W3C批准WebAuth作为无密码登录的Web标准

为什么80%的码农都做不了架构师？>>>   

World Wide Web Consortium (W3C) 宣布 Web Authentication API (WebAuthn) 成为正式的 Web 标准。WebAuthn 现在是一项无密码登录验证的开放标准，为 Web 应用和服务提供了无密码的公钥身份认证接口，获得了 Airbnb、阿里巴巴、Apple、Google、IBM、Intel,、Microsoft、Mozilla、PayPal、SoftBank、腾讯和  Yubico 等公司的支持，允许用户使用生物识别、移动设备等登录在线账号。主流浏览器如 Google Chrome、Mozilla Firefox 和 Microsoft Edge 都已经在去年加入了对 WebAuthn 的支持，苹果的 Safari 浏览器则在预览版中加入了对 WebAuthn 的支持。

 

W3C的WebAuthn推荐FIDO 联盟的FIDO2规范集的核心组成部分。FIDO2是支持公钥加密和多因素身份验证的标准 - 特别是通用身份验证框架（UAF）和通用第二因子（U2F）协议。为了促进采用，FIDO联盟提供测试工具和认证计划。

 

FIDO2尝试以四种方式解决传统身份验证问题：

安全性：FIDO2加密登录凭证在每个网站都是唯一的；生物识别或密码等其他机密永远不会离开用户的设备，也永远不会存储在服务器上。此安全模型消除了网络钓鱼及所有形式的密码被盗和重放攻击的风险。

便利性：用户使用指纹识别器、相机、FIDO安全密钥或个人移动设备等简单方法登录。

隐私：由于FIDO密钥对于每个互联网站点都是唯一的，因此它们不能用于跨站点跟踪用户。

可扩展性：网站可以通过API调用，跨平台支持数十亿消费者常用设备上的浏览器和平台。

 

消息来源：venturebeat  沃通CA翻译整理

转载于:https://my.oschina.net/wossl/blog/3020573