pembahasan mendalam userVerification

Dokumen ini membahas userVerification di WebAuthn, dan perilaku browser yang dihasilkan saat userVerification ditentukan selama pembuatan atau autentikasi kunci sandi.

Apa yang dimaksud dengan "verifikasi pengguna" di WebAuthn?

Kunci sandi dibuat berdasarkan kriptografi kunci publik. Dengan membuat kunci sandi, pasangan kunci publik-pribadi akan dibuat, kunci pribadi disimpan oleh penyedia kunci sandi, dan kunci publik dikembalikan ke server pihak yang mengandalkan (RP) untuk disimpan. Server dapat mengautentikasi pengguna dengan memverifikasi tanda tangan yang ditandatangani oleh kunci sandi yang sama menggunakan kunci publik yang disambungkan. Flag "user present" (UP) pada kredensial kunci publik membuktikan bahwa seseorang berinteraksi dengan perangkat selama autentikasi.

Verifikasi pengguna adalah lapisan keamanan opsional yang berupaya menyatakan bahwa orang yang benar hadir selama autentikasi, bukan hanya beberapa orang, seperti yang dinyatakan oleh kehadiran pengguna. Di smartphone, hal ini biasanya dilakukan dengan menggunakan mekanisme kunci layar, baik biometrik maupun PIN atau sandi. Apakah verifikasi pengguna dilakukan dilaporkan dalam tanda "UV" yang ditampilkan dalam data pengautentikasi selama pendaftaran dan autentikasi kunci sandi

Screenshot dialog verifikasi pengguna di iCloud Keychain di macOS. Dialog meminta pengguna untuk login menggunakan Touch ID, menampilkan asal yang meminta autentikasi, serta nama pengguna. Di kanan atas dialog terdapat tombol berlabel 'Batal'.
Dialog verifikasi pengguna di Rantai Kunci iCloud di macOS.
Screenshot dialog verifikasi pengguna di Chrome untuk Android. Dialog meminta pengguna untuk memverifikasi identitasnya menggunakan pengenalan wajah atau deteksi sidik jari, dan menampilkan asal yang meminta autentikasi. Di kiri bawah terdapat opsi untuk memverifikasi menggunakan PIN.
Dialog verifikasi pengguna di Chrome Android.

Cara UP dan UV divalidasi di server

Flag boolean kehadiran pengguna (UP) dan pengguna terverifikasi (UV) diberi sinyal ke server di kolom data pengautentikasi. Selama autentikasi, konten kolom data pengautentikasi dapat divalidasi dengan memverifikasi tanda tangan menggunakan kunci publik yang disimpan. Selama tanda tangan valid, server dapat menganggap tanda tersebut asli.

Penggambaran struktur data autentikasi. Dari kiri ke kanan, setiap bagian struktur data terbaca 'RP ID HASH' (32 byte), 'FLAGS' (1 byte), 'COUNTER' (4 byte, big-endian uint32), 'ATTESTE CRED. DATA' (panjang variabel jika ada), dan 'EXTENSIONS' (panjang variabel jika ada (CBOR)). Bagian 'FLAGS' diperluas untuk menampilkan daftar tanda yang mungkin ada, yang diberi label dari kiri ke kanan: 'ED', 'AT', '0', 'BS', 'BE', 'UV', '0', dan 'UP'.
Kolom data Authenticator dalam kredensial kunci publik.

Pada pendaftaran dan autentikasi kunci sandi, server harus memeriksa apakah flag UP adalah true, dan apakah flag UV adalah true atau false, bergantung pada persyaratannya.

Menentukan parameter userVerification

Sesuai dengan spesifikasi WebAuthn, RP dapat meminta verifikasi pengguna dengan parameter userVerification pada pembuatan dan pernyataan kredensial. Class ini menerima 'preferred', 'required', atau 'discouraged' yang masing-masing berarti:

  • 'preferred' (default): Menggunakan metode verifikasi pengguna di perangkat lebih disarankan, tetapi dapat dilewati jika tidak tersedia. Kredensial respons berisi nilai flag UV true jika verifikasi pengguna dilakukan, dan false jika UV tidak dilakukan.
  • 'required': Memerlukan metode verifikasi pengguna yang tersedia di perangkat. Jika tidak tersedia, permintaan akan gagal secara lokal. Artinya, kredensial respons selalu ditampilkan dengan flag UV yang ditetapkan ke true.
  • 'discouraged': Sebaiknya jangan gunakan metode verifikasi pengguna. Namun, bergantung pada perangkatnya, verifikasi pengguna mungkin tetap dilakukan, dan tanda UV dapat berisi true atau false.

Kode contoh untuk pembuatan kunci sandi:

const publicKeyCredentialCreationOptions = {
  // ...
  authenticatorSelection: {
    authenticatorAttachment: 'platform',
    residentKey: 'required',
    requireResidentKey: true,
    userVerification: 'preferred'
  }
};

const credential = await navigator.credentials.create({
  publicKey: publicKeyCredentialCreationOptions
});

Contoh kode untuk autentikasi kunci sandi:

const publicKeyCredentialRequestOptions = {
  challenge: /* Omitted challenge data... */,
  rpId: 'example.com',
  userVerification: 'preferred'
};

const credential = await navigator.credentials.get({
  publicKey: publicKeyCredentialRequestOptions
});

Opsi mana yang harus Anda pilih untuk userVerification?

Nilai userVerification yang harus Anda gunakan bergantung pada persyaratan aplikasi, serta kebutuhan pengalaman pengguna Anda.

Kapan menggunakan userVerification='preferred'

Gunakan userVerification='preferred' jika Anda lebih memprioritaskan pengalaman pengguna daripada perlindungan.

Ada lingkungan yang verifikasi penggunanya lebih menimbulkan hambatan daripada perlindungan. Misalnya, di macOS yang tidak memiliki Touch ID (karena perangkat tidak mendukungnya, dinonaktifkan, atau perangkat dalam mode konvensional), pengguna akan diminta untuk memasukkan sandi sistemnya. Hal ini menyebabkan hambatan, dan pengguna dapat sepenuhnya mengabaikan autentikasi. Jika menghilangkan hambatan lebih penting bagi Anda, gunakan userVerification='preferred'.

Screenshot dialog kunci sandi di macOS yang muncul saat Touch ID tidak tersedia. Dialog ini akan berisi info seperti asal yang meminta autentikasi, serta nama pengguna. Di kanan atas dialog terdapat tombol berlabel 'Batal'.
Dialog kunci sandi yang ditampilkan di macOS saat Touch ID tidak tersedia.

Dengan userVerification='preferred', tanda UV adalah true jika verifikasi pengguna berhasil dilakukan, dan false jika verifikasi pengguna dilewati. Misalnya, di macOS tempat Touch ID tidak tersedia, pengguna akan diminta untuk mengklik tombol guna melewati verifikasi pengguna, dan kredensial kunci publik akan menyertakan flag UV false.

Flag UV kemudian dapat menjadi sinyal dalam analisis risiko Anda. Jika upaya login tampak berisiko karena faktor lain, sebaiknya berikan verifikasi login tambahan kepada pengguna jika verifikasi pengguna tidak dilakukan.

Kapan menggunakan userVerification='required'

Gunakan userVerification='required' jika menurut Anda UP dan UV benar-benar diperlukan.

Kelemahan opsi ini adalah pengguna mungkin mengalami lebih banyak hambatan saat login. Misalnya, di macOS yang tidak memiliki Touch ID, pengguna akan diminta untuk memasukkan sandi sistemnya.

Dengan userVerification='required', Anda dapat memastikan bahwa verifikasi pengguna dilakukan di perangkat. Pastikan server memverifikasi bahwa tanda UV adalah true.

Kesimpulan

Dengan memanfaatkan verifikasi pengguna, pihak yang mengandalkan kunci sandi dapat mengukur kemungkinan pemilik perangkat login. Pilihan mereka menentukan apakah akan mewajibkan verifikasi pengguna, atau menjadikannya opsional, bergantung pada seberapa penting mekanisme login penggantian terhadap alur penggunaan. Pastikan server memeriksa flag UP dan flag UV untuk autentikasi pengguna kunci sandi.