問題タブ [webauthn]

fido2 iOS BLE オーセンティケーターを開発しようとしています。今のところ、オーセンティケーターをアドバタイズして、webauthn クライアントとペアリングできます。クライアントが広告データを検証した後、「controlPoint」特性に「authenticatorGetInfo(83000104)」リクエストを書き込みます。

以下の応答をauthenticatorGetInfoに送信するfido仕様に従って、

cborなし

{
3 = "EF6CF220-7066-4808-AA22-345C7888BC3F";
1 = (「FIDO_2_0」);
}

cbor エンコーディングで

[162, 1, 129, 104, 70, 73, 68, 79, 95, 50, 95, 48, 3, 120, 36, 69, 70, 54, 67, 70, 50, 50, 48, 45, 55 , 48, 54, 54, 45, 52, 56, 48, 56, 45, 65, 65, 50, 50, 45, 51, 52, 53, 67, 55, 56, 56, 56, 66, 67, 51 、70]

応答を送信した後、Fido2 準拠ツールによってスローされた次のエラーを受け取りました。私の質問は、CBOR エンコーディングに問題はありますか? または私はここで何が間違っていますか？

私は Android Authenticator を開発しています。MAKE_CREDENTIAL 応答の送信中に次の例外が発生します。webauthn.io サイトでデバッグ中にこの問題が発生しました。https://webauthn.me/debugger#でも試してみました

操作がタイムアウトしたか、許可されませんでした。https://w3c.github.io/webauthn/#sec-assertion-privacyを参照してください。

しかし、MAKE_CREDENTIAL リクエストを受信した後、500 ミリ秒ごとにkKeepAliveMillisを送信するために使用Timerしています。なぜこの問題が発生するのかわかりません。この問題を解決するために私を助けてください。TimerTask

CTAP2 仕様を使用して、スマートフォンをオーセンティケーターとしてセットアップするためのユースケース/シナリオを探しています。

Yubikey や他の同様のセキュリティ キーを使用する場合と同じように、ユーザーがブラウザを設定してスマートフォンと対話するユース ケースを探しています。それに関連するすべてのドキュメントを読みましたが、残念ながら、Yubikeys /その他のUSBデバイスをオーセンティケーターとして使用する記事を常に取得しています。携帯電話がローミング オーセンティケータとして機能するようなやり取りを楽しみにしています。

ドキュメンテーションと CTAP 仕様を概念的に見ると、電話とホストを次のように接続することでこれを実行できることがわかります。

• ブルートゥース
• NFC
• USB

接続の確立後、モバイル オーセンティケータは CTAP2 プロトコルを実装して、ブラウザがローミング オーセンティケータと見なすようにします。また、BLE 対応デバイスを使用した認証プロセスも楽しみです。ウェブサイトでyubikeyセキュリティキーを使用してログインを試みました。しかし、Bluetoothを使用して同じフローのログインメカニズムを実現したいのですが、Thetis BLEキーまたはモバイル自体を有効にします。

どんな洞察も非常に役に立ちます。また、この特定のユースケースに取り組んでいる人々が相互に議論できることを楽しみにしています。

パスワードなしのログインにWebauthnを使用するサイトを構築しています。現在、これは Chrome for Windows および macOS でうまく機能しています。

YubiKey 5 を使用して実装をテストしています。この実装では、単なるユーザー プレゼンス (つまり、ユーザーがキーのボタンに触れた) の代わりにユーザー認証を提供するための PIN の使用をサポートしています。

ただし、Android 9 の Chrome 76 でこの同じサイトを使用しようとすると、PIN の入力を求められないため、ユーザー認証フラグが設定されず、(設計により) ログインに失敗します。

Google は Android 7+ が FIDO2 に準拠していることについて大々的に発表しましたが、次のことを述べている古い記事以外に、この重要な欠落している機能についての言及を見つけることができないようです。

また、CTAP 2 と WebAuthn によって有効になる、PIN で保護されたオーセンティケーター、アカウントのローカル選択 (ユーザー名やパスワードを入力する代わりに)、指紋登録など、より高度なフローにも取り組んでいます。

指紋登録がサポートされるようになりました。Chrome 76 の Windows および macOS バージョンでサポートされている場合でも、PIN で保護された認証システムはまだサポートされていませんか?

navigator.credentials.create()これは、ユーザーの確認が必要な私の呼び出しの関連部分です。

デモ サイトhttps://webauthn.ioに示されているように、認証に WebAuthn を使用するつもりです。

Android の WebView (および対応する iOS) はこれを実装しておらず、これは起こらないと明示的に述べられています。1 つは、Chrome タブを使用するように紹介されています。

しかし、私がやりたいことは、モバイル デバイス上、つまりアプリ内では、これに HTML/JavaScript を使用しないことです。アプリでは、Firebase に似た Java ライブラリを使用したいと考えていますが、WebAuthn を介してセットアップされた同じアカウントを使用する手段、または後でアクセスできるアプリのライブラリを介してアカウントをセットアップする手段を提供します。 WebAuthn を使用してブラウザで。

AppAuth https://github.com/openid/AppAuth-Androidに遭遇しましたが、これが WebAuthn に関連しているかどうかはわかりません。

私の目標は、パスワードと電子メールのない認証システムを使用して、ユーザーが WebAuthn を介して Web 上で使用できるようにすることと、アプリが代わりにライブラリを介してバックエンドにアクセスできるようにすることです。Facebook、Google、またはその他のプロバイダーでユーザー アカウントを持っている必要のないシステム。

Android アプリで Chrome タブのような回避策を使用することは避けたいと思います。すべて Java で処理し、フラグメントを介してユーザーとやり取りする必要があります。

私のオプションはどれですか？FIDO2 は、これを提供するために必要なすべてを提供できますか? OAuth 2.0 との関係は?