автентифікатора, який є абстрактною функціональною моделлю, яка в основному агностична стосовно того, як керується ключовий матеріал. Це дозволяє реалізувати підтримку WebAuthn виключно в програмному забезпеченні, використовуючи процесорів або модуль Trusted Platform Module (TPM). Чутливі криптографічні операції також можуть бути вивантажені на апаратний портативний автентифікатор, до якого, своєю чергою можна звертатися через USB, Bluetooth з низьким енергоспоживанням або Near-field communication (NFC). Апаратний автентифікатор роумінгу відповідає протоколу FIDO , робить WebAuthn дієво зворотно суміснісним зі стандартом FIDO Universal 2nd Factor (U2F).
Подібно застарілому U2F, Web Authentication є стійким до «верифікатора-перевертня» (), тобто стійким до атаки «людина посередині»,, але на відміну від U2F, WebAuthn не вимагає традиційного пароля. Крім того, автентифікатор апаратного забезпечення для роумінгу стійкий до зловмисного програмного забезпечення, оскільки матеріал приватного ключа не доступний у будь-який час для програмного забезпечення, що працює на хост-машині.
Стандарт WebAuthn Level 1 був опублікований як «Рекомендація W3C» від 4 березня 2019. Специфікація 2-го рівня знаходиться на стадії розробки.
Примітки
Посилання
Вебавтентифікація: API для доступу до облікових даних відкритого ключа 1-го рівня Робоча група вебперевірки автентичності API вебавтентифікації на MDN