WebAuthn 无密码身份认证

原创

已于 2024-06-14 14:06:36 修改 · 3w 阅读

13 ·

CC 4.0 BY-SA版权

文章标签：

#网络安全 #spring boot #javascript #经验分享

于 2024-05-01 08:00:00 首次发布

WebAuthn是一种由FIDO联盟和W3C制定的公钥身份验证标准，通过使用生物识别或硬件密钥提高网络安全性，尤其在解决密码安全问题和双因素认证方面。本文详细介绍了其工作原理、组成部分、实现架构以及在各种场景下的应用，包括WindowsHello和TouchID等。

在这里插入图片描述

文章目录

WebAuthn简介
工作原理
组成部分
架构实现
注册认证
应用场景
案例演示

WebAuthn简介

WebAuthn，全称 Web Authentication，是由 FIDO 联盟（Fast IDentity Online Alliance）和 W3C（World Wide Web Consortium）联合制定的一套新的身份认证标准，旨在为网络身份验证提供一种更强大、更安全的方式，使用户能够使用他们的设备（如手机、USB 密钥或生物识别器）来进行身份验证，而无需使用密码。该项目的目标是标准化用户对基于 Web 的应用程序和服务的公钥认证的接口。

WebAuthn 使用 asymmetric（public-key）cryptography（不对称加密）替代密码或SMS文本在网站上注册，验证，second-factor authentication（双因素验证）解决了phishing（钓鱼），data breaches（数据破坏），SMS 文本攻击，其他双因素验证等重大安全问题，同时显著提高易用性（因为用户不必管理许多越来越复杂的密码）。

WebAuthn 支持的生物验证方式包括：笔记本电脑的指纹识别和面部识别、安卓设备的指纹识别。追求高安全的用户还可额外购买兼容FIDO的实体安全密钥，FIDO完整支持包括：指纹识别、面部识别、虹膜识别、声音识别、实体密钥（USB连接、蓝牙连接、NFC连接），支持设备系统包括：Windows 、Linux、Mac OS、Android、IOS、智能手表等。

注：FIDO 联盟是一个非营利性组织，由 Google、微软、苹果、三星、高通、芯片厂商、支付公司、银行、电信运营商、认证公司等组成，旨在为用户提供更安全、更简单的身份验证体验。

工作原理

WebAuthn 的原理并不复杂，它的核心是基于公钥的加密技术。在 WebAuthn 中，用户的身份认证是通过公钥和私钥来实现的。这很像我们平常使用配置了公私钥的 SSH 登录服务器的过程，只不过 WebAuthn 是在浏览器中实现的。

组成部分

WebAuthn 由以下三个组成部分组成：

用户代理（User Agent）：用户代理是指浏览器或者其他支持 WebAuthn 的客户端，它负责与用户进行交互，收集用户的身份认证信息，并将其发送给服务器。
身份验证器（Authenticator）：身份验证器是指用于生成公钥和私钥的设备，如手机、USB 密钥或生物识别器。Windows Hello 和 macOS 的 Touch ID 也都是常见的身份验证器。
Re