跳转到内容

WebAuthn

维基百科，自由的百科全书
Web Authentication
首次出版2016年5月31日 (2016-05-31)
最新版本Level 2 Recommendation
2021年4月21日 (2021-04-21)
预览版本Level 3 Candidate Recommendation Snapshot
2026年5月26日 (2026-05-26)[1]
组织FIDO2專案（FIDO聯盟和W3C）
委员会Web Authentication Working Group（英语：Web Authentication Working Group）
编辑
現任編輯
  • Jeff Hodges (Google)
  • J.C. Jones (Mozilla)
  • Michael B. Jones (Microsoft)
  • Akshay Kumar (Microsoft)
  • Emil Lundberg (Yubico)
基础标准
领域身份驗證
缩写WebAuthn

Web Authentication（WebAuthn）是由万维网联盟發布的網頁標準[2][3][4]。該標準定義了一個標準Web API，用户可以通過這個API在Web上进行安全认证。它通过使用数字签名验证用户身份，解决了许多基于密码的传统身份验证问题 [5]。Google、Microsoft以及Mozilla均在其研發的浏览器中支持WebAuthn标准[6]。WebAuthn支援不同類型的憑證，其中同步可發現憑證（英語：synced discoverable credentials，也稱為通行密鑰[7]）是最常見的。WebAuthn 经常被吹捧为完全取代密码，即彻底消除了对密码的需求。然而，大多数支持 WebAuthn 的网站仍然以某种方式使用密码。[8]

要使用 WebAuthn，用户需要一个兼容的认证器（authenticator）。该标准并未规定用于签名所需的密钥应如何存储，因此可以使用多种类型的认证器。最常见的认证器类型是平台认证器（platform authenticator），它内置于设备的操作系统中。常见的平台认证器包括 Android、Apple Keychain 和 Windows Hello。这些认证器利用硬件安全功能（例如 TEE 和 TPM），并且通常会在设备之间同步凭据，以方便使用。另一种常见的认证器类型是漫游认证器（roaming authenticator），即通过 USB、Bluetooth Low Energy 或 near-field communications（NFC）连接的独立硬件设备，用于验证用户身份。大多数智能手机都可以用作漫游认证器，专用的实体安全密钥也被广泛使用。WebAuthn 与 FIDO Universal 2nd Factor（U2F）实际上向后兼容，因为两者都使用 CTAP 协议。[9] 密码管理器也可以作为认证器使用，并且通常支持云同步。[10] 当凭据同步不可行或无法实现时，可以使用 WebAuthn 混合传输（Hybrid Transport）访问存储在其他认证器（例如智能手机）上的凭据。[11]

与传统的 U2F 一样，WebAuthn 能够抵抗某些网络钓鱼攻击[12]，因为认证器只会提供在同源网站上注册的凭据。然而，与 U2F 不同，WebAuthn 可以以无密码认证的方式实现。[13] 此外，漫游硬件认证器能够抵抗恶意软件，因为密钥存储在独立的设备上，从而阻止恶意软件直接访问这些密钥。

WebAuthn Level 1 和 Level 2 标准分别于 2019 年 3 月 4 日和 2021 年 4 月 8 日作为 W3C 推荐标准发布。[14][15][16] WebAuthn Level 3 规范在 2026 年期间经历了多个候选推荐标准快照（Candidate Recommendation Snapshot）阶段，[17][18] 并于 2026 年 7 月，W3C 提议将其推进为正式的推荐标准（Recommendation）。2026 年 8 月 25 日，该规范正式成为 W3C 推荐标准。[19]

參見

[编辑]

參考資料

[编辑]
  1. ^ Web Authentication Level 3 publication history. World Wide Web Consortium. [2026-08-14] （英语）. 
  2. ^ Balfanz, Dirk; Czeskis, Alexei; Hodges, Jeff; Jones, J.C.; Jones, Michael B.; Kumar, Akshay; Liao, Angelo; Lindemann, Rolf; Lundberg, Emil (编). Web Authentication: An API for accessing Public Key Credentials Level 1 Recommendation. 万维网联盟 (W3C). 4 March 2019 [4 March 2019]. （原始内容存档于2019-03-14）. 
  3. ^ Web Authentication Working Group. 万维网联盟 (W3C). [2018-05-11]. （原始内容存档于2016-05-15）. 
  4. ^ Strickland, Jonathan. What is WebAuthn. TechStuff. 清晰頻道通信公司. 20:35 记录于. 18 March 2019 [20 March 2019]. （原始内容存档于2021-06-25）. 
  5. ^ Langley, Adam. A Tour of WebAuthn. 2024-12-23 [2025-07-22]. （原始内容存档于2026-07-21） （英语）. 
  6. ^ 在全球实现更简单更强大的Web认证方式. w3c中國. [2021-03-04]. （原始内容存档于2019-03-14）. 
  7. ^ White Paper: Multi-Device FIDO Credentials (PDF). FIDO Alliance: 6. 2022-03 [2024-05-20]. （原始内容存档 (PDF)于2024-06-16）. 
  8. ^ Goodin, Dan. Passkey technology is elegant, but it's most definitely not usable security. [2025-07-22]. （原始内容存档于2025-07-03） （英语）. 
  9. ^ WebAuthn / CTAP: Modern Authentication (PDF). World Wide Web Consortium. 10 December 2018 [11 March 2019]. （原始内容存档 (PDF)于4 December 2020）. 
  10. ^ Will Passkeys Kill Password Managers?. Corbado. 2023-06-01 [2025-09-18] （英语）. 
  11. ^ WebAuthn Passkey QR Codes & Bluetooth: Hybrid Transport. Corbado. 2023-11-08 [2025-09-18] （英语）. 
  12. ^ Kan, Michael. Google: Phishing Attacks That Can Beat Two-Factor Are on the Rise. PC Magazine. 7 March 2019 [8 March 2019]. （原始内容存档于8 March 2019）. 
  13. ^ Practical passwordless authentication comes a step closer with WebAuthn. Ars Technica. 2018-04-10 [2024-10-16]. （原始内容存档于1 January 2025） （美国英语）. 
  14. ^ Balfanz, Dirk; Czeskis, Alexei; Hodges, Jeff; Jones, J.C.; Jones, Michael B.; Kumar, Akshay; Liao, Angelo; Lindemann, Rolf; Lundberg, Emil (编). Web Authentication: An API for accessing Public Key Credentials Level 1 (latest). World Wide Web Consortium. [4 March 2019]. （原始内容存档于14 March 2019）. 
  15. ^ W3C and FIDO Alliance Finalize Web Standard for Secure, Passwordless Logins. World Wide Web Consortium. 4 March 2019 [4 March 2019]. （原始内容存档于4 March 2019）. 
  16. ^ Balfanz, Dirk; Czeskis, Alexei; Hodges, Jeff; Jones, J.C.; Jones, Michael B.; Kumar, Akshay; Liao, Angelo; Lindemann, Rolf; Lundberg, Emil (编). Web Authentication: An API for accessing Public Key Credentials Level 2 Latest. World Wide Web Consortium. 8 April 2021 [27 November 2022]. （原始内容存档于4 June 2019）. 
  17. ^ W3C Invites Implementations of Web Authentication: An API for accessing Public Key Credentials Level 3. World Wide Web Consortium. 13 January 2026 [{{subst:CURRENTDAY}} September 2026]. 
  18. ^ Updated Candidate Recommendation: Web Authentication: An API for accessing Public Key Credentials Level 3. World Wide Web Consortium. 26 May 2026 [{{subst:CURRENTDAY}} September 2026]. 
  19. ^ Proposed Advancement of Web Authentication: An API for accessing Public Key Credentials Level 3 to W3C Recommendation. World Wide Web Consortium. 20 July 2026 [{{subst:CURRENTDAY}} September 2026]. 

外部連結

[编辑]
取自“https://zh.wikipedia.org/w/index.php?title=WebAuthn&oldid=94392861”