ritou

iddance Lesson.5 パスキーのすべて で受けた質問

1. Passkey のみのログインを提供した場合、ユーザが Passkey を保存しているデバイスやサービスに入れなくなっても、サービスからはなんのサポートも出来ないと思います。それをメールによるリカバリを提供すると、結局メールのセキュリティに引っ張られるように思います。参考になるリカバリ提供の事例はあるでしょうか？
2. 最初に Apple が提案した「共有できる FIDO2 Credentials」から、共有が必須でなくなったりしたと思います。結局今の「Passkey とは何か？」の定義ってどこに書かれているのが正なのでしょうか？
3. パスキー利用のアンチパターンを紹介してください
4. Passkey によってパスワードレス化が進むのかと思いますが、パスキーを保存する Apple や Google や 1Password のアカウントのパスワードレスはどうなるのでしょうか?
5. discoverable と 同期はどのような関係がありますか。 Androidで discoverable でない場合に同期しないのは、なぜですか
6. 「2.4 パスキーのよくある誤解を解く」に 「Webサイトで利用可能なパスキーがデバイス上に存在するかどうかを調べるAPIがプライバシーの懸念からできないことになっている」とは、どのような懸念でしょうか。
7. エンプラにおけるパスキーの現在地はどう思われますか？ Windowsはまだ同期パスキーに対応しないですし、シンクラや共有端末で使うのはハードルが高く、MacはPasswordsしか使えないのでManaged Apple IDを使わない限りシャドーIT化しますし・・・まだまだ業務で使うには厳しいのかな？と。
8. パスキーとマイナンバーカードを使う認証はどう違いますか？

ritou

すきっちゅーの！
ぱすきーっちゅーの！
好きになっちゃダメっつーの？
すきっちゅーの！
ぱすきっちゅーの！
パスワードとかいらんちゅーのchu!

顔だ！指紋だ！という貴方
面と向かってそれ言えます？

ritou

1. HTTP Client module

  defmodule Your.HttpClient do
    @behaviour Scratcher.HttpClient
    def request(method, url, body, headers, http_opts) do

      # use hackney, httpoison, httpotion...

 {:ok, %{status_code: 200, body: "..."}}

ritou

iex(1)> Application.ensure_all_started(:hackney)
{:ok,
 [:unicode_util_compat, :idna, :mimerl, :certifi, :syntax_tools, :parse_trans,
  :ssl_verify_fun, :metrics, :hackney]}
  
iex(2)> :hackney.request(:get, "https://example.com", [], "", [:with_body])
{:ok, 200,
 [
   {"Accept-Ranges", "bytes"},

ritou

iex(1)> JOSE.crypto_fallback(true)
:ok
iex(2)> JOSE.JWK.generate_key({:okp, :Ed25519})
%JOSE.JWK{
  fields: %{},
  keys: :undefined,
  kty: {:jose_jwk_kty_okp_ed25519,
   <<162, 30, 40, 233, 122, 159, 105, 49, 218, 101, 29, 205, 178, 236, 20, 132,
     14, 29, 119, 147, 44, 162, 49, 141, 96, 128, 117, 109, 21, 56, 64, 160, 4,

ritou

$ curl -i "https://same-site-cookie-tester.gigalixirapp.com/set_cookie"
HTTP/2 302 
server: nginx/1.17.7
date: Mon, 24 Aug 2020 01:36:18 GMT
content-type: text/html; charset=utf-8
content-length: 67
cache-control: max-age=0, private, must-revalidate
cross-origin-window-policy: deny
location: /

ritou

Application State

{
  "next_url":"/account/settings",
  ...
  "foo":"bar"
}

ritou

OIDCIBADEMO 使い方

関連仕様

• OpenID Connect Client Initiated Backchannel Authentication Flow - Core 1.0 draft-02
• OpenID Connect Discovery 1.0 incorporating errata set 1
• OpenID Connect Dynamic Client Registration 1.0 incorporating errata set 1
• OpenID Connect Extended Authentication Profile (EAP) ACR Values 1.0 - draft 00

Authentication Device の準備

ritou

ChromeのFIDO CTAP2 PIN support動作確認メモ

Chrome 75 Beta: low latency canvas contexts, sharing files, and numeric separators

Web Authentication API: FIDO CTAP2 PIN support
This feature extends Chrome's implementation of the Web Authentication API to support local user authorization of security key operations via a user-defined PIN for keys that implement the FIDO CTAP2 protocol. Web sites using web authentication can request or require such authorization via the API's user verification mechanisms.

Registration

ritou

Interop result with WebAuthnKit and WebAuthnLite. parameters is from https://github.com/lyokato/WebAuthnKit/blob/develop/utils/interop/go_koesie10_webauthn/main.go

iex(1)> origin = "https://example.org"
"https://example.org"
iex(2)> challenge = "rtnHiVQ7"
"rtnHiVQ7"
iex(3)> encoded_registration_client_data_json = "eyJ0eXBlIjoid2ViYXV0aG4uY3JlYXRlIiwiY2hhbGxlbmdlIjoicnRuSGlWUTciLCJvcmlnaW4iOiJodHRwczpcL1wvZXhhbXBsZS5vcmcifQ"
"eyJ0eXBlIjoid2ViYXV0aG4uY3JlYXRlIiwiY2hhbGxlbmdlIjoicnRuSGlWUTciLCJvcmlnaW4iOiJodHRwczpcL1wvZXhhbXBsZS5vcmcifQ"