問題タブ [fido-u2f]

WSO2 で MFA を達成しようとしています。以下のリンクに従って変更を加えましたが、何も機能しませんでした https://docs.wso2.com/display/IS510/Multi-factor+Authentication+using+FIDO

少し混乱していますが、この MFA を実現するには物理的な U2F デバイスが必要ですか? WSO2 で使用できる他の多要素認証方法/チュートリアルはありますか?

チャネル バインド Cookie はベアラー トークンの概念を防ぎ、Cookie を特定の TLS チャネルにバインドします。

これは、OWIN、ASP.NET 5、または ASP.NET 4.x でどのように実装されますか?

次の構造を持つ JSON オブジェクトを POST URL に送信するだけでよい U2F 準拠のクライアントを構築しています。

これは私のコードの抜粋です。これは正常に実行され、エラーはスローされません。

デバッグ サーバーは Node.js で構築されており、その POST "登録" ルートは毎回クライアントによって正常に呼び出されます。問題は、リクエストの本文が常に空であることです。

問題は にあるとFormBody.Builder()思いますが、それがどのように機能するかについて明確な例を示しているドキュメントやコードが見つかりません。どんな助けでも大歓迎です！

ログイン後にシステムを管理するために、ロードバランサーへの管理インターフェースに FIDO U2F (YubiKey を使用) を実装したい状況があります - U2F を追加の認証レイヤーとして使用する必要があります。

システムの寿命を通じて、アクセスに使用される IP アドレスとホスト名が変更されるのはよくあることです (たとえば、一度https://192.168.0.20/になったら、その後はhttps://lb-admin.company.com/になります)。 、それからそれは何か他のものなど）。

問題は、キーが appId (サイトの URL) に対して登録され、appId が keyHandle でエンコードされることです。キーを登録するときに、複数の appId を許可したり、appId の制限を削除したりする方法はありますか?

つまり、1 つの YubiKey を登録し、それを Web サイトの任意のエントリ ポイントから使用したり、キーが最初に登録された IP アドレスまたはドメインとは異なる IP アドレスまたはドメインを使用して Web サイトにアクセスしたとしても、それを使用しますか?

Yubikey Neo などの U2F トークンから公開鍵と秘密鍵を取得できるアプリケーションを Java 言語で作成しようとしています。コンソールで単純なスキャナーを使用して Yubikey Neo から何かを取得しようとしましたが、メモ帳で印刷される OTP とは異なり、印刷されないため (おそらく形式が原因で) 機能しませんでした。リーダーによってキャプチャされます。

Yubico のように、ユーザーが U2F トークンのボタンに触れたときに公開鍵を取得できる Javascript の実装のみを提供していることは知っていますが、これまでのところ、それを実行できる Java のライブラリは見つかりませんでした。U2Fトークンから公開鍵と秘密鍵を取得できる方法はありますか?

ホスト名をアプリ ID ( https://auth.company.com )として認証 Web アプリで U2F を直接使用しており、正常に動作しています。ただし、 HTTP API 経由で認証サーバーと通信する他のアプリ (およびhttps://customer.app.comなどのホスト名) から認証サーバーで認証できるようにしたいと考えています。

API 呼び出しを介して署名要求などを生成し、それらをクライアント アプリに返すことはできますが、アプリ ID が検証されない (クライアントが独自のホスト名をアプリ ID として使用している) ため、サーバー側 (認証サーバー) で失敗します。 . これは理解できますが、これをどのように処理すればよいでしょうか。ファセットについて読みましたが、まったく機能しません。

クライアント アプリの JS は次のようになります。

これにより、しばらくするとエラー コード 5 (タイムアウト エラー) が表示されます。/facets へのリクエストが表示されません。これを回避する方法はありますか、それとも間違ったツリー (または別のフォレスト) に吠えていますか?

————</p>

さて、これを数時間調査した後。Firefox U2F プラグインのこの厄介な部分が、私の悩みの原因であると確信しています。

https://github.com/prefiks/u2f4moz/blob/master/ext/appIdValidator.js#L106-L110

基本的に、appID のスキームが http の場合、それがページのホストとまったく同じである場合にのみ許可するということです (信頼されたファセット JSON を取得するための動作を実行しますが、https に対してのみ)。

これをどのように設計しようとしているのかはまだわかりません。

シナリオ: ユーザーが USB ペン ドライブなどを接続すると、webapp により、ユーザーはタブを操作できるようになります。そのオブジェクトが分離されている場合、webapp はすべての操作を拒否します。

FIDO U2F を見たことがありますが、ユーザーがキーをクリックして認証コードを Chrome に送信する必要があるため、機能しません。webapp がキーの USB を積極的にポーリングできるようにすることは良い解決策かもしれませんが、前述のように、u2f はユーザーがボタンを押した場合にのみキーがキーを送信できるようにします。

この問題の別の解決策はありますか?