Authentication 使用WebAuthn在桌面浏览器中进行自动身份验证

谷歌I/O'18展示了一个演示，其中一个用户通过提供指纹在PayPal上进行身份验证（见24:40）。这是在智能手机上运行的浏览器中完成的，智能手机上有指纹传感器，需要浏览器实现WebAuthn标准。指纹解锁用于质询-响应身份验证且存储在身份验证程序上的私钥

据我所知，通过将

用户验证

参数设置为

不鼓励

（请参阅），可以禁用用户交互（即请求指纹）。用户将自动登录

这个流程是否也可以在没有任何额外硬件的桌面浏览器上实现？浏览器中是否实现了可用于此目的的默认验证器

具体来说，我想这样做：

• 通过WebAuthn在桌面浏览器中注册公钥/私钥对，以便无法通过JavaScript访问私钥（例如，为了减轻XSS攻击）
• 每次将数据发送到服务器时，都会使用存储在“默认”验证器中的私钥通过WebAuthn API对数据进行签名，而无需用户交互

这个流程是否也可以在没有任何额外硬件的桌面浏览器上实现？浏览器中是否实现了可用于此目的的默认验证器

Chrome和大多数浏览器都可以生成一个公私密钥对，并将其用于身份验证。然而，如果没有像手机那样的专用硬件保护，该密钥的安全性充其量也是非常可疑的

---

首选的解决方案是使用USB令牌，如YubiKey。其中大多数确实需要交互，即按下令牌上的按钮，以防止恶意软件在用户不知情的情况下使用它，但您可能会找到一个不需要交互的，或者，您也可以找到一个允许您修改其固件并禁用此要求的密码管理器。

我的密码管理器会在我的桌面浏览器上自动将我登录到PayPal。我认为这不仅仅是一个安全问题，更是一个程序问题，因为您希望操作WebAuthnCan Chrome管理密钥对没有插件？Firefox不能。大多数浏览器都有误导性。在桌面上，只有Firefox和Chrome支持WebAuthn，只有Mobile Chrome。Chrome70现在支持公钥认证器，如手机和笔记本电脑上的biometry传感器。@Spock如何？我找不到那个功能。@C洛蒂，很抱歉，我刚才看到了你的问题。查找WebAuthn，我已经在我们公司的网站上实现了指纹/人脸解锁身份验证，它工作得非常出色。@Spock我已经阅读了WebAuthn上几乎所有的内容：-）但Chrome似乎只支持USB密钥。现在你告诉我指纹等有用-所以我试试-谢谢。