webauthn

Web Authentication

WebAuthn (Web Authentication) est un standard du World Wide Web Consortium (W3C)1,2 avec la contribution de la FIDO Alliance3 qui propose une interface d'authentification des utilisateurs aux applications Web à l'aide de clés asymétriques et/ou de token U2F. Cette interface est une extension de l'API plus générale « Credential Management » qui définit comment les navigateurs Web ou autres agents utilisateur doivent interagir avec un gestionnaire de mots de passe. Standard soutenu par l’alliance FIDO.

WebAuthn
https://webauthn.guide
Web Authentication API at MDN (Mozilla Developer Network)
https://github.com/webauthn-open-source
User Verifying Platform Authenticators (UVPA).

En rapport avec passkey

Pensées

L'idée d'origine est l'authentification avec un token physique mais qui se voit remplacer par un fournisseur cloud (samsung, google, apple, …). Il est alors plus simple de laisser l'utilisateur enregistrer son mot de passe comme son système lui propose (sûrement au même endroit dans le cloud).
À moins de ne pas proposer l'auth pas mot de passe, auquel cas WebAuthn est bien plus résistant aux tentatives d'usurpation.

Discussions

dans les commentaires de https://dev.to/dagnelies/passkeys-webauthn-library-v20-is-there-6c9

Démos

Checks:

https://featuredetect.passkeys.dev/

Démos:

Note: Il faut stocker les clés crypto, donc le phone doit être connecté à Google, Samsung ou autres services Proton Pass Key or 1Password or Bitwarden … Sinon le système demande un token via USB, NFC ou un QRCode avec url FIDO.

Tests

Tests at https://featuredetect.passkeys.dev/

PPA : Passkey Platform Authenticator
UVPA : User Verifying Platform Authenticator
HT : Hybrid Transports
GCC : Get Client Capabilities
CG : Conditional Get (Autofill UI)

Phone & System	Browser	PPA	UVPA	HT	GCC	CG
Samsung A05s, Android 14	Firefox 132.0.2	Ok	Ok	Unknow	Not	Not
Samsung A41, Android 12	Firefox 132.0.2	Not	Not	Unknow	Not	Not

Ne fonctionne pas avec Android 12

I does not work with Samsung A41 Android 12 with Chrome 128 & Firefox 132

The “new registration” does not work, it throw “The operation either timed out or was not allowed.” at https://webauthn.lubu.ch/_test/client.html and it does not work too on https://webauthn.io/, https://www.passkeys.io/, https://webauthn.me/ 😞

Tickets