userVerification 深度解析

Eiji Kitamura

本文档介绍了 WebAuthn 中的 userVerification 是什么，以及在创建通行密钥或进行身份验证期间指定 userVerification 时会导致的浏览器行为。

WebAuthn 中的“用户验证”是什么？

通行密钥基于公钥加密技术构建而成。创建通行密钥时，系统会生成公钥/私钥对，私钥由通行密钥提供程序存储，公钥会返回给依赖方 (RP) 服务器进行存储。服务器可以使用配对的公钥验证由同一通行密钥签名的签名，从而对用户进行身份验证。公钥凭据上的“用户存在”(UP) 标志可证明有人在身份验证期间与设备进行了互动。

用户验证是一项可选的安全层，旨在断言在身份验证期间是正确的用户在场，而不是用户在场断言中所说的某个用户。在智能手机上，通常使用屏幕锁定机制（无论是生物识别、PIN 码还是密码）来实现此目的。在通行密钥注册和身份验证期间，身份验证器数据中会返回“UV”标志，以报告是否执行了用户验证

macOS 上 iCloud 钥匙串上的用户验证对话框。

Android Chrome 上的用户验证对话框。

如何在服务器上验证 UP 和 UV

系统会在身份验证器数据字段中向服务器发送用户在线 (UP) 和用户已验证 (UV) 布尔标志。在身份验证期间，可通过使用存储的公钥验证签名来验证身份验证器数据字段的内容。只要签名有效，服务器就可以将标志视为真实。

公钥凭据中的身份验证器数据字段。

在通行密钥注册和身份验证期间，服务器应检查 UP 标志是否为 true，以及 UV 标志是否为 true 或 false（具体取决于要求）。

指定 userVerification 参数

根据 WebAuthn 规范，RP 可以在创建凭据和断言时使用 userVerification 参数请求用户验证。它接受 'preferred'、'required' 或 'discouraged'，分别表示：

• 'preferred'（默认）：首选在设备上使用用户验证方法，但如果无法使用，则可以跳过。如果执行了用户验证，响应凭据包含的 UV 标志值为 true；如果未执行 UV，则包含 false 标志。
• 'required'：必须调用设备上可用的用户验证方法。如果没有可用的实例，请求将在本地失败。这意味着响应凭据始终会返回 UV 标志并将其设置为 true。
• 'discouraged'：不建议使用用户验证方法。不过，无论如何，系统都可能会执行用户验证，并且 UV 标志可以包含 true 或 false。

用于创建通行密钥的示例代码：

const publicKeyCredentialCreationOptions = {
  // ...
  authenticatorSelection: {
    authenticatorAttachment: 'platform',
    residentKey: 'required',
    requireResidentKey: true,
    userVerification: 'preferred'
  }
};

const credential = await navigator.credentials.create({
  publicKey: publicKeyCredentialCreationOptions
});

通行密钥身份验证的示例代码：

const publicKeyCredentialRequestOptions = {
  challenge: /* Omitted challenge data... */,
  rpId: 'example.com',
  userVerification: 'preferred'
};

const credential = await navigator.credentials.get({
  publicKey: publicKeyCredentialRequestOptions
});

您应该为“userVerification”选择哪个选项？

您应使用的 userVerification 值取决于您的应用要求以及用户体验需求。

何时使用 userVerification='preferred'

如果您更重视用户体验而非保护，请使用 userVerification='preferred'。

在某些环境中，用户验证会给用户带来更多不便，而不是保护用户。例如，在 Touch ID 不可用（因为设备不支持、已停用或处于合盖模式）的 macOS 上，系统会要求用户改为输入系统密码。这会造成不便，用户可能会完全放弃身份验证。如果消除摩擦对您来说更重要，请使用 userVerification='preferred'。

当触控 ID 不可用时，macOS 上显示的通行密钥对话框。

使用 userVerification='preferred' 时，如果成功执行用户验证，则 UV 标志为 true；如果跳过用户验证，则标记为 false。例如，在无法使用 Touch ID 的 macOS 上，系统会要求用户点击一个按钮以跳过用户验证，并且公钥凭据包含 false UV 标志。

然后，UV 标志可作为风险分析中的信号。如果登录尝试因其他因素而显得存在风险，您可以让用户在未进行用户验证的情况下要求用户进行额外的登录验证。

注意：在 google.com 上进行身份验证目前使用 userVerification='preferred'。

何时使用 userVerification='required'

如果您认为 UP 和 UV 都绝对必要，请使用 userVerification='required'。

此选项的缺点是，用户在登录时可能会遇到更多阻碍。例如，在无法使用 Touch ID 的 macOS 上，系统会要求用户输入系统密码。

借助 userVerification='required'，您可以确保在设备上执行用户验证。确保服务器验证 UV 标志是否为 true。

总结

通过利用用户验证，使用通行密钥的信赖方可以评估设备所有者登录的可能性。开发者可以选择是要求用户进行验证，还是将其设为可选，具体取决于后备登录机制对用户体验流程的影响程度。确保服务器检查 UP 标志和 UV 标志以进行通行密钥用户身份验证。