seostock
12.04.2018, 12:46
Консорциум W3C (World Wide Web Consortium, Консорциум Всемирной паутины) и альянс FIDO (Fast IDentity Online) начали работу над Web Authentication (WebAuthn (https://www.w3.org/TR/2018/CR-webauthn-20180320/)) еще в 2015 году. Напомню, что в частности данный API позволяет пользователям входить в Google, Facebook, Dropbox, GitHub и так далее при помощи аппаратных ключей YubiKey (https://www.yubico.com/start/).
На базе FIDO 2.0 Web API был разработан WebAuthn, который обладает более широкими возможностями и в теории позволяет отказаться от использования паролей вообще. Так, WebAuthn предлагает использовать для аутентификации на сайтах и в приложениях аппаратные ключи, отпечатки пальцев, распознавание лиц, сканы радужной оболочки глаза и прочую биометрию.
https://xakep.ru/wp-content/uploads/2018/04/163801/fido2-graphic2.png
Своеобразным «компаньоном» WebAuthn станет протокол Client to Authenticator (Client to Authenticator Protocol, CTAP (https://fidoalliance.org/download/)). Как следует из названия, основная роль CTAP – это установление связи между браузером и сторонней системой аутентификации, к примеру, NFC или USB-ключом, сканером отпечатков пальцев в смартфоне или ноутбуке. Специалисты W3C объясняют (https://www.w3.org/2018/04/pressrelease-webauthn-fido2.html.en), что для обеспечения работоспособности новой аутентификационной схемы оба API должны работать сообща.
Так как Google, Microsoft и Mozilla поддержат разработку, ожидается, что поддержка WebAuthn API появится в Chrome, Edge и Firefox в самом скором времени. Так, WebAuthn заработает в Chrome 67 и Firefox 60, чей релиз запланирован примерно на май 2018 года.
Ожидается, что эта разработка поможет защитить пользователей от фишинга, краж паролей и даже атак типа «человек по середине» (man-in-the-middle). Ведь ИБ-специалисты давно пришли к выводу, что использование паролей вряд ли можно назвать хорошей практикой.
https://xakep.ru/2018/04/11/webauthn-almost-here/
На базе FIDO 2.0 Web API был разработан WebAuthn, который обладает более широкими возможностями и в теории позволяет отказаться от использования паролей вообще. Так, WebAuthn предлагает использовать для аутентификации на сайтах и в приложениях аппаратные ключи, отпечатки пальцев, распознавание лиц, сканы радужной оболочки глаза и прочую биометрию.
https://xakep.ru/wp-content/uploads/2018/04/163801/fido2-graphic2.png
Своеобразным «компаньоном» WebAuthn станет протокол Client to Authenticator (Client to Authenticator Protocol, CTAP (https://fidoalliance.org/download/)). Как следует из названия, основная роль CTAP – это установление связи между браузером и сторонней системой аутентификации, к примеру, NFC или USB-ключом, сканером отпечатков пальцев в смартфоне или ноутбуке. Специалисты W3C объясняют (https://www.w3.org/2018/04/pressrelease-webauthn-fido2.html.en), что для обеспечения работоспособности новой аутентификационной схемы оба API должны работать сообща.
Так как Google, Microsoft и Mozilla поддержат разработку, ожидается, что поддержка WebAuthn API появится в Chrome, Edge и Firefox в самом скором времени. Так, WebAuthn заработает в Chrome 67 и Firefox 60, чей релиз запланирован примерно на май 2018 года.
Ожидается, что эта разработка поможет защитить пользователей от фишинга, краж паролей и даже атак типа «человек по середине» (man-in-the-middle). Ведь ИБ-специалисты давно пришли к выводу, что использование паролей вряд ли можно назвать хорошей практикой.
https://xakep.ru/2018/04/11/webauthn-almost-here/