Approfondimento su user Verification

Eiji Kitamura

Questo documento illustra che cos'è userVerification in WebAuthn e i comportamenti del browser che si verificano quando userVerification viene specificato durante la creazione o l'autenticazione della passkey.

Che cos'è la "verifica dell'utente" in WebAuthn?

Le passkey si basano sulla crittografia a chiave pubblica. Creando una passkey, viene generata una coppia di chiavi pubblica/privata, la chiave privata viene archiviata dal fornitore della passkey e la chiave pubblica viene restituita al server della terza parte attendibile (RP) per essere archiviata. Il server può autenticare un utente verificando una firma firmata dalla stessa passkey utilizzando la chiave pubblica accoppiata. L'indicatore "utente presente" (UP) in una credenziale con chiave pubblica dimostra che qualcuno ha interagito con il dispositivo durante l'autenticazione.

La verifica dell'utente è un livello di sicurezza opzionale che mira ad affermare che durante l'autenticazione era presente la persona corretta e non solo una persona, come afferma la presenza dell'utente. Sugli smartphone, in genere viene utilizzato il meccanismo di blocco schermo, che si tratti di un dato biometrico, di un PIN o di una password. Se la verifica dell'utente è stata eseguita è riportata nel flag "UV" che viene restituito nei dati dell'autenticatore durante la registrazione e l'autenticazione della passkey

Come vengono convalidati UP e UV sul server

I flag booleani presenza utente (UP) e verifica utente (UV) vengono segnalati al server nel campo dei dati dell'autenticatore. Durante l'autenticazione, i contenuti del campo dei dati dell'autenticatore possono essere convalidati verificando la firma utilizzando la chiave pubblica archiviata. Finché la firma è valida, il server può considerare attendibili gli indicatori.

Durante la registrazione e l'autenticazione della passkey, il server deve verificare che il flag UP sia true e se il flag UV sia true o false, a seconda del requisito.

Specifica del parametro userVerification

Secondo la specifica WebAuthn, la parte soggetta a limitazioni può richiedere una verifica dell'utente con un parametro userVerification sia nella creazione delle credenziali sia nell'asserzione. Accetta 'preferred', 'required' o 'discouraged', che significano rispettivamente:

• 'preferred' (valore predefinito): è preferibile utilizzare un metodo di verifica utente sul dispositivo, ma questo passaggio può essere saltato se non è disponibile. La credenziale di risposta contiene un valore del flag UV pari a true se è stata eseguita la verifica dell'utente e false se la verifica dell'utente non è stata eseguita.
• 'required': è necessario invocare un metodo di verifica dell'utente disponibile sul dispositivo. Se non è disponibile, la richiesta non va a buon fine a livello locale. Ciò significa che la credenziale di risposta restituisce sempre il flag UV impostato su true.
• 'discouraged': l'utilizzo di un metodo di verifica utente è sconsigliato. Tuttavia, a seconda del dispositivo, la verifica dell'utente può essere comunque eseguita e il flag UV può contenere true o false.

Codice campione per la creazione di una passkey:

const publicKeyCredentialCreationOptions = {
  // ...
  authenticatorSelection: {
    authenticatorAttachment: 'platform',
    residentKey: 'required',
    requireResidentKey: true,
    userVerification: 'preferred'
  }
};

const credential = await navigator.credentials.create({
  publicKey: publicKeyCredentialCreationOptions
});

Codice di esempio per l'autenticazione con passkey:

const publicKeyCredentialRequestOptions = {
  challenge: /* Omitted challenge data... */,
  rpId: 'example.com',
  userVerification: 'preferred'
};

const credential = await navigator.credentials.get({
  publicKey: publicKeyCredentialRequestOptions
});

Quale opzione dovresti scegliere per userVerification?

Il valore userVerification da utilizzare dipende dai requisiti dell'applicazione e dalle esigenze relative all'esperienza utente.

Quando utilizzare userVerification='preferred'

Usa userVerification='preferred' se dai la priorità all'esperienza utente rispetto alla protezione.

Esistono ambienti in cui la verifica dell'utente è più problematica che protettiva. Ad esempio, su macOS, dove Touch ID non è disponibile (perché il dispositivo non lo supporta, è disabilitato o è in modalità a conchiglia), all'utente viene chiesto di inserire la password di sistema. Ciò causa attriti e l'utente potrebbe abbandonare del tutto l'autenticazione. Se per te è più importante eliminare le difficoltà, utilizza userVerification='preferred'.

Con userVerification='preferred', il flag UV è true se la verifica dell'utente viene eseguita correttamente e false se viene saltata. Ad esempio, su macOS, dove Touch ID non è disponibile, viene chiesto all'utente di fare clic su un pulsante per saltare la verifica dell'utente e la credenziale della chiave pubblica include un flag UV false.

L'indicatore UV può quindi essere un indicatore nell'analisi del rischio. Se il tentativo di accesso sembra rischioso a causa di altri fattori, ti consigliamo di presentare all'utente ulteriori verifiche di accesso se non è stata eseguita la verifica dell'utente.

Quando utilizzare userVerification='required'

Utilizza userVerification='required' se ritieni che sia assolutamente necessario utilizzare sia UP che UV.

Uno svantaggio di questa opzione è che l'utente potrebbe riscontrare più difficoltà durante l'accesso. Ad esempio, su macOS, dove Touch ID non è disponibile, all'utente viene chiesto di inserire la password di sistema.

Con userVerification='required', puoi assicurarti che la verifica dell'utente venga eseguita sul dispositivo. Assicurati che il server verifichi che il flag UV sia true.

Conclusione

Sfruttando la verifica dell'utente, le parti che si basano sulle passkey possono valutare la probabilità che il proprietario del dispositivo acceda. Sta a lui scegliere se richiedere la verifica dell'utente o renderlo facoltativo, a seconda di quanto critico il meccanismo di accesso di riserva influisce sul flusso dell'utente. Assicurati che il server controlli i flag UP e UV per l'autenticazione utente delle passkey.