WebAuthn包含一个扩展的凭据管理API,允许您使用公钥。我可以转到chrome设置并检查托管密码,以查看我选择使用凭据管理api存储在浏览器中的用户名/密码。与webauthn+凭据管理api组合相关的几个问题。1.当我们成功创建凭据时,浏览器会存储哪些信息?1.我们可以从chrome设置(或其他方式)访问此信息吗?
sqougxex1#
这是一个很复杂的问题,唐草和麦基的回答都很中肯,这里有更多的细节。
最后但并非最不重要的是,你的问题:“我们可以从Chrome设置(或其他方式)访问此信息吗?”答:除非认证器供应商建立了一些后门。如果是这样的话,后门不是给你的,而是给黑客获取你所有的私钥的。
exdqitrt2#
1.无-凭证以受保护的形式存储在所使用的身份验证器设备内-例如,Yubikey等安全密钥或计算机或手机的TPM内。1.您可以在运行时通过WebAuthn API(navigator.credentials...)创建或获取凭据(在本例中get实际上意味着“对这个随机数进行签名”),但不能枚举它们。即使Yubico也没有提供一个工具,允许您仅列出其设备上持有的FIDO 2凭据。
hgqdbh6s3#
您的问题:1.浏览器不存储此信息,创建的信息(来自验证器)用于将验证器注册到应答方1.运行时
wko9yo5t4#
由于没有其他答案提到这些事情,我想我应该-操作可能不需要信息,但其他人可能。Chrome在开发人员工具的webauthn选项卡下提供了一个模拟安全密钥设备,您可以在其中存储、查看和管理凭据。https://developer.chrome.com/docs/devtools/webauthn/还有平台凭证的概念-其中凭证被内置到客户端设备中,该客户端设备被注册为“可信设备”。某些设备可以同时用作平台凭证和漫游凭证,具体取决于上下文。https://www.w3.org/TR/webauthn-2/#platform-authenticators
4条答案
按热度按时间sqougxex1#
这是一个很复杂的问题,唐草和麦基的回答都很中肯,这里有更多的细节。
最后但并非最不重要的是,你的问题:“我们可以从Chrome设置(或其他方式)访问此信息吗?”
答:除非认证器供应商建立了一些后门。如果是这样的话,后门不是给你的,而是给黑客获取你所有的私钥的。
exdqitrt2#
1.无-凭证以受保护的形式存储在所使用的身份验证器设备内-例如,Yubikey等安全密钥或计算机或手机的TPM内。
1.您可以在运行时通过WebAuthn API(navigator.credentials...)创建或获取凭据(在本例中get实际上意味着“对这个随机数进行签名”),但不能枚举它们。
即使Yubico也没有提供一个工具,允许您仅列出其设备上持有的FIDO 2凭据。
hgqdbh6s3#
您的问题:
1.浏览器不存储此信息,创建的信息(来自验证器)用于将验证器注册到应答方
1.运行时
wko9yo5t4#
由于没有其他答案提到这些事情,我想我应该-操作可能不需要信息,但其他人可能。
Chrome在开发人员工具的webauthn选项卡下提供了一个模拟安全密钥设备,您可以在其中存储、查看和管理凭据。https://developer.chrome.com/docs/devtools/webauthn/
还有平台凭证的概念-其中凭证被内置到客户端设备中,该客户端设备被注册为“可信设备”。某些设备可以同时用作平台凭证和漫游凭证,具体取决于上下文。
https://www.w3.org/TR/webauthn-2/#platform-authenticators