WebAuthn, FIDO2 και Passkey Internals — DedSec Project

Ελληνική έκδοση — Μάθημα 131. Οι διεθνείς τεχνικοί όροι, protocol names, standards και commands παραμένουν στα Αγγλικά όπου αυτό αυξάνει την ακρίβεια.

Κατανόησε WebAuthn/FIDO2/passkeys σε επίπεδο protocol: RP ID, origin binding, challenges, authenticators, user verification, attestation και recovery.

Μαθησιακοί στόχοι

Στο τέλος πρέπει να μπορείς να:

• εξηγήσεις το WebAuthn ceremony roles και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το Relying Party ID and origin binding και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το credential creation and assertions και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το authenticator data and counters και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το user presence versus user verification και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,
• εξηγήσεις το discoverable/syncable credentials και να εντοπίσεις trust boundary, state transition και evidence που σχετίζονται με αυτό,

Βαθιές τεχνικές έννοιες

1. ceremony roles

WebAuthn περιλαμβάνει relying party, browser/client, authenticator και user. Το protocol δένει αυτούς τους actors με origin/RP context και public-key credential χωρίς reusable password secret στον server.

2. RP ID και origin binding

RP ID ορίζει domain scope του credential και browser origin δίνει web context. Η σωστή validation εμποδίζει assertion για ένα site να γίνει δεκτό από άσχετο site επειδή απλώς ταιριάζει username.

3. creation και assertion

Registration δημιουργεί credential/public key και authentication υπογράφει fresh challenge/context. Challenge πρέπει να είναι unpredictable, single-use, session-bound και να λήγει.

4. authenticator data και counters

Authenticator data περιέχει RP binding, flags και state, ενώ μερικοί authenticators έχουν counters. Counter είναι risk signal και όχι universal hard requirement επειδή syncable credentials και authenticators συμπεριφέρονται διαφορετικά.

5. user presence έναντι verification

User presence δείχνει αλληλεπίδραση με authenticator, ενώ user verification προσθέτει local PIN/biometric policy. RP πρέπει να ζητά και να επαληθεύει το επίπεδο που απαιτεί το συγκεκριμένο transaction.

6. discoverable και syncable credentials

Discoverable credentials επιτρέπουν username-less login και passkeys μπορεί να συγχρονίζονται μεταξύ trusted devices. Threat model πρέπει να περιλαμβάνει recovery, device enrollment, sync provider και notifications.

7. attestation και privacy

Attestation δίνει πληροφορία για authenticator provenance αλλά προσθέτει privacy/operational κόστος. Απαίτησέ το μόνο όταν υπάρχει συγκεκριμένη assurance ανάγκη.

8. recovery και multi-device lifecycle

Passkeys χρειάζονται credential inventory, new-device onboarding, lost-device response, revocation και recovery. Αδύναμο recovery channel μπορεί να παρακάμψει phishing-resistant authentication.

Καθοδηγούμενο εργαστήριο

• Εργαστήριο 1 — Σχεδίασε διάγραμμα εγγραφής και αυθεντικοποίησης WebAuthn με σημεία ελέγχου challenge, origin και RP-ID.

• Εργαστήριο 2 — Σύγκρινε κωδικό με OTP, WebAuthn δεσμευμένο σε συσκευή και συγχρονιζόμενα passkeys ως προς phishing, ανάκτηση και απώλεια συσκευής.

• Εργαστήριο 3 — Δημιούργησε μοντέλο απειλών ανάκτησης για υποθετική υπηρεσία που χρησιμοποιεί αποκλειστικά passkeys.

Πλήρες αγγλικό μάθημα

English Module 131

Επόμενα μαθήματα

Σχετικά modules: 021, 039, 049, 078, 092, 100. Από το κύριο menu επίλεξε Αναζήτηση μαθημάτων για να βρεις σχετικά θέματα σε όλο το project.