Các bên đáng tin cậy (RP) có thể xác định nhà cung cấp khoá truy cập đã tạo khoá truy cập bằng cách kiểm tra AAGUID của thông tin xác thực khoá công khai được liên kết.
Thách thức liên quan đến việc quản lý khoá truy cập
Một trong những lợi ích của việc sử dụng khoá truy cập là người dùng có thể tạo nhiều khoá truy cập cho một tài khoản duy nhất. Với sự linh hoạt này cùng với tính mạnh mẽ của khoá truy cập, ngay cả khi người dùng không truy cập được vào tài khoản do mất một trong các khoá truy cập, họ vẫn có thể đăng nhập vào bên thứ ba đáng tin cậy bằng các khoá truy cập thay thế.
Thách thức đối với những người dùng quản lý nhiều khoá truy cập trên một RP là xác định đúng khoá truy cập khi họ cần chỉnh sửa hoặc xoá một khoá truy cập cụ thể trong số các khoá truy cập khác. Một ví dụ điển hình là khi người dùng muốn xoá một khoá truy cập không dùng đến. RP nên đính kèm thông tin về khoá truy cập, chẳng hạn như ngày tạo và ngày sử dụng gần đây nhất trong danh sách khoá truy cập. Điều này giúp người dùng tìm thấy một khoá truy cập cụ thể.
RP cũng có thể cho phép người dùng đặt tên cho khoá truy cập ngay sau khi tạo hoặc sau này, nhưng nhiều người dùng không làm vậy. Lý tưởng nhất là khoá truy cập được đặt tên tự động, phản ánh các tín hiệu được gửi từ ứng dụng khách hoặc thông tin có trong thông tin đăng nhập khoá công khai.
Các trình duyệt cung cấp một chuỗi tác nhân người dùng mà các bên tin cậy có thể dùng để đặt tên cho khoá truy cập, nhưng các nền tảng như Android, iOS hoặc trình duyệt máy tính có khả năng mở rộng cho phép trình quản lý mật khẩu bên thứ ba tạo khoá truy cập và chuỗi tác nhân người dùng không nhất thiết phải đại diện cho nhà cung cấp khoá truy cập thực tế.
Với Mã nhận dạng duy nhất trên toàn cầu của trình chứng thực (AAGUID) có trong thông tin xác thực khoá công khai được trả về khi đăng ký khoá truy cập, RP có thể xác định nhà cung cấp khoá truy cập và giúp người dùng tìm được khoá truy cập phù hợp.
Xác định nhà cung cấp khoá truy cập bằng AAGUID
AAGUID là một số duy nhất giúp xác định mô hình của trình xác thực (không phải là phiên bản cụ thể của trình xác thực). Bạn có thể tìm thấy AAGUID trong dữ liệu trình xác thực của thông tin xác thực khoá công khai.
RP có thể sử dụng AAGUID để xác định nhà cung cấp khoá truy cập. Ví dụ: nếu người dùng tạo khoá truy cập trên một thiết bị Android bằng Trình quản lý mật khẩu của Google, thì RP sẽ nhận được AAGUID là "ea9b8d66-4d01-1d21-3ce4-b6b48cb575d4". RP có thể chú thích khoá truy cập trong danh sách khoá truy cập để cho biết khoá truy cập đó được tạo trên Trình quản lý mật khẩu của Google.
Để ánh xạ AAGUID đến một nhà cung cấp khoá truy cập, RP có thể sử dụng một kho lưu trữ AAGUID do cộng đồng cung cấp. Bằng cách tra cứu AAGUID trên danh sách, bạn có thể tìm thấy tên nhà cung cấp khoá truy cập và văn bản dữ liệu svg của biểu tượng.
Truy xuất AAGUID là một tính năng mà hầu hết các thư viện WebAuthn đều cung cấp. Ví dụ sau đây minh hoạ mã đăng ký phía máy chủ bằng SimpleWebAuthn:
// Import a list of AAGUIDs from a JSON file
import aaguids from './aaguids.json' with { type: 'json' };
...
// Use SimpleWebAuthn handy function to verify the registration request.
const { verified, registrationInfo } = await verifyRegistrationResponse({
response: credential,
expectedChallenge,
expectedOrigin,
expectedRPID,
requireUserVerification: false,
});
...
const { aaguid } = registrationInfo;
const provider_name = aaguids[aaguid]?.name || 'Unknown';
Kết luận
AAGUID là một chuỗi duy nhất xác định nhà cung cấp khoá truy cập đã tạo một khoá truy cập. RP có thể sử dụng AAGUID để giúp người dùng dễ dàng quản lý khoá truy cập. Bạn có thể dùng một kho lưu trữ AAGUID do cộng đồng cung cấp để liên kết AAGUID với nhà cung cấp khoá truy cập.