Web Authentication API のバックアップ(No.22) - マイクロソフト系技術情報 Wiki

「マイクロソフト系技術情報 Wiki」は、「Open棟梁Project」,「OSSコンソーシアム .NET開発基盤部会」によって運営されています。

戻る
- FIDO2
- Microsoft Passport

目次 †

↑

概要 †

Web Authentication API (別名 WebAuthn?) は
- FIDO2 の Web Application用 JavaScript Library。
- 公開鍵暗号を用た認証を行う Credential Management API の拡張機能
- パスワードを用いない認証に加え、SMS を用いない二要素認証を実現する。

昔のサンプルは、makeCredential & getAssertion()メソッドだったが、
最近のサンプルは、navigator.credentials.create & get()メソッドに、変わっている。

↑

詳細 †

W3C で定義されている使用する (主な) API の名前は、
- navigator.credentials.create()メソッド
- navigator.credentials.get()メソッド

セキュアコンテキスト (https or localhost)であることを必要とし、
ブラウザがセキュアコンテキストで動作していない場合は利用できない。

冒頭のユースケースでは、デスクトップのブラウザで操作して、
登録（Attestation）と認証（Assertion）だけを
スマホに転送するというユースケースが紹介されている。

登録（Attestation）と認証（Assertion）は儀式であり、
この儀式では、認証ジェスチャが必要になる。

↑

navigator.credentials.create()メソッド †

登録（Attestation）

publicKeyオプションと併用する。
- PublicKeyCredentialCreationOptions?: 登録リクエスト作成のオプションを記述する。
- PublicKeyCredential?: 作成された登録リクエストを格納する。

↑

navigator.credentials.get()メソッド †

認証（Assertion）

publicKeyオプションと併用する。

↑

仕様を読む †

↑

用語 †

↑

アテステーション（Attestation） †

認証器とそれが発行するデータの出所を証明する。
資格ID、資格鍵ペア、署名カウンタなどを含む。

アテステーション証明書
- 認証器が製造と機能を証明するために使用する秘密鍵を含むX.509証明書。

↑

認証（Authentication） †

認証式（Authentication Ceremony）
ユーザの存在またはユーザ確認のテスト（式典）

認証アサーション（Authentication Assertion）
authenticatorGetAssertion?操作の結果として認証者によって返された、
暗号で署名されたAuthenticatorAssertionResponse?オブジェクト。

↑

認証器（Authenticator） †

認証式に従い、

登録（Attestation）を行うと、・・・が発行される。
認証（Assertion）を行うと、認証アサーションが発行される。

↑

クライアント †

クライアント側
以下を接着するすべての組み合わせ。
- クライアント・プラットフォーム
- 認証プロバイダ
- およびすべて

クライアント・プラットフォーム
- クライアント・デバイス＋クライアントの組み合わせ
- 単一のクライアント・デバイスが、異なるクライアントを
  実行すると異なるクライアント・プラットフォームとなる。

（WebAuthn?）クライアント
- ブラウザ実装など。
- ユーザエージェントに（全体的にまたは部分的に）実装された中間的なエンティティ

クライアント・デバイス
- クライアントが実行されるハードウェア・デバイス
- 認証器は、クライアント・デバイスにバインドされる。

WebAuthn? Reelying Party
WebアプリケーションがWeb認証APIを使用してユーザを登録および認証するエンティティ。

↑

依存 †

↑

データ †

Base64url encoding
- Base64ではなくBase64url
- ということは、Base64urlを使用する？

CBOR
- オブジェクトをバイナリ・シリアライズする使用
- 基礎となるデータモデルは、JSONデータモデル[RFC4627]
- 参考
  - The application/json Media Type for JavaScript Object Notation (JSON)
    https://www.ietf.org/rfc/rfc4627.txt
  - RFC 7049 - Concise Binary Object Representation (CBOR)
    https://tools.ietf.org/html/rfc7049

CDDL
- CBOR表記規則（CBOR [RFC7049]を表現する表記法）
- JSONデータ構造の記述にも使用できる。

CDDLの目標
- （G1）CBORデータ構造の全体的な構造の明瞭な記述を提供する。
- （G2）自由度をCBORデータ形式で表現する柔軟性。
- （G3）必要に応じてフォーマットの選択を制限する可能性がある[_形式]。
- （G4）共通のCBORデータ型および構造を表現できること。
- （G5）人と機械が読み書き可能であること。
- （G6）データフォーマット準拠の自動チェック。
- （G7）さらなる処理のためにCBORデータから特定の要素を抽出する。

参考
- ietf-cbor-cddl - Concise data definition language (CDDL):
  a notational convention to express CBOR and JSON data structures
  https://tools.ietf.org/html/draft-ietf-cbor-cddl

COSE
- CBORオブジェクト署名と暗号化（COSE）[RFC8152]。
- 参考
  - RFC 8152 - CBOR Object Signing and Encryption (COSE)
    https://tools.ietf.org/html/rfc8152

ArrayBuffer?
- ECMAScriptによって定義されている。
- JavaScriptでバイナリを扱うために生まれた。
- 画像・音声処理などで利用されている。
- 参考
  - JSのArrayBuffer?がよくわからなかったのでほんの少しだけ調べた - はらへり日記
    https://sota1235.hatenablog.com/entry/2016/05/30/145137
```
const buf  = new ArrayBuffer(100); // メモリ空間の確保
const view = new Uint8Array(buf);  // 1行めで確保されたメモリ空間へアクセスするための型付き配列
view[0] = 0x12; // bufの0番めに書き込んでいるのと同義
```

↑

その他 †

HTML
DOM
ECMAScript
Web IDL: Webブラウザーで実装するためのAPIを記述するためのIDL

FIDO AppID:
呼び出し元アプリケーションのFacetIDを決定し、呼び出し元のFacetIDが
AppIDに対して許可されているかどうかを判断するアルゴリズムを定義する。

↑

登録（Attestation）: navigator.credentials.create()メソッド †

↑

引数：PublicKeyCredentialCreationOptions? †

主要な引数
- Challenge
  - ランダムな情報の大きなバッファー（例えば100バイト以上）が絶対に重要。
  - 登録過程のセキュリティを確保するためにサーバ上で生成する必要がある。

色々なオプションが指定できる。

Attestation Conveyance Preference enumeration
基本的に、登録（Attestation）プロセスは、クライアントによって使用される認証器が、
FIDO2 Server（RP Server）で信頼可能か検証するための多くのステップを費やす。

"none"(既定値)
ユーザ名/パスワードをFIDO2に切り替える場合。
（FIDO2はパスワードよりも優れていると考える場合）

"indirect"
スマートカードまたはUAFから移行する場合、
認証器の信頼性をattestation statement から確認する必要がある。
クライアントがattestation statement を取得する方法を決定できる。

"direct"
スマートカードまたはUAFから移行する場合、
認証器の信頼性をattestation statement から確認する必要がある。
サーバーがattestation statement を必要とすることを示す。

↑

戻り値：PublicKeyCredential? †

厳密には、AuthenticatorAttestationResponse? を含む PublicKeyCredential? に解決する Promiseを返す。

id(rawId) : GlobalにUniqueなPublicKeyCredential?のID
type : public-key（このUseCase?では固定）

AuthenticatorAttestationResponse?のプロパティ

clientDataJSON
認証器のauthenticatorMakeCredential?()メソッドの戻り値
- type
- challenge
- origin
- tokenBindingId?
- clientExtensions
- authenticatorExtensions

attestationObject
id(rawId)に対応した、公開鍵と他の認証データ

authenticatorData

fmt：アテステーションステートメントの形式を示すテキスト文字列
（"packed"、 "tpm"、 "android-key"、 "android-safetynet"、 "fido-u2f"、"none"）

attStmt："fmt"で定義された形式のアテステーションステートメント

↑

認証（Assertion）: navigator.credentials.get()メソッド †

↑

参考 †

Web Authentication API（旧）

fido2-net-lib https://github.com/abergs/fido2-net-lib を分析している。
https://gist.github.com/daisukenishino2/d50bfcfa415902abfdee0e27ed48a715

↑

w3c †

Web Authentication Working Group
https://www.w3.org/Webauthn/

Credential Management Level 1
https://www.w3.org/TR/credential-management-1/

Web Authentication: An API for accessing Public Key Credentials Level 1
https://www.w3.org/TR/webauthn/

↑

webauthn.org †

WebAuthn? demo
https://webauthn.org
- apowers313/fido2-server-demo: A set of FIDO2 / WebAuthn? demo servers
  https://github.com/apowers313/fido2-server-demo/

↑

fido2-net-lib †

abergs/fido2-net-lib: A proof of Concept implementation library
https://github.com/abergs/fido2-net-lib

＋ demo for fido2 and WebAuthn? using .NET (Work in progress)
https://github.com/abergs/fido2-net-lib/tree/master/Fido2Demo

WebAuthn?.io
https://fido2.azurewebsites.net/

FIDO2 - Things I learned by building a FIDO2 server – Ideas Of Anders Åberg
http://ideasof.andersaberg.com/development/fido2-net-library

↑

MDN - Web APIs †

↑

Credential Management API †

Credential Management API
https://developer.mozilla.org/ja/docs/Web/API/Credential_Management_API

Credential
https://developer.mozilla.org/ja/docs/Web/API/Credential
- PublicKeyCredential?
  https://developer.mozilla.org/ja/docs/Web/API/PublicKeyCredential
- PasswordCredential?
  https://developer.mozilla.org/ja/docs/Web/API/PasswordCredential
- FederatedCredential?
  https://developer.mozilla.org/ja/docs/Web/API/FederatedCredential

↑

Web Authentication API †

Credential Management API中のPublicKeyCredential?を拡張したもの。

Web Authentication API
https://developer.mozilla.org/ja/docs/Web/API/Web_Authentication_API

PublicKeyCredential?
https://developer.mozilla.org/ja/docs/Web/API/PublicKeyCredential
- PublicKeyCredentialCreationOptions?
  https://developer.mozilla.org/ja/docs/Web/API/PublicKeyCredentialCreationOptions
- AuthenticatorAttestationResponse?
  https://developer.mozilla.org/ja/docs/Web/API/AuthenticatorAttestationResponse
  - clientDataJSON
    https://developer.mozilla.org/en-US/docs/Web/API/AuthenticatorResponse/clientDataJSON
  - attestationObject
    https://developer.mozilla.org/en-US/docs/Web/API/AuthenticatorAttestationResponse/attestationObject

↑

Yubico †

Yubico WebAuthn? demo
https://demo.yubico.com/webauthn/

Developer Program
https://www.yubico.com/why-yubico/for-developers/developer-program/

New NIST Authentication Guidelines for Public Safety and First Responders
https://www.yubico.com/2018/05/new-nist-authentication-guidelines-for-public-safety-and-first-responders/

↑

blog.jxck.io †

Web Authentication API で FIDO U2F(YubiKey?) 認証 |
https://blog.jxck.io/entries/2018-05-15/webauthentication-api.html
- Web Authentication API (FIDO-U2F) DEMO
  https://labs.jxck.io/webauthentication/fido-u2f/

↑

enjoy struggling †

Edge が WebAuthN をサポートしたらしいので色々試してみた(Insider Preview)
https://blog.haniyama.com/2018/06/17/edge-support-webauthn/
- HWataru/webauthn-demo: WebAuthn? Demo
  https://github.com/HWataru/webauthn-demo
- fido-alliance/webauthn-demo: WebAuthn? Demo
  https://github.com/fido-alliance/webauthn-demo

↑

（株）ソフト技研 †

ワンタイムパスワードトークンYubiKey?
http://yubikey.yubion.com
- ブログ
  http://yubikey.yubion.com/blog.html

↑

Qiita †

もうすぐ来る? Web Authentication APIについて調べてみた
https://qiita.com/syoichi/items/62e6aa66938692a3c0b6

Tags: :認証基盤