kullanıcıDoğrulama ile ilgili ayrıntılı inceleme

Bu dokümanda, WebAuthn'da userVerification değerinin ne olduğu ve geçiş anahtarı oluşturma veya kimlik doğrulama sırasında userVerification belirtildiğinde ortaya çıkan tarayıcı davranışları açıklanmaktadır.

"Kullanıcı doğrulaması" nedir? nasıl kontrol edilir?

Geçiş anahtarları, ortak anahtar kriptografisiyle oluşturulur. Geçiş anahtarı oluşturulduğunda ortak-özel anahtar çifti oluşturulur, özel anahtar geçiş anahtarı sağlayıcısı tarafından saklanır ve ortak anahtar, saklamak için bağlı tarafın (RP) sunucusuna gönderilir. Sunucu, eşlenmiş ortak anahtarı kullanarak aynı geçiş anahtarıyla imzalanmış bir imzayı doğrulayarak bir kullanıcının kimliğini doğrulayabilir. "Kullanıcı mevcut" Ortak anahtar kimlik bilgisi üzerindeki (UP) işareti, kimlik doğrulama sırasında birisinin cihazla etkileşimde bulunduğunu kanıtlar.

Kullanıcı doğrulaması, kimlik doğrulama sırasında yalnızca bir kişinin değil, doğru kişinin bulunduğunu onaylamayı amaçlayan, isteğe bağlı bir güvenlik katmanıdır. Akıllı telefonlarda bunun için genellikle ekran kilidi mekanizması kullanılır. Bu mekanizma biyometri veya PIN ya da şifre olabilir. Kullanıcı doğrulamasının yapılıp yapılmadığı "UV" cinsinden bildirilir. geçiş anahtarı kaydı ve kimlik doğrulaması sırasında kimlik doğrulayıcı verilerinde döndürülen işaret

macOS'teki iCloud Anahtar Zinciri'ndeki kullanıcı doğrulama iletişim kutusunun ekran görüntüsü. İletişim kutusu, kullanıcıdan Touch ID'yi kullanarak oturum açmasını ister. Kimlik doğrulama isteğinde bulunan kaynağı ve kullanıcı adını görüntüler. İletişim kutusunun sağ üst kısmında "İptal" etiketli bir düğme bulunur.
macOS'teki iCloud Anahtar Zinciri'ndeki kullanıcı doğrulama iletişim kutusu.
ziyaret edin.
'nı inceleyin.
Android için Chrome'daki kullanıcı doğrulama iletişim kutusunun ekran görüntüsü. İletişim kutusunda, kullanıcıdan yüz tanıma veya parmak izi algılamayı kullanarak kimliğini doğrulaması istenir ve kimlik doğrulama isteyen kaynak gösterilir. Sol altta PIN kullanarak doğrulama seçeneği sunulur.
Android Chrome'daki kullanıcı doğrulama iletişim kutusu.

UP ve UV'nin sunucuda doğrulama yöntemi

Kullanıcı varlığı (UP) ve kullanıcı tarafından doğrulanmış (UV) boole işaretleri, kimlik doğrulayıcı veri alanında sunucuya sinyal gönderilir. Kimlik doğrulama sırasında, depolanan ortak anahtarla imza doğrulanarak kimlik doğrulayıcı veri alanının içeriği doğrulanabilir. İmza geçerli olduğu sürece sunucu, işaretleri orijinal olarak kabul edebilir.

Kimlik doğrulama veri yapısının tasviri. Soldan sağa, veri yapısının her bölümünde "RP ID HASH" yazar (32 bayt), "BAYRAKLAR" (1 bayt), "COUNTER" (4 bayt, big-endian uint32), 'ATTESTE CRED. DATA' (varsa değişken uzunluk) ve "EXTENSIONS" (varsa değişken uzunluklar (CBOR)). "BAYRAKLAR" bölümü, soldan sağa doğru etiketlenen olası işaretlerin listesini gösterecek şekilde genişletilir: "ED", "AT", "0", "BS", "BE", "UV", "0" ve "UP".
Ortak anahtar kimlik bilgilerindeki Authenticator veri alanları.

Geçiş anahtarı kaydı ve kimlik doğrulamasında sunucu, UP işaretinin true olduğunu ve UV işaretinin true veya false (ihtiyaca bağlı olarak) olup olmadığını incelemelidir.

userVerification parametresini belirtme

WebAuthn spesifikasyonuna göre, RP hem kimlik bilgisi oluşturma hem de onaylama sırasında userVerification parametresiyle kullanıcı doğrulaması isteyebilir. Sırasıyla 'preferred', 'required' veya 'discouraged' kabul edilir. Bunlar şu anlama gelir:

  • 'preferred' (varsayılan): Cihazda bir kullanıcı doğrulama yöntemi kullanılması tercih edilir, ancak bu yöntem sunulmuyorsa atlanabilir. Yanıt kimlik bilgisi, kullanıcı doğrulaması yapıldıysa true UV işareti değerini, UV yapılmadıysa false değerini içerir.
  • 'required': Cihazda bulunan bir kullanıcı doğrulama yönteminin çağrılması gerekir. Mevcut bir kod yoksa istek yerel olarak başarısız olur. Bu, yanıt kimlik bilgisinin her zaman UV işareti true olarak ayarlanmış şekilde döndürüleceği anlamına gelir.
  • 'discouraged': Kullanıcı doğrulama yönteminin kullanılması önerilmez. Bununla birlikte, cihaza bağlı olarak yine de kullanıcı doğrulaması yapılabilir ve UV işareti true veya false içerebilir.

Geçiş anahtarı oluşturmak için örnek kod:

const publicKeyCredentialCreationOptions = {
  // ...
  authenticatorSelection: {
    authenticatorAttachment: 'platform',
    residentKey: 'required',
    requireResidentKey: true,
    userVerification: 'preferred'
  }
};

const credential = await navigator.credentials.create({
  publicKey: publicKeyCredentialCreationOptions
});

Geçiş anahtarı kimlik doğrulaması için örnek kod:

const publicKeyCredentialRequestOptions = {
  challenge: /* Omitted challenge data... */,
  rpId: 'example.com',
  userVerification: 'preferred'
};

const credential = await navigator.credentials.get({
  publicKey: publicKeyCredentialRequestOptions
});

userVerification için hangi seçeneği seçmelisiniz?

Kullanmanız gereken userVerification değeri başvuru koşullarınıza ve kullanıcı deneyimi ihtiyaçlarınıza bağlıdır.

userVerification='preferred' ne zaman kullanılır?

Korumadan ziyade kullanıcı deneyimine öncelik veriyorsanız userVerification='preferred' kullanın.

Kullanıcı doğrulamasının, korumadan çok daha zahmetli olduğu ortamlar vardır. Örneğin, Touch ID'nin kullanılamadığı macOS'te (cihazın desteklenmediği, devre dışı bırakıldığı veya cihaz kapalı modda olduğu için) kullanıcıdan bunun yerine sistem şifresini girmesi istenir. Bu, sorunlara yol açar ve kullanıcı, kimlik doğrulamasından tamamen vazgeçebilir. Zorlukları ortadan kaldırmak sizin için daha önemliyse userVerification='preferred' özelliğini kullanın.

macOS'te, Touch ID kullanılamadığında görünen geçiş anahtarı iletişim kutusunun ekran görüntüsü. İletişim kutusunda, kimlik doğrulama isteğinde bulunan kaynak ve kullanıcı adı gibi bilgiler yer alır. İletişim kutusunun sağ üst kısmında "İptal" etiketli bir düğme bulunur.
Touch ID kullanılamadığında macOS'te bir geçiş anahtarı iletişim kutusu görüntüleniyor.

userVerification='preferred' için UV işareti, kullanıcı doğrulaması başarıyla tamamlandıysa true, kullanıcı doğrulaması atlanırsa false olur. Örneğin, Touch ID'nin kullanılamadığı macOS'te, kullanıcıdan kullanıcı doğrulamasını atlamak için bir düğmeyi tıklaması istenir ve ortak anahtar kimlik bilgisinde bir false UV işareti bulunur.

UV işareti bu durumda risk analizinizde bir sinyal olabilir. Oturum açma denemesi başka faktörler nedeniyle riskli görünüyorsa ve kullanıcı doğrulaması yapılmamışsa kullanıcıya ek oturum açma sorgulamaları sunmak isteyebilirsiniz.

userVerification='required' ne zaman kullanılır?

Hem UP hem de UV'nin kesinlikle gerekli olduğunu düşünüyorsanız userVerification='required' kullanın.

Bu seçeneğin olumsuz bir yanı, kullanıcının oturum açarken daha fazla sürtüşmesidir. Örneğin, Touch ID'nin kullanılamadığı macOS'te kullanıcıdan sistem şifresini girmesi istenir.

userVerification='required' sayesinde, cihazda kullanıcı doğrulamasının yapılmasını sağlayabilirsiniz. Sunucunun, UV işaretinin true olduğunu doğruladığından emin olun.

Sonuç

Kullanıcı doğrulamasından yararlanarak geçiş anahtarını kullanan taraflar, cihaz sahibinin oturum açma olasılığını ölçebilir. Kullanıcı doğrulamasını zorunlu kılma veya yedek oturum açma mekanizmasının kullanıcı akışını ne kadar kritik etkilediğine bağlı olarak bunu isteğe bağlı hale getirme tercihi kullanıcılar tarafından yapılır. Sunucunun, geçiş anahtarı kullanıcı kimlik doğrulaması için UP işaretini ve UV işaretini kontrol ettiğinden emin olun.