WebAuthn (and FIDO2, CTAP)
siglasegurançaprogramação
A interface de navegador que os sites chamam para criar e usar credenciais de chave pública. O CTAP é o protocolo entre navegador e autenticador externo; FIDO2 é o termo guarda-chuva que cobre os dois.
As propriedades que importam para quem implementa: a origem entra nos dados assinados, então credenciais não podem ser reproduzidas em outro site; a verificação de usuário por biometria ou PIN do aparelho é feita localmente e nunca transmitida, que é o ponto que os usuários mais supõem ao contrário; e credenciais descobríveis permitem escolher a conta sem digitar usuário. A recuperação está deliberadamente fora do escopo, e é por isso que é a parte que toda implantação precisa desenhar sozinha - e em geral a parte que reintroduz o caminho phishável.
Também conhecido como: web authentication, fido2, ctap, user verification, relying party