文章來源 / Okta Official Blog
在本文中，我們將介紹一些 FIDO2 WebAuthn 的特點，這些特點使其在其他身分驗證器（驗證因素）方面具有優勢。我們還將從 Okta 的角度深入探討 WebAuthn 的使用和增長情況，以及我們在 Okta 此處正在努力解決的一些挑戰。
WebAuthn（Web 身分驗證）是 FIDO2 規範的核心組件之一，與用戶端驗證器協定（CTAP）一起，提供使用公開金鑰密碼學進行抗釣魚身分驗證的方式。幾乎所有主要的瀏覽器和平台都支援 WebAuthn。
近來，我們已經看到大部分傳統的多重身分驗證（MFA）方式，像是簡訊、推播和密碼，已成為釣魚攻擊的目標，導致帳號遭駭、金錢損失，以及組織信譽受損。在眾多的驗證方式中，FIDO2 WebAuthn因其抗釣魚的特性而脫穎而出。相較於像一次性密碼（OTP）和密碼等驗證方式，WebAuthn也提供了更方便的使用體驗，不需要使用者手動輸入資訊。
舉例來說，我們可以輕鬆將WebAuthn與一個廣泛使用的驗證方式，簡訊，進行比較。傳統上，大多數組織使用簡訊進行MFA；不僅涉及延遲，還有可能收不到簡訊，再加上輸入錯誤代碼的可能性。WebAuthn將解決所有這些缺點，並提供成本節省（簡訊費用需付 recurring money）。
然而，就像世界上的所有事物一樣，總是存在著權衡。WebAuthn（當設備綁定時）也有其缺點。其中最大的缺點是，如果使用者不慎丟失憑證，則無法恢復這些憑證。可以從安全的角度來看，這樣的設計是有道理的。第二大缺點是WebAuthn驗證器之間的差異，例如安全鑰匙可以跨多台機器使用；然而，基於平台的驗證器僅限於該平台（在某些情況下僅限於瀏覽器）。
從基於平台的驗證器的角度來看，被歸類為缺點的特性可能被視為暫時的，並且可能是歷史性的，因為FIDO聯盟正在與重要的平台供應商一起努力解決這些問題。我們將在本系列的第二篇文章中進行探討。
WebAuthn的成長
作為身分驗證領域的主要參與者之一，我們對WebAuthn驗證器的分佈和其在一段時間內的成長有一些可見性。儘管WebAuthn的規格於2016年首次發佈，但它花了一些時間才成為主流。截至撰寫本文時，我們已經有將近300萬個WebAuthn的註冊。下面的圖表顯示了2020年如何實施驗證器支援，在短短三年多的時間內，它是增長最快的驗證器之一，每年的增長率超過了600％。除了所有驗證器的成長外，我們還捕捉了安全金鑰使用的增長情況，這是所有WebAuthn驗證器的一個子集。
另一個讓人振奮的數據是關於不同類型的 WebAuthn 認證器分佈的情況。下面的圓餅圖展示了所有認證器的大致分佈情況。這些認證器的種類相當多樣，但為了圖表的清晰，我們只列出了主要的幾種認證器。有一個引人注意的事實是蘋果的裝置在 WebAuthn登錄中佔據了最多的比例。
WebAuthn 的複雜性
WebAuthn流程有三個核心組件：
認證器：這可以是一個基於硬體或軟體的元件，用於生成和儲存每個憑證的私密金鑰。認證器透過客戶端與依賴方（伺服器）進行通訊，並使用與客戶端配合的 CTAP 協議版本。
客戶端：這是核心組件，負責在認證器和伺服器之間進行 WebAuthn 憑證的註冊和驗證。網頁瀏覽器通常扮演此角色。
依賴方：根據 FIDO2 的定義，依賴方是一個實體，其網頁應用程式使用 Web 認證 API 來註冊和驗證使用者。
接下來，我們來介紹 Authenticator Attestation Global Unique Identifiers（AAGUID）的概念。AAGUID 是 WebAuthn 認證器可以選擇透過客戶端（瀏覽器）與依賴方（伺服器）共享的獨特識別碼。儘管識別認證器至關重要，但沒有中央機構分配 AAGUID。即使 AAGUID 可用，如果認證器未提供可驗證的驗證，它僅僅是一個信號。
一方面，WebAuthn 被設計成具有堅實的用戶隱私原則；另一方面，對於企業而言，從安全角度來看，驗證使用者的正確身份或驗證所使用的認證器類型非常重要。許多 WebAuthn 認證器選擇不透過提供通用的 AAGUID：AAAAAAAAAAAAAAAAAAAAA 來識別自己。在這種情況下，有趣的是，MacOS 上的 Chrome 與 MacOS 上的 Safari 是不同的認證器。如果使用者在 MacOS 上的 Chrome 上進行了註冊，他們無法使用 MacOS 上的 Safari 來進行該註冊的身份驗證，這可能對大多數使用者而言會感到困惑。然而，這些認證器都沒有提供可驗證的驗證，以證明認證器的可信度。另一方面，Windows Hello 提供了可驗證的 AAGUID。總之，儘管像 MacOS Touch ID 這樣的平台認證器提供了便利的使用，但由於缺乏可驗證的驗證，它們在服務器端無法進行驗證。
允許清單功能
在 Okta，我們意識到許多組織對於認證器的來源有著嚴格的要求。我們最近推出了一項名為「允許清單」的功能，允許組織從 FIDO 元數據服務（MDS）列表中選擇他們信任的認證器（AAGUIDs）。這個功能允許組織管理員鎖定 WebAuthn 註冊和身份驗證，並選擇他們所信任的認證器。
到目前為止，我們已經看到 WebAuthn 作為認證器中的一員，在近年來由於其易於使用和抵禦釣魚攻擊的特性，採用率逐漸上升。此外，我們也深入探討了一些相關概念和挑戰，以及在 Okta，我們如何努力為客戶解決這些問題。想要深入了解更多有關 Okta 的精彩文章，以擴展您的知識。歡迎閱讀更多。
Comments