转载

提升安全性，主流浏览器将迎来新的Web认证标准

谷歌，微软和Mozilla的网络浏览器很快将为用户提供由FIDO联盟和万维网联盟（W3C）构建的新的无密码认证标准，目前正处于最终审批阶段。

W3C已将新的认证标准 WebAuthn 推进到候选推荐标准（CR）阶段，这是最终批准Web标准之前的最后一步。预计将为全球用户提供更强大的Web身份验证，它已经在Windows，Mac，Linux，Chrome OS和Android平台上实施。

W3C的WebAuthn API为每个站点提供强大的，唯一的基于公钥的证书，从而消除了一个站点上的密码被盗用在另一个站点上的风险。WebAuthn可以集成到浏览器和Web平台基础架构中，为用户提供新的方法进行安全认证。

与FIDO的客户端到验证器协议（CTAP）规范一起，它是FIDO2项目的核心组件，它使“用户能够通过具有钓鱼安全性的桌面或移动设备轻松验证在线服务。”

CTAP使外部身份验证者能够通过USB，蓝牙或NFC将更安全的身份验证凭证传输到可访问Internet的设备（PC或手机）。

提升安全性，主流浏览器将迎来新的Web认证标准

WebAuthn和CTAP都可以在今天使用，这样开发人员和供应商就可以在他们的产品和服务中实现对新认证方法的支持。有了主流的浏览器供应商提供支持，新标准应为所有互联网用户提供安全性更高、有硬件支持的FIDO身份验证保护。

“经历多年来越来越严重的数据泄露和密码凭证被盗，现在是时候终止服务提供商对易受攻击密码和一次性密码的依赖性，并为所有网站和应用程序采用网页仿冒FIDO身份验证”，FIDO联盟执行董事 Brett McDowell 说。

企业和在线服务提供商可以很快部署新的Web认证标准，以保护自己和他们的客户免受与密码相关的风险。新的FIDO2规范补充了现有的无密码FIDO UAF和第二因子FIDO U2F用例。所有FIDO2网络浏览器和在线服务均向后兼容经过认证的FIDO安全密钥。

这些标准目前正在主流的Web浏览器中实施，包括Chrome，Firefox和Microsoft Edge。FIDO表示，Android和Windows 10将具有对FIDO身份验证的内置支持。

该联盟表示，它很快将推出互用性测试，并计划为服务器，客户端和认证机构颁发符合FIDO2规范的认证。一致性测试工具已经在FIDO的网站上提供。

针对与所有FIDO认证器类型（FIDO UAF，FIDO U2F，WebAuthn和CTAP）互用性的服务器的新的Universal Server认证也正在进行中。

在具有FIDO身份验证器的设备上的浏览器中运行的Web应用程序可以调用公共API来启用用户的FIDO身份验证。开发人员可以在FIDO的新开发人员资源页面上了解更多信息。

使用FIDO2，用户可以从两个简单的方面受益，他们可以使用内部/内置身份验证器（例如PC，笔记本电脑和/或移动设备中的指纹或面部生物测定学）或外部身份验证器（安全密钥和移动设备），同时享受更安全的身份验证机制，凭据和生物识别模板永远不会离开用户的设备，帐户也不会受到使用被盗密码的网络钓鱼、中间人攻击和重放攻击。

*参考来源： SecurityWeek ，由Andy编译，转载请注明来自FreeBuf.COM

原文 http://www.freebuf.com/news/168378.html

正文到此结束