主流瀏覽器將迎來新的Web認(rèn)證標(biāo)準(zhǔn)

■李賀

谷歌，微軟和Mozilla的網(wǎng)絡(luò)瀏覽器很快將為用戶提供由FIDO聯(lián)盟和萬維網(wǎng)聯(lián)盟（W3C）構(gòu)建的新的無密碼認(rèn)證標(biāo)準(zhǔn)，目前正處于最終審批階段。

W3C已將新的認(rèn)證標(biāo)準(zhǔn)WebAuthn推進(jìn)到候選推薦標(biāo)準(zhǔn)（CR）階段，這是最終批準(zhǔn)Web標(biāo)準(zhǔn)之前的最后一步。預(yù)計(jì)將為全球用戶提供更強(qiáng)大的Web身份驗(yàn)證，它已經(jīng)在Windows、Mac、Linux、Chrome OS 和 Android 平臺(tái)上實(shí)施。

W3C的WebAuthn API為每個(gè)站點(diǎn)提供強(qiáng)大的，唯一的基于公鑰的證書，從而消除了一個(gè)站點(diǎn)上的密碼被盜用在另一個(gè)站點(diǎn)上的風(fēng)險(xiǎn)。WebAuthn可以集成到瀏覽器和Web平臺(tái)基礎(chǔ)架構(gòu)中，為用戶提供新的方法進(jìn)行安全認(rèn)證。

與FIDO的客戶端到驗(yàn)證器協(xié)議（CTAP）規(guī)范一起，它是FIDO2項(xiàng)目的核心組件，它使“用戶能夠通過具有釣魚安全性的桌面或移動(dòng)設(shè)備輕松驗(yàn)證在線服務(wù)”。

CTAP使外部身份驗(yàn)證者能夠通過USB，藍(lán)牙或NFC將更安全的身份驗(yàn)證憑證傳輸?shù)娇稍L問Internet的設(shè)備（PC或手機(jī)）。

WebAuthn和CTAP都可以在今天使用，這樣開發(fā)人員和供應(yīng)商就可以在他們的產(chǎn)品和服務(wù)中實(shí)現(xiàn)對(duì)新認(rèn)證方法的支持。有了主流的瀏覽器供應(yīng)商提供支持，新標(biāo)準(zhǔn)應(yīng)為所有互聯(lián)網(wǎng)用戶提供安全性更高、有硬件支持的FIDO身份驗(yàn)證保護(hù)?！敖?jīng)歷多年來越來越嚴(yán)重的數(shù)據(jù)泄露和密碼憑證被盜，現(xiàn)在是時(shí)候終止服務(wù)提供商對(duì)易受攻擊密碼和一次性密碼的依賴性，并為所有網(wǎng)站和應(yīng)用程序采用網(wǎng)頁仿冒FIDO身份驗(yàn)證”，F(xiàn)IDO聯(lián)盟執(zhí)行董事Brett McDowell說。

企業(yè)和在線服務(wù)提供商可以很快部署新的Web認(rèn)證標(biāo)準(zhǔn)，以保護(hù)自己和他們的客戶免受與密碼相關(guān)的風(fēng)險(xiǎn)。新的FIDO2規(guī)范補(bǔ)充了現(xiàn)有的無密碼FIDO UAF和第二因子FIDO U2F用例。所有FIDO2網(wǎng)絡(luò)瀏覽器和在線服務(wù)均向后兼容經(jīng)過認(rèn)證的FIDO安全密鑰。

這些標(biāo)準(zhǔn)目前正在主流的Web瀏覽器中實(shí)施，包括Chrome，F(xiàn)irefox 和 Microsoft Edge。FIDO 表示，Android 和Windows 10將具有對(duì)FIDO身份驗(yàn)證的內(nèi)置支持。

該聯(lián)盟表示，它很快將推出互用性測(cè)試，并計(jì)劃為服務(wù)器，客戶端和認(rèn)證機(jī)構(gòu)頒發(fā)符合FIDO2規(guī)范的認(rèn)證。一致性測(cè)試工具已經(jīng)在FIDO的網(wǎng)站上提供。

針對(duì)與所有FIDO認(rèn)證器類型（FIDO UAF，F(xiàn)IDO U2F，WebAuthn和CTAP）互用性的服務(wù)器的新的Universal Server認(rèn)證也正在進(jìn)行中。

在具有FIDO身份驗(yàn)證器的設(shè)備上的瀏覽器中運(yùn)行的Web應(yīng)用程序可以調(diào)用公共API來啟用用戶的FIDO身份驗(yàn)證。開發(fā)人員可以在FIDO的新開發(fā)人員資源頁面上了解更多信息。

使用FIDO2，用戶可以從兩個(gè)簡(jiǎn)單的方面受益，他們可以使用內(nèi)部/內(nèi)置身份驗(yàn)證器（例如PC，筆記本電腦和/或移動(dòng)設(shè)備中的指紋或面部生物測(cè)定學(xué)）或外部身份驗(yàn)證器（安全密鑰和移動(dòng)設(shè)備），同時(shí)享受更安全的身份驗(yàn)證機(jī)制，憑據(jù)和生物識(shí)別模板永遠(yuǎn)不會(huì)離開用戶的設(shè)備，帳戶也不會(huì)受到使用被盜密碼的網(wǎng)絡(luò)釣魚、中間人攻擊和重放攻擊。