FIDO2 Yafafanuliwa: WebAuthn, Manenosiri, na Usalama (SW)

FIDO2 inajumuisha viwango viwili vya uthibitishaji wa funguo za umma: API ya Uthibitishaji wa Wavuti (WebAuthn) ya World Wide Web Consortium na Itifaki ya Mteja kwa Uthibitishaji (CTAP) ya FIDO Alliance. Pamoja huruhusu chama kinachotegemea kusajili na kutumia kitambulisho cha kriptografia bila kuhifadhi siri inayoweza kutumika tena kama nenosiri.

FIDO2 inaweza kutoa uthibitishaji sugu kwa hadaa na sugu kwa kurudiwa inapotekelezwa na kuthibitishwa ipasavyo. Haithibitishi utambulisho halali wa mtu, haiamui nani anapaswa kuruhusiwa kujiandikisha, haihakikishi kikao cha seva kilichoathiriwa, au kurekebisha mchakato dhaifu wa kurejesha akaunti. Hizo ni udhibiti wa karibu ambao lazima ubuniwe karibu na sherehe ya uthibitishaji.

Mambo muhimu ya kuzingatia

• FIDO2 ni WebAuthn pamoja na CTAP. WebAuthn huunganisha tovuti au programu kwa mteja; CTAP huunganisha jukwaa la mteja kwa kitambulishaji kinachotembea.
• Funguo ya faragha inabaki na kitambulishaji. Chama kinachotegemea huhifadhi funguo ya umma na kuthibitisha saini juu ya changamoto mpya na muktadha uliopangiliwa.
• Ufungaji wa kikoa huunda upinzani dhidi ya hadaa. Kitambulisho kilichosajiliwa kwa kitambulisho kimoja cha chama kinachotegemea hakiwezi kurudiwa tu kwa kikoa kisichohusiana cha mshambuliaji.
• Manenosiri ni vitambulisho vya FIDO. Huenda vikawa vimefungwa kwenye kifaa au kusawazishwa katika vifaa vya mtoa huduma, na hivyo kuunda ubadilishaji tofauti wa uhakikisho, urejeshaji, na uhamishaji.
• Urejeshaji ni sehemu ya mfumo wa usalama. Kuingia kwa FIDO2 kwa nguvu kunaweza kupitwa ikiwa barua pepe, usaidizi, au njia za kurejesha utambulisho zinaweza kuchukua nafasi ya kitambulisho na ushahidi dhaifu.

FIDO2 ni nini?

Muhtasari wa vipimo vya FIDO Alliance unafafanua FIDO2 kama mchanganyiko wa vipimo vya W3C WebAuthn na Itifaki za Mteja kwa Uthibitishaji za FIDO. Viwango hivyo hugawanya mfumo katika majukumu yanayoshirikiana:

• Chama kinachotegemea: tovuti au huduma inayorejesha vitambulisho na kuthibitisha taarifa za uthibitishaji.
• Mteja: kwa kawaida kivinjari au sehemu ya mfumo wa uendeshaji inayotekeleza WebAuthn na kusuluhisha sherehe.
• Kitambulishaji: sehemu ya jukwaa au kifaa cha nje kinachounda na kutumia funguo ya kitambulisho.
• Mtumiaji: mtu anayekubali usajili au uthibitishaji na anaweza kuthibitisha ndani kwa PIN, nenosiri, au biometria.

Vipimo vya W3C WebAuthn Level 3 vinafafanua API ya wavuti ya kuunda na kutumia vitambulisho vya funguo za umma vilivyopangiliwa kwa chama kinachotegemea. Hati hazipokei kamwe funguo ya faragha ya kitambulisho. Zinapokea data iliyopangiliwa na uthibitisho wa kriptografia uliotolewa kupitia kitambulishaji na mteja.

FIDO2, WebAuthn, CTAP, U2F, na manenosiri yakilinganishwa

Neno	Maana halisi	Mpaka mkuu
FIDO2	Viwango vya WebAuthn na CTAP vinavyotumika pamoja	Familia kamili ya viwango, si simu moja ya API
WebAuthn	API ya kivinjari au mteja na mfano wa data wa chama kinachotegemea kwa vitambulisho vya funguo za umma	Huunganisha chama kinachotegemea na mteja
CTAP2	Itifaki kati ya jukwaa la mteja na kitambulishaji kinachotembea	Hubeba mawasiliano ya kitambulishaji cha nje kupitia usafiri kama vile USB, NFC, na BLE
U2F / CTAP1	Itifaki ya awali ya FIDO inayohusishwa kwa kawaida na funguo za usalama za sababu ya pili	Ni ndogo zaidi kuliko uwezo wa kisasa wa FIDO2
Manenosiri	Kitambulisho cha FIDO kinachoweza kugunduliwa kilichoundwa kwa ajili ya kuingia bila nenosiri	Inaweza kusawazishwa au kufungwa kwa kifaa
Funguo ya usalama	Kitambulishaji cha maunzi kinachotembea kilichounganishwa kupitia USB, NFC, au usafiri mwingine unaotumika	Aina moja inayowezekana ya kitambulishaji
Kitambulishaji cha jukwaa	Kitambulishaji kilichojengwa ndani ya kifaa au mfumo wa uendeshaji	Mara nyingi huamilishwa kwa PIN ya ndani au biometria

“Bila nenosiri” inaelezea safari ya mtumiaji, si kila utekelezaji unaowezekana. Huduma inaweza kutumia WebAuthn kama sababu ya pili baada ya nenosiri, kama kitambulisho kikuu cha sababu nyingi, au pamoja na vitambulishaji vingine. Chama kinachotegemea lazima kiamue ni sifa gani za kitambulisho na bendera zinazokidhi uhakikisho wa hatua iliyolindwa.

Jinsi usajili wa FIDO2 unavyofanya kazi

Usajili, unaoitwa pia uundaji wa kitambulisho, huunganisha kitambulisho kipya cha funguo za umma kwenye akaunti kwenye chama kinachotegemea.

1. Seva huunda chaguo za usajili

Chama kinachotegemea huzalisha changamoto mpya, isiyotabirika na kutuma chaguo za uundaji wa kitambulisho cha funguo za umma kwa mteja. Chaguo hizo hubainisha chama kinachotegemea, akaunti ya mtumiaji, algoriti zilizokubalika, mapendeleo ya kitambulishaji, mapendeleo ya uthibitisho, na vitambulisho vya kitambulisho vilivyopo vilivyotengwa vinapohusika.

Changamoto zinapaswa kuwa za matumizi moja, za muda mfupi, zilizofungwa kwa kikao na mtumiaji sahihi, na kuhifadhiwa au kuthibitishwa na seva. Changamoto inayozalishwa tu kwenye kivinjari haiwezi kulinda sherehe ya seva.

2. Mteja huita WebAuthn

Programu huita navigator.credentials.create() kwa chaguo za funguo za umma. Kivinjari huangalia asili na muktadha wa usalama, kisha huuliza kitambulishaji kinachopatikana kuunda kitambulisho.

3. Kitambulishaji hupata idhini ya mtumiaji

Kitambulishaji kinahitaji uwepo wa mtumiaji na, ikiombwa na kuungwa mkono, uthibitishaji wa mtumiaji. Uwepo wa mtumiaji unaweza kuwa mguso au hatua dhahiri. Uthibitishaji wa mtumiaji unamaanisha kuwa kitambulishaji huthibitisha mtumiaji ndani kwa PIN, siri ya kifaa, biometria, au njia nyingine inayoungwa mkono.

Biometria ya ndani kwa kawaida hufungua matumizi ya kitambulisho; kiolezo cha biometria hakitumwi kwenye tovuti kama siri ya uthibitishaji.

4. Kitambulishaji huunda jozi ya funguo

Kitambulishaji huunda jozi ya funguo za kitambulisho zilizopangiliwa kwa chama kinachotegemea. Funguo ya faragha inabaki kulindwa na kitambulishaji au mfumo wake wa usawazishaji. Kitambulisho kinachotokana kina funguo ya umma, kitambulisho cha kitambulisho, data ya kitambulishaji, data ya mteja, na habari ya uthibitisho kulingana na muundo uliochaguliwa.

5. Seva huthibitisha na kuhifadhi kitambulisho

Chama kinachotegemea huthibitisha sherehe kabla ya kuhifadhi chochote. Hundi ni pamoja na:

• changamoto inayotarajiwa;
• asili inayotarajiwa;
• hash sahihi ya kitambulisho cha chama kinachotegemea;
• hali inayotarajiwa ya mipakani na topOrigin wakati sherehe imepachikwa;
• bendera za uwepo wa mtumiaji na uthibitishaji wa mtumiaji kulingana na sera;
• algoriti iliyokubalika na vigezo muhimu;
• muundo wa uthibitisho na sera ya uaminifu ikiwa uthibitisho unaombwa;
• upekee na uhusiano na akaunti sahihi ya mtumiaji.

Seva huhifadhi kitambulisho cha kitambulisho, funguo ya umma, ufungaji wa akaunti, kaunta ya saini au hali inayotumika, usafiri au metadata inapofaa, na habari ya mzunguko wa maisha ya kitambulisho. Haihitaji kamwe funguo ya faragha.

Jinsi uthibitishaji wa FIDO2 unavyofanya kazi

Uthibitishaji unathibitisha udhibiti wa kitambulisho kilichosajiliwa hapo awali.

1. Seva huunda chaguo za ombi

Chama kinachotegemea huzalisha changamoto mpya na kutuma chaguo za uthibitisho. Inaweza kujumuisha orodha ya vitambulisho vya kitambulisho au kutumia vitambulisho vinavyoweza kugunduliwa ili kitambulishaji kiweze kutambua akaunti.

2. Mteja huomba uthibitisho

Programu huita navigator.credentials.get(). Kivinjari na kitambulishaji huchagua kitambulisho kinachofaa na hupata uwepo wa mtumiaji unaohitajika au uthibitishaji wa mtumiaji wa ndani.

3. Kitambulishaji husaini data ya sherehe

Kitambulishaji husaini juu ya muktadha mpya wa changamoto na data ya kitambulishaji kwa kutumia funguo ya faragha ya kitambulisho. Kwa sababu kitambulisho kimepangiliwa kwa chama kinachotegemea, asili isiyohusiana ya hadaa haiwezi kuomba kitambulishaji kutoa uthibitisho halali kwa huduma halisi.

4. Seva huthibitisha uthibitisho

Chama kinachotegemea huthibitisha changamoto inayotarajiwa, asili, hash ya chama kinachotegemea, saini na funguo ya umma iliyohifadhiwa, bendera zinazohitajika, kitambulisho kinachoruhusiwa, ufungaji wa mtumiaji, na kaunta inayohusika au hali ya chelezo. Ndipo tu inapaswa kuunda au kuinua kikao cha programu.

Kila uthibitisho unathibitisha udhibiti kwa wakati. Uundaji wa kikao, ulinzi wa ishara, uthibitishaji upya, idhini ya muamala, kutoka, na kubatilisha hubaki kuwa majukumu tofauti ya programu.

Kwa nini FIDO2 inapinga hadaa

Nywila na nambari za matumizi moja zinaweza kuingizwa kwenye tovuti ya ulaghai, ambayo inaweza kuzipeleka kwa huduma halisi. FIDO2 hutumia kitambulisho kilichopangiliwa kwa chama kinachotegemea na huunganisha uthibitisho kwa kriptografia kwa muktadha wa mthibitishaji unaotarajiwa.

Mahitaji ya kitambulishaji cha NIST SP 800-63B-4 yanaelezea WebAuthn kama sugu kwa hadaa kupitia ufungaji wa jina la mthibitishaji. Pato la kitambulishaji limefungwa kwa jina la kikoa lililothibitishwa badala ya kutegemea mtumiaji kugundua ukurasa wa udanganyifu.

Upinzani dhidi ya hadaa una mipaka:

• Haizuii programu hasidi au mshambuliaji ambaye tayari anadhibiti kikao kilichothibitishwa.
• Haizuii mtumiaji kuidhinisha muamala mbaya ndani ya huduma halisi.
• Haihakikishi njia ya kurejesha akaunti ambayo inaweza kuchukua nafasi ya kitambulisho.
• Haithibitishi kwamba mtu anayedhibiti kitambulishaji ndiye mtu halisi ambaye shirika lililenga kumwandikisha.

Upinzani wa kurudiwa na utunzaji wa changamoto

Uthibitisho uliorekodiwa haupaswi kufanya kazi katika sherehe ya baadaye kwa sababu kila ombi hutumia changamoto mpya. NIST inaelezea vitambulishaji vya kriptografia vinavyojumuisha nonces au changamoto kama sugu kwa kurudiwa.

Makosa ya utekelezaji yanaweza kuondoa mali hiyo. Kushindwa kwa kawaida ni pamoja na changamoto zinazotabirika, kutumia tena changamoto, kukubali changamoto kwa akaunti isiyo sahihi, kutotekeleza muda wa kumalizika, au kuthibitisha tu saini huku ukipuuza asili na muktadha wa chama kinachotegemea.

Seva inapaswa kuweka alama ya changamoto iliyotumika kwa atomiki. Ikiwa maombi yanayofanana yanakimbia, sherehe moja tu iliyofanikiwa inapaswa kuweza kutumia changamoto hiyo.

Uwepo wa mtumiaji na uthibitishaji wa mtumiaji

WebAuthn inatofautisha:

• Uwepo wa mtumiaji (UP): mtumiaji alifanya mwingiliano unaoonyesha ushiriki.
• Uthibitishaji wa mtumiaji (UV): kitambulishaji kilithibitisha mtumiaji ndani kupitia sababu ya uanzishaji kama vile PIN au biometria.

Uwepo pekee si uthibitishaji wa sababu nyingi. Huduma inayolinda hatua ya hatari zaidi inaweza kuhitaji bendera ya UV na kukataa uthibitisho unaoonyesha uwepo tu. Mahitaji yanapaswa kueleza maadili ya bendera yanayotarajiwa badala ya kutegemea lebo ya kiolesura kama vile “Tumia Face ID.”

Ubora wa uthibitishaji wa ndani pia unatofautiana na kitambulishaji. Chama kinachotegemea kinaweza kuwa na uwezo mdogo wa kuona utekelezaji halisi wa biometria au PIN kwa vitambulishaji vilivyotolewa na mtumiaji, kwa hivyo sera inapaswa kuwa sawa na muamala na idadi ya watu wanaotekeleza.

Jukwaa, vitambulishaji vinavyotembea, na vya kuvuka vifaa

Vitambulishaji vya jukwaa

Hivi vimeunganishwa na simu, kompyuta ya mkononi, au mfumo wa uendeshaji. Vinaweza kutoa safari fupi kwa kutumia njia ya kufungua ya ndani ya kifaa. Upungufu ni utegemezi wa urejeshaji wa akaunti ya jukwaa, usalama wa kifaa, na tabia ya usawazishaji.

Vitambulishaji vinavyotembea

Funguo za usalama za nje zinaweza kubebwa kati ya vifaa na kuunganishwa kupitia usafiri unaoungwa mkono. Ni muhimu kwa matumizi ya wafanyakazi, utawala, au matukio ya uhakikisho wa juu, hasa pale ambapo kutoweza kusafirisha kitambulisho na usimamizi wa utoaji ni muhimu.

Uthibitishaji wa kuvuka vifaa

Mifumo mseto inaweza kutumia simu iliyo karibu kuthibitisha kikao kwenye kifaa kingine. Mifumo ya kukabidhiana na ukaribu inaboresha urahisi wa matumizi lakini huongeza maelezo ya kiolesura cha mtumiaji na mfumo wa tishio ambayo yanapaswa kujaribiwa badala ya kutibiwa kama sawa na uthibitishaji wa kifaa kimoja.

Saidia vitambulisho vingi kwa akaunti. Watumiaji hubadilisha simu, hupoteza funguo za usalama, hutumia vifaa vya kazi na vya kibinafsi, na wanahitaji njia salama ya kutaja, kukagua, na kuondoa vitambulisho.

Manenosiri yaliyofungwa kwenye kifaa na yaliyosawazishwa

Nenosiri ni kitambulisho cha FIDO kilichoundwa kwa ajili ya kuingia bila nenosiri. Manenosiri yanaweza kuwa:

• Yaliyofungwa kwenye kifaa: funguo ya faragha ya kitambulisho inabaki imefungwa kwa kitambulishaji kimoja au kifaa kinachosimamiwa.
• Yaliyosawazishwa: nyenzo za kitambulisho zimesimbwa na kusawazishwa kupitia mfumo wa mtoa huduma kwa matumizi katika vifaa vinavyostahiki.

Manenosiri yaliyosawazishwa yanaboresha upatikanaji na urejeshaji, wakati vitambulisho vilivyofungwa kwenye kifaa vinaweza kutoa kutoweza kusafirishwa kwa nguvu zaidi. Mwongozo wa NIST SP 800-63B-4 wa kitambulishaji kinachoweza kusawazishwa unaruhusu vitambulishaji vinavyoweza kusawazishwa katika mazingira hadi Kiwango cha Uhakikisho wa Uthibitishaji 2 wakati mahitaji yake yanapotimizwa, lakini usawazishaji unapingana na kutoweza kusafirishwa kunakohitajika katika Kiwango cha 3.

Usihitimishe uhakikisho kutoka kwa neno “nenosiri.” Tathmini kama vitambulisho vimehifadhiwa, vinastahiki kuhifadhiwa, vinashirikiwa, vinasimamiwa, vimefungwa kwenye kifaa, vimethibitishwa, na kuamilishwa kwa uthibitishaji wa mtumiaji kulingana na sera ya chama kinachotegemea.

Uthibitisho na uaminifu wa kitambulishaji

Uthibitisho unaweza kutoa ushahidi kuhusu asili au sifa za kitambulishaji wakati wa usajili. Sio sawa na saini ya uthibitishaji, na haitambui mtumiaji halisi.

Huduma za watumiaji mara nyingi hupunguza ukusanyaji wa uthibitisho kwa ajili ya faragha na utangamano wa mfumo. Utekelezaji wa wafanyakazi unaweza kuhitaji mifumo maalum ya kitambulishaji au vyeti. Uamuzi unapaswa kujibu swali la mfumo wa tishio badala ya kukusanya ushahidi wa kitambulisho cha kifaa kwa chaguo-msingi.

Ikiwa uthibitisho unatumika:

• fafanua miundo iliyokubalika na nanga za uaminifu;
• thibitisha njia za cheti na taarifa ipasavyo;
• bainisha sasisho la metadata na utunzaji wa kubatilisha;
• panga kwa vitambulishaji visivyo na uthibitisho unaoaminika;
• andika matokeo ya faragha na uhifadhi;
• jaribu uingizwaji wakati mfumo uliokubalika unabadilisha hali.

FIDO2 haichukui nafasi ya uthibitishaji wa utambulisho

FIDO2 inathibitisha udhibiti wa kitambulisho kilichosajiliwa kwa chama kinachotegemea. Haianzishi jina halali, umri, anwani, hali ya udhibiti, au upekee wa ulimwengu halisi wa mtu anayejiandikisha.

Tofauti hiyo huunda mifumo mitatu ya kawaida:

1. Usajili wa pseudonymous: huduma inahitaji akaunti salama lakini si utambulisho uliothibitishwa wa ulimwengu halisi.
2. Usajili uliounganishwa na utambulisho: uthibitishaji wa utambulisho hutokea kwanza, kisha kitambulisho cha FIDO kinaunganishwa na akaunti iliyothibitishwa.
3. Kuinua au kurejesha: huduma huthibitisha tena utambulisho au hutumia ushahidi mwingine wenye nguvu kabla ya kuruhusu kitambulishaji kilichopotea kubadilishwa.

Ufungaji unapaswa kuwa wazi. Rekodi akaunti na hali ya uthibitishaji iliyokuwepo wakati kitambulisho kiliongezwa, ni kikao gani kilichoidhinisha, na ikiwa hatari ya baadaye inapaswa kusababisha uthibitishaji upya au kurejesha utambulisho.

Urejeshaji wa akaunti na mzunguko wa maisha ya kitambulisho

Urejeshaji ndio ambapo utekelezaji mwingi unaopinga hadaa hupungua. Ikiwa mtumiaji anaweza kuchukua nafasi ya kila kitambulisho cha FIDO kwa kutumia kiungo cha barua pepe au maswali dhaifu ya usaidizi, mshambuliaji atalenga njia hiyo badala yake.

Mzunguko kamili wa maisha unajumuisha:

• kuongeza kitambulishaji cha pili;
• kutaja na kutazama vitambulisho vilivyosajiliwa;
• kupoteza kifaa na uwezekano wa kuathiriwa;
• kubatilisha kitambulisho kimoja bila kuharibu akaunti;
• kurejesha kwa kutumia nambari, kitambulishaji kingine, usaidizi unaosimamiwa, au uthibitishaji wa utambulisho;
• kumjulisha mtumiaji kupitia njia huru;
• kuchelewesha au kupunguza hatua za hatari kubwa baada ya kurejesha;
• kuweka kumbukumbu nani alibadilisha seti ya kitambulisho na kwa nini;
• kufunga vikao vilivyoundwa kabla ya kuripotiwa kuathiriwa.

Uhakikisho wa urejeshaji unapaswa kulingana na matokeo ya kubadilisha kitambulishaji. Akaunti ya jumuiya yenye hatari ndogo na msimamizi anayeweza kuhamisha fedha hawahitaji njia sawa.

Jinsi ya kutathmini utekelezaji wa FIDO2

Uthibitishaji wa itifaki

Jaribu uzalishaji wa changamoto na muda wake, uthibitishaji kamili wa asili, sheria za kitambulisho cha chama kinachotegemea, uthibitishaji wa saini, algoriti zinazoungwa mkono, sera ya UP na UV, uhusiano wa kitambulisho, kaunta, bendera za chelezo, na utunzaji wa makosa. Pendelea maktaba ya seva iliyosimamiwa juu ya uchanganuzi wa binary ulioandikwa kwa mkono, huku bado ukielewa inachothibitisha.

Ufunikaji wa kitambulishaji

Jaribu jukwaa na vitambulishaji vinavyotembea katika vivinjari vinavyoungwa mkono, mifumo ya uendeshaji, vifaa, usafiri, sera za biashara, na mipangilio ya ufikiaji. Jumuisha uundaji wa kitambulisho, kuingia, kiolesura cha mtumiaji chenye masharti, matumizi ya kuvuka vifaa, na uingizwaji wa kifaa.

Usalama wa akaunti na kikao

Kagua nani anaweza kuongeza kitambulisho, ikiwa uthibitishaji wa hivi karibuni unahitajika, jinsi vikao vinavyoinuliwa, wakati uthibitishaji upya unatokea, na jinsi mabadiliko ya kitambulisho yanavyoathiri vikao vilivyopo.

Urejeshaji na usaidizi

Kupoteza red-team, vifaa vilivyoibiwa, barua pepe iliyoathiriwa, mabadiliko ya SIM, utambulisho wa usaidizi, na ufikiaji mbaya wa kaya au mahali pa kazi. Pima upinzani wa mshambuliaji na ukamilishaji wa mtumiaji halisi.

Faragha na uwezo wa kuona

Punguza uthibitisho na data ya kifaa kwa kile ambacho sera inahitaji. Epuka kutumia vitambulisho vya kitambulisho vilivyo thabiti katika vyama vinavyotegemea; mipangilio ya WebAuthn imeundwa kuzuia hilo. Weka kumbukumbu za sababu na matokeo ya sherehe bila kuvujisha data nyeti ya mteja.

Makosa ya kawaida ya utekelezaji wa FIDO2

Kuangalia saini lakini si muktadha

Saini halali haitoshi ikiwa seva inashindwa kuthibitisha changamoto, asili, kitambulisho cha chama kinachotegemea, bendera, na ufungaji wa akaunti kwa usahihi.

Kupiga simu kila nenosiri la sababu nyingi

Seva lazima ithibitishe kama uthibitishaji wa mtumiaji ulitokea na kama sifa za kitambulisho zinakidhi sera. Uwepo wa mtumiaji pekee si sawa na uthibitishaji wa mtumiaji wa ndani.

Kuruhusu nyongeza ya kitambulisho kimya

Kuongeza kitambulishaji kipya hubadilisha usalama wa akaunti. Hitaji uthibitishaji wa hivi karibuni au sherehe ya urejeshaji, mjulishe mtumiaji, na rekodi tukio hilo.

Kusaidia kitambulisho kimoja tu

Akaunti za kitambulisho kimoja huunda urejeshaji dhaifu na kuhimiza kurudi nyuma dhaifu. Ruhusu vitambulishaji vingi na usimamizi wazi na kubatilisha.

Kuacha nenosiri kama mbadala sawa

Ikiwa nenosiri linaweza kupita njia ya FIDO kila wakati, upinzani dhidi ya hadaa unaweza kuwepo tu kwenye kitufe kinachopendelewa. Zuia au ondoa njia dhaifu kulingana na hatari na hatua ya uhamiaji.

Kupuuza vikao vya seva

FIDO2 inathibitisha sherehe ya kuingia. Linda vidakuzi na ishara, zungusha vikao baada ya uthibitishaji, hitaji kuinua kwa hatua nyeti, na batilisha vikao vilivyoathiriwa.

Orodha ya kukagua utekelezaji

Kabla ya kuzindua, thibitisha kwamba:

• changamoto haitabiriki, za matumizi moja, za muda mfupi, na zimefungwa kwa kikao sahihi;
• asili, kitambulisho cha chama kinachotegemea, saini, algoriti, bendera, na umiliki wa kitambulisho vinathibitishwa;
• mahitaji ya UP na UV ni wazi kwa kila hatua iliyolindwa;
• jukwaa, vinavyotembea, vilivyosawazishwa, vilivyofungwa kwenye kifaa, na matukio ya kuvuka vifaa yamejaribiwa kama yanavyoungwa mkono;
• watumiaji wanaweza kusajili vitambulisho vingi na kuvitaja, kukagua, na kuvibatilisha kwa usalama;
• kuongeza kitambulisho na urejeshaji unahitaji uhakikisho unaolingana na hutoa arifa;
• ukusanyaji wa uthibitisho una sera maalum ya uaminifu, faragha, na metadata;
• nenosiri, nambari za matumizi moja, usaidizi, na urejeshaji wa utambulisho ni mifumo ya tishio;
• vikao vilivyothibitishwa na idhini ya muamala vinalindwa kando;
• maktaba za itifaki, usaidizi wa kivinjari, upungufu, na matukio ya usalama yana wamiliki.

Didit inafaa wapi kando ya FIDO2

FIDO2 inashughulikia uthibitishaji baada ya kitambulisho kusajiliwa. Didit inaweza kusaidia uamuzi wa utambulisho wa karibu kupitia Uthibitishaji wa Vitambulisho, Ufuatiliaji wa Uhai, na Uthibitishaji wa Kibayometriki. Bei iliyochapishwa ya Uthibitishaji wa Kibayometriki ni $0.10 kwa kila hundi.

Timu zinaweza kukagua viwango vya sasa vya moduli kwenye ukurasa wa bei. Bidhaa hizi hazipaswi kudhaniwa kutekeleza FIDO2 kutokana na maelezo hayo: hoja ya usanifu ni kwamba uthibitishaji wa utambulisho, hundi za kibayometriki, uthibitishaji wa vitambulisho vya FIDO, urejeshaji wa akaunti, na idhini ya programu ni maamuzi tofauti ya uaminifu.

Maswali yanayoulizwa mara kwa mara

FIDO2 inasimama kwa nini?

FIDO inamaanisha Fast Identity Online. FIDO2 ni familia ya viwango inayochanganya W3C WebAuthn na FIDO Alliance CTAP kwa uthibitishaji wa funguo za umma.

Je, FIDO2 ni sawa na WebAuthn?

Hapana. WebAuthn inafafanua API ya chama kinachotegemea na mteja na mfano wa data. FIDO2 inajumuisha WebAuthn pamoja na CTAP, ambayo huunganisha jukwaa la mteja na vitambulishaji vinavyotembea.

Je, manenosiri ni vitambulisho vya FIDO2?

Ndio. Manenosiri ni vitambulisho vya FIDO vinavyoweza kugunduliwa vilivyoundwa kwa ajili ya kuingia bila nenosiri. Vinaweza kusawazishwa katika vifaa vinavyostahiki au kubaki vimefungwa kwenye kifaa.

Je, FIDO2 inazuia hadaa?

Uthibitishaji wa FIDO2 uliothibitishwa ipasavyo unazuia hadaa kwa sababu kitambulisho kimepangiliwa kwa chama kinachotegemea na uthibitisho umeunganishwa na muktadha huo wa mthibitishaji. Urejeshaji dhaifu au kikao kilichoathiriwa tayari bado kinaweza kupita ulinzi uliokusudiwa.

Je, FIDO2 inatumia biometria?

Inaweza kutumia biometria ya ndani kuamilisha kitambulishaji na kuweka uthibitishaji wa mtumiaji. Chama kinachotegemea kwa kawaida hupokea matokeo na uthibitisho wa kriptografia, si kiolezo cha biometria.

Je, FIDO2 inathibitisha utambulisho wa mtu?

Hapana. Inathibitisha udhibiti wa kitambulisho kilichosajiliwa. Uthibitishaji wa utambulisho wa ulimwengu halisi ni uamuzi tofauti wa usajili au urejeshaji wakati huduma inahitaji.

Nini kinatokea wakati mtumiaji anapoteza kila kitambulishaji?

Huduma inahitaji sera ya urejeshaji inayolingana na hatari ya akaunti. Chaguo zinaweza kujumuisha kitambulishaji kingine kilichosajiliwa, nambari za urejeshaji, urejeshaji wa usimamizi, au uthibitishaji mpya wa utambulisho, pamoja na arifa na vikwazo vya baada ya urejeshaji.

Marejeo makuu

• Vipimo vya Uthibitishaji wa Mtumiaji wa FIDO Alliance
• Picha ya Mapendekezo ya Mgombea wa W3C Web Authentication Level 3
• Kiwango Kinachopendekezwa cha FIDO Alliance CTAP 2.3
• NIST SP 800-63B-4: Uthibitishaji na Usimamizi wa Kitambulishaji
• Mahitaji ya kitambulishaji cha NIST SP 800-63B-4

FIDO2 inachukua nafasi ya siri za mthibitishaji zinazoweza kutumika tena na vitambulisho vya funguo za umma vilivyopangiliwa na sherehe mpya za kriptografia. Thamani yake hudumu tu wakati chama kinachotegemea kinathibitisha muktadha kamili, kusimamia mzunguko wa maisha ya kitambulisho, kulinda vikao na hatua nyeti, na kutoa urejeshaji umakini sawa wa usalama kama kuingia.