【每日安全资讯】Web 开发重磅,FIDO 与 W3C 联合支持免密认证登录

转载 2018年04月15日 00:00:00

640?wx_fmt=jpeg&wxfrom=5&wx_lazy=1


2018 年 4 月 10 号,W3C 官方宣布: FIDO 联盟与 W3C 联合取得 Web 认证标准的里程碑式进展,在全球实现更简单更强大的 Web 认证方式。在 Google Chrome、Microsoft Edge 和 Mozilla Firefox 的支持下,FIDO2 项目以保护全球互联网用户为目标,开启了一个普适、安全、强认证方式的新时代! —— 这将打通用户和 Web 的终极壁垒,给 Web 的体验带来质的飞跃。

W3C 官方全文

2018年4月10日— FIDO联盟(FIDO Alliance)与W3C(World Wide Web Consortium)联合取得了Web认证标准的重大进展,为全球用户带来更简单、更强大的Web认证方式。

由FIDO提交的文档Web Authentication(以下称WebAuthn),已经正式进入W3C候选推荐标准(Candidate Recommendation,简称CR)阶段。这份规范文档由W3C Web认证工作组(Web Authentication Working Group)发布,该组由30多位来自不同组织的会员单位代表组成。进入CR阶段意味着该规范将最终成为W3C正式标准 (Recommendation,简称REC),W3C在此阶段邀请在线服务商和Web应用开发者对WebAuthn进行技术实现。

WebAuthn在浏览器和跨站点设备上,定义了一个可以合并到浏览器中的标准Web API,以及相关的Web平台基础设施,为用户提供在Web上进行安全认证的新方法。 WebAuthn由W3C与FIDO联盟合作开发,它连同FIDO的客户端到认证器协议规范(Client to Authenticator Protocol,CTAP),构成了FIDO2 项目的核心组件。

CTAP启用外部认证器(例如安全秘钥或手机)通过USB、蓝牙、或者NFC向用户的互联网接入设备(电脑或手机)局部传递强认证证书。FIDO2规范可以让用户能够轻松且安全地通过桌面或移动设备验证在线服务。

Google、Microsoft以及Mozilla都已承诺在其浏览器中支持WebAuthn标 准,并已经开始在Windows、Mac、Linux、Chrome OS以及Android平台上进行实现。WebAuthn和CTAP规范的出现,使开发人员和供应商能够迅速将对下一代FIDO身份验证的支持切实部署到其产品和服务中。

FIDO2标准化工作的完成,W3C WebAuthn标准的推进,以及浏览器供应商对实现这一标准的承诺,都预示着一个新时代的开启,一个为所有互联网用户提供普适的、硬件支持FIDO身份验证保护的时代。

企业和在线服务提供者希望保护自己和他们的客户免于遭受密码风险—包括网络钓鱼,中间人攻击和滥用窃 取凭证—可以通过浏览器或通过外部认证器,快速部署基于标准的强认证。通过部署FIDO身份验证,在线服务可以在用户每天使用的互动操作系统(如手机和安全密钥)中为用户提供选择。

新的FIDO2规范在浏览器和操作系统中的标准化将进一步扩大FIDO身份验证的范围,FIDO身份 验证被全球监管机构和标准制定机构引用,并通过Google、Facebook、NTT DOCOMO、美国银行等企业所提供的服务,在全球范围内用于数亿台设备,用户超过35亿。 新规范对现有的无密码FIDO UAF和第二因素FIDO U2F用例进行了补充,并扩展了FIDO认证的可用性。FIDO2网络浏览器和在线服务完全向后兼容所有之前获得认证的FIDO安全密钥。

FIDO即将启动互操作性测试,并将为符合FIDO2规范的服务器、客户端和认证器颁发认证凭证。人们可以在FIDO的网站上 找到一致性测试工具。 此外,FIDO将为与所有FIDO认证器类型(FIDO UAF,FIDO U2F,WebAuthn,CTAP)互操作的服务器引入新的通用服务器认证。

WebAuthn 和 FIDO2 项目带来的益处

W3C的WebAuthn API是一种可融入浏览器和相关Web平台基础架构的标准WebAPI,可为每个站点提供强大、唯一且基于公钥的凭证,消除了从某一站点窃取密码后被用于其他站点的风险。 使用FIDO身份验证器加载到设备上的在浏览器中运行的Web应用程序,可以通过密码操作代替密码交换,或除了密码交换之外,还可为服务提供者和用户带来诸多益处:

更简单的身份验证:用户只需使用一种手势登录

PC、笔记本电脑和/或移动设备中的内部或内置认证器(如指纹或面部生物识别技术)

使用CTAP进行设备到设备认证的外部认证器(如安全密钥和移动设备),一个由FIDO联盟开发的用于补充WebAuthn的外部认证器协议

更强的身份验证:FIDO身份验证比单纯依赖密码和相关身份验证方式要强大得多,并具有以下优点

用户证书和生物识别模板永远不会离开用户的设备,也不会存储在服务器上

帐户可以免受网络钓鱼,中间人攻击和使用被盗密码的反复攻击

开发人员可以开始在FIDO新的开 发者资源页面上创建利用FIDO身份验证的应用程序和服务。

*来源:OpenWeb开发者

更多资讯

◈ Gmail 测试自毁邮件功能

http://t.cn/RmWdvrT

◈ 微软和其他第三方防病毒应用因为可能的威胁禁止uTorrent运行

http://t.cn/RmWd7El

◈ 在数据黑箱和信赖危机面前 谁更应该战战兢兢?

http://t.cn/RmWdzVI

◈ 博士黑客贩卖500万条公民信息 湖北警方抓获8人团伙

http://t.cn/RmWdzdi

(信息来源于网络,安华金和搜集整理)

640?wx_fmt=jpeg



sftp免密登录

public class LogInSftpByPubKey {  private static final Logger logger=LoggerFactory.getLogger(AuthSf...
  • L422388158
  • L422388158
  • 2016-05-06 10:32:37
  • 1772

服务器免密登录以及SecureCRT免密登录

ssh免密登录原理: ssh免密登录使用公钥私钥密钥对的形式对客户端服务器进行验证 核心原则:公钥加密的信息,只有私钥能解密,详情百度rsa算法 tips:也有私钥加密,公钥解密的加密算法,实际...
  • lp18036194881
  • lp18036194881
  • 2017-12-04 20:15:37
  • 203

中国移动“一键免密登录”:免去注册登录的烦恼

手机号如何成为个人用户在移动互联网上的“虚拟身份证”?对于个人用户而言,是便捷;对于服务提供商而言,则是有据可循。...
  • MINMIN0
  • MINMIN0
  • 2017-12-07 16:06:37
  • 2729

SSL设置免密登录

一:SSL基本介绍ssh是secure shell的缩写,是建立在应用层和传输层基础上的安全协议,专为远程登录会话和其他网络服务提供安全性的协议。利用ssh协议可以有效地防止远程管理过程中的信息泄露问...
  • u011654631
  • u011654631
  • 2017-04-01 14:16:49
  • 909

服务器免密登录的实现以及异常解决方案

当我们在现在创建测试用Linux服务器或者服务器集群的时候,需要通过终端连接自己创建的服务器。 实现步骤分为2步:1、生成SSH Key;2、覆盖authorized_keys文件 1、生成SSH...
  • u013279509
  • u013279509
  • 2016-12-07 09:49:35
  • 1121

多台Linux服务器之间互相免密登陆

环境: 三台Linux 服务器      IP                                          Release                       ...
  • isgordon
  • isgordon
  • 2017-11-07 10:59:29
  • 320

云计算基础(一):免密钥登陆+docker基础

主要内容为: 安装vmware虚拟机,安装Ubuntu Linux操作系统,在虚拟机中完成免密钥登录,理解初步的分布式集群概念。并且联系docker容器的使用、启动、前后台执行、挂载数据卷,以及容器...
  • NGUever15
  • NGUever15
  • 2017-04-02 19:36:07
  • 402

Linux下 git 免密登录

Linux下 git 免密登录
  • bit_girl
  • bit_girl
  • 2016-12-13 14:16:02
  • 1259

免密认证

免密认证是中国电信天翼账号推出一项互联网身份验证解决方案,依托运营商的移动数据网络,采用“通信网关取号”及SIM卡识别等技术,准确识别用户手机号码。对于用户而言,使用免密认证的过程中,无需注册,只需点...
  • lengtouqin123
  • lengtouqin123
  • 2017-05-26 17:00:52
  • 454

ssh免密登录配置+调试讲解(超详细)+原理解析

有写的不对的地方,欢迎各位同学评论指正,博主会进行修改。 前言 集群搭建中,常常需要配置ssh免密登录,而每台机器情况不一样,本来博主认为没多少东西,结果,博主...
  • m0_37590135
  • m0_37590135
  • 2017-07-03 20:32:33
  • 885
收藏助手
不良信息举报
您举报文章:【每日安全资讯】Web 开发重磅,FIDO 与 W3C 联合支持免密认证登录
举报原因:
原因补充:

(最多只允许输入30个字)