Dingen die je moet weten voordat je WebAuthn integreert

WebAuthn biedt een veiliger en gebruiksvriendelijker alternatief voor traditionele wachtwoorden. De populariteit ervan neemt toe, met een groeiend aantal websites dat deze technologie omarmt. Als je graag WebAuthn in je eigen website wilt integreren, ben je niet alleen. Maar als een relatief nieuwe technologie heb je waarschijnlijk veel vragen erover.

Bij het overwegen van de integratie van WebAuthn in je website of applicatie, helpt het begrijpen van deze sleutelconcepten en overwegingen je om weloverwogen beslissingen te nemen over het al dan niet implementeren ervan nu.

Wat zijn WebAuthn en Passkeys?#

Laten we de definities verduidelijken:

• Web Authentication API (WebAuthn) is een uitbreiding van de Credential Management API. Het maakt sterke authenticatie mogelijk met openbare sleutelcryptografie, waardoor wachtwoordloze en veilige multi-factor authenticatie (MFA) mogelijk is zonder de noodzaak van sms-berichten.
• Passkeys vertegenwoordigen een intrigerend WebAuthn-gebaseerd alternatief voor de conventionele "wachtwoord + tweede factor" aanpak die velen van ons hebben doorstaan. In deze context zijn passkeys een specifiek gebruiksscenario binnen de WebAuthn-standaard.

Kan ik passkey cross-device gebruiken#

Ja, je kunt een Passkey op meerdere apparaten gebruiken op twee manieren:

1. Synchroniseren via wachtwoordmanagers: Populaire wachtwoordmanagers zoals iCloud Keychain, Google Password Manager en 1Password stellen je in staat om p te synchroniseren. Passkeys gemarkeerd als "cross-platform" in de registratie-antwoords, zoals GitHub's "synced" label, kunnen op verschillende apparaten worden gebruikt.
2. QR-code en Bluetooth: Een andere benadering is het gebruik van QR-codes en Bluetooth om in te loggen vanaf een ander apparaat. Deze methode biedt flexibiliteit voor gebruikers om toegang te krijgen tot hun accounts op verschillende platforms.

Kan het de enige authenticatiemethode zijn#

Absoluut, WebAuthn is een zeer veilige authenticatiefactor. De Passkey bevat een "user ID" en tijdens de authenticatie ontvangt de server de geverifieerde "user ID" als de identificator. Deze "user ID" kan een universeel unieke identifier (UUID) zijn of andere unieke identifiers zoals e-mail, telefoonnummer of gebruikersnaam. Gebruikers kunnen ervoor kiezen om eerst hun "user ID" in te voeren en vervolgens te zoeken naar een geldige Passkey of een Passkey te selecteren uit een lijst die is gekoppeld aan het huidige domein.

Hoe is de compatibiliteit vandaag de dag#

WebAuthn kan worden gebruikt in een beveiligde context (HTTPS) en wordt ondersteund in de nieuwste versies van de meeste browsers. Voor gedetailleerde compatibiliteitsinformatie, raadpleeg de MDN-documentatie.

Domein is de sleutelidentifier van passkey#

In WebAuthn-acties, of het nu gaat om registratie of authenticatie, is de "rp ID" (relying party ID) een verplicht veld. Het vertegenwoordigt de domeinnaam van de huidige webpagina. Als het niet overeenkomt met het huidige domein, zal de browser het verzoek afwijzen. Dit betekent dat passkeys gebonden zijn aan een specifiek domein en er momenteel geen manier is om bestaande passkeys naar een ander domein te migreren. Bovendien kunnen passkeys niet worden gebruikt op verschillende domeinen. Voor meer details, zie dit issue.

Vergelijken met authenticator-app (TOTP)#

Het vergelijken van WebAuthn met traditionele tweefactorauthenticatiemethoden, zoals tijdgebaseerde eenmalige wachtwoorden (TOTP) en authenticator-apps, onthult verschillende voordelen. WebAuthn biedt een gebruiksvriendelijkere en veiligere authenticatie-ervaring. In tegenstelling tot TOTP, dat handmatige invoer van een voortdurend veranderende code vereist, of Authenticator-apps die gecompromitteerd kunnen worden als het apparaat wordt gestolen, vertrouwt WebAuthn op veilige hardware en biometrie voor een naadloos en robuust authenticatieproces.

Het is echter belangrijk op te merken dat TOTP nog steeds zijn voordelen heeft, zoals eenvoudige back-up en gebruik op meerdere apparaten, waardoor het compatibel is met bijna alle apparaten.

Conclusie#

WebAuthn is ongetwijfeld spannend, maar zoals elke baanbrekende technologie is het essentieel om een ​​grondig begrip te krijgen voordat je het omarmt. Dit artikel is bedoeld om je de kennis te geven die nodig is om weloverwogen beslissingen te nemen over de integratie van WebAuthn. Terwijl je de potentiële voordelen overweegt, onthoud dat goed geïnformeerd blijven je sleutel tot succes is. Trouwens, blijf op de hoogte, want Logto's volgende grote functie zal WebAuthn ondersteunen, waardoor nog meer mogelijkheden worden geboden voor naadloze en veilige authenticatie.