Obtenha uma compreensão abrangente do WebAuthn, incluindo o seu conceito, fluxo de trabalho, razões da sua popularidade e os desafios associados.
WebAuthn está entre os autenticações mais seguras nos padrões NIST AAL. Introduzido em 2013, é agora a escolha preferida das empresas para autenticação. No entanto, a sua adoção ainda não é generalizada, levando a muitas perguntas sobre WebAuthn e Chaves de Acesso. Vamos mergulhar no que deves saber.
| FIDO Alliance | A FIDO Alliance é uma organização que fornece padrões de autenticação sem senha, seguros e de código aberto, incluindo UAF, U2F e FIDO2. |
| FIDO2 | O FIDO2 é um conjunto de padrões para autenticação online segura, desenvolvido pela FIDO Alliance. FIDO2 compreende dois componentes principais: WebAuthn para logins sem senha e CTAP para comunicação segura de dispositivos. |
| Chave de Acesso | Uma chave de acesso é uma credencial à prova de phishing baseada em FIDO para substituir senhas.
|
| WebAuthn | WebAuthn, uma API em JavaScript desenvolvida pela W3C e FIDO Alliance, capacita aplicações web a autênticar com padrões FIDO2. A chave de acesso é um dos métodos de autenticação suportados por WebAuthn. |
Basicamente, podes conhecer as 4 entidades principais envolvidas no fluxo de WebAuthn.
Utilizador: A pessoa que se inscreve ou autentica na aplicação web usando WebAuthn.
Agente do Utilizador: O navegador web que lida com as chamadas da API WebAuthn, e gere o processo de autenticação entre todas as partes confiáveis e autenticadores diferentes.
Parte Confiável: O teu serviço web ou aplicação que o utilizador está a tentar aceder. O utilizador interage com a Parte Confiável através do Agente do Utilizador.
Autenticador: O componente de hardware que o utilizador possui para verificar a identidade do mesmo. Pode assumir várias formas com base na capacidade da plataforma ou navegador, como chaves de segurança (como Yubikeys), telemóveis ou tablets (conectados por Bluetooth, NFC ou USB), biometria baseada em dispositivo ou PINs, etc.
A criptografia assimétrica de chave pública é o processo central.
Para elaborar, divide-se em fases de inscrição e autenticação.
O fluxo de inscrição do WebAuthn:
O fluxo de autenticação do WebAuthn:
Tens a opção de escolher entre múltiplos autenticadores para uma flexibilidade adicional. Estes autenticadores vêm em dois tipos, para uso tanto local quanto na cloud, e podes habilitar um ou ambos para o teu serviço.
O autenticador de plataforma está vinculado a um único e específico sistema operativo do dispositivo, como um computador, laptop, telefone ou tablet, com o qual o utilizador faz login. Funciona exclusivamente no dispositivo para autorização usando métodos como biometria ou um código de acesso do dispositivo. É uma maneira rápida de autenticar, especialmente com biometria, e pode substituir a necessidade de digitação manual de senhas. No entanto, se o utilizador perder o dispositivo, pode se tornar uma barreira de acesso. Por exemplo:
O autenticador itinerante é um dispositivo ou aplicação de software separado e portátil, como uma chave de segurança de hardware ou um smartphone. Deve ligar o dispositivo usando USB ou manter NFC ou Bluetooth ativo. O autenticador itinerante não se limita a um único dispositivo ou navegador, proporcionando maior flexibilidade. Por exemplo:
Segurança de alta garantia é essencial para proteger recursos empresariais. Isto é alcançado através das seguintes medidas:
WebAuthn melhora a segurança enquanto eleva a experiência de verificação sem senha do utilizador:
Alguns navegadores ou plataformas não suportam WebAuthn de todo ou não têm suporte para autenticadores itinerantes. Embora as estatísticas atuais do Caniuse mostrem um bom suporte, com uma cobertura de 97,37% em plataformas de desktop e 96,3% em plataformas móveis, ainda existem variações em diferentes versões de navegadores e sistemas operativos. Por exemplo, o Linux Desktop não suporta autenticadores de plataforma, o Android suporta WebAuthn apenas no Chrome, e o Internet Explorer no MacOS não suporta WebAuthn. Isto obriga os administradores a pedirem aos membros para usarem escolhas específicas de navegador ou SO, ou configurar outros métodos alternatives de MFA.
Particularmente para utilizadores que dependem de "Este dispositivo" autenticadores de plataforma, a perda do dispositivo pode resultar na perda de acesso às suas contas. A recuperação de conta pode ser um processo trabalhoso. Para mitigar este risco, é aconselhável que os utilizadores vinculem simultaneamente outros métodos de autenticação de backup ao configurar WebAuthn.
Muitos serviços e aplicações ainda não oferecem suporte para chaves de acesso. Os utilizadores muitas vezes não têm familiaridade com vários métodos de autenticação e podem não compreender plenamente as distinções e limitações entre Autenticadores de Plataforma e Autenticadores Itinerantes. No entanto, os principais sistemas, navegadores e serviços SaaS estão a adotar cada vez mais o WebAuthn, tornando-se uma tendência crescente que tanto empresas quanto utilizadores estão começando a adotar.
Logto está a preparar-se para lançar a MFA (Autenticação Multifatorial) em novembro. A fase inicial suportará três métodos de verificação: Aplicativo autenticador TOTP, WebAuthn(Chave de Acesso), e códigos de backup, oferecendo uma solução abrangente de login e inscrição. Continuaremos a desenvolver recursos avançados relacionados ao WebAuthn. Esperamos pela sua experiência e convidamos-te a ficar atento no Product Hunt para o lançamento do próximo MFA.