Perbandingan 9 Library Implementasi Server WebAuthn

Cheatsheet Passkeys. Panduan praktis, pola peluncuran, dan KPI untuk program passkeys.

Dapatkan cheat sheet

Menyediakan autentikasi pengguna yang aman dan sederhana adalah suatu keharusan bagi perusahaan digital pada tahun 2024. Kunci sandi, sebagai standar login baru, adalah solusi ideal untuk memenuhi kebutuhan ini. Namun, pengalaman pengguna dan keamanan yang ditingkatkan dari kunci sandi untuk pengguna memiliki harga yang harus dibayar saat mengimplementasikannya sebagai developer. Tingkat kesulitan implementasi bermula dari fakta bahwa kunci sandi relatif baru - bagi pengguna, tetapi juga bagi developer dan implementasinya bisa cukup menantang dibandingkan dengan autentikasi berbasis sandi. Faktanya, Anda memerlukan setidaknya empat endpoint API untuk autentikasi kunci sandi dibandingkan dengan satu endpoint API untuk autentikasi sandi.

Salah satu komponen inti di sisi server untuk menyediakan autentikasi kunci sandi adalah server WebAuthn (bagian library berwarna hijau). Untuk panduan komprehensif tentang bagaimana server WebAuthn cocok dengan integrasi stack enterprise yang lebih luas, lihat artikel khusus kami.

Sumber: Yubico

Dalam postingan blog ini, kami membandingkan beberapa library / paket / SDK server WebAuthn, menganalisis perbedaan, dan memberikan rekomendasi untuk developer yang baru mengenal implementasi kunci sandi.

Untuk lebih memahami, mengapa library server WebAuthn diperlukan sejak awal, mari kita lihat bagaimana kunci sandi dapat diimplementasikan. Pada prinsipnya, ada dua cara untuk mengintegrasikan kunci sandi ke dalam situs web dan aplikasi:

1. Menggunakan solusi kunci sandi pihak ketiga (misalnya Corbado)
2. Mengimplementasikan kunci sandi Anda sendiri menggunakan salah satu library server WebAuthn dari bawah

Meskipun solusi kunci sandi pihak ketiga mudah diintegrasikan dan biasanya menghemat banyak waktu rekayasa (terutama untuk kasus edge, pemeliharaan, pemulihan, fallback, dan UX kunci sandi yang ditingkatkan), beberapa developer lebih suka mengimplementasikan semuanya sendiri.

Coba passkeys dalam demo live.

Coba passkeys

Mari kita lihat bagaimana implementasi kunci sandi do-it-yourself bekerja. Dalam setup yang sangat mendasar, mekanisme untuk mendaftar (sign-up) dan mengautentikasi (login) diperlukan. Kedua proses tersebut, yang juga disebut upacara WebAuthn, ditangani secara berbeda, meskipun alur keseluruhannya mengikuti skema yang serupa:

1. Frontend (browser) menginisiasi permintaan sign-up atau login dan memanggil endpoint API backend.
2. Backend menghasilkan parameter sign-up atau login WebAuthn. Parameter ini masing-masing disebut PublicKeyCredentialCreationOptions dan PublicKeyCredentialRequestOptions. Salah satu bagian terpenting dari parameter WebAuthn ini adalah tantangan (challenge). Parameter WebAuthn kemudian dikirim kembali ke frontend.
3. Frontend menerima parameter WebAuthn ini dan menggunakannya untuk memverifikasi identitas pengguna menggunakan sistem autentikasi perangkat lokal (misalnya via Face ID, Touch ID, Windows Hello). Dalam proses sign-up, pasangan kunci publik-privat baru dibuat, kunci privat disimpan secara lokal, sementara kunci publik dikirim ke server. Dalam proses login, tantangan ditandatangani menggunakan kunci privat dari kunci sandi dan dikirim ke endpoint API backend lain.
4. Dalam proses sign-up, backend menerima kunci publik dan menyimpannya. Dalam login, backend menerima tantangan yang ditandatangani dan memverifikasi integritasnya menggunakan server WebAuthn.

Karena setiap proses sign-up / login melibatkan langkah-langkah ini, backend perlu melacak pengguna, kunci sandi, dan permintaan sign-up / login.

Igor Gjorgjioski

Head of Digital Channels & Platform Enablement, VicRoads

We hit 80% mobile passkey activation across 5M+ users without replacing our IDP.

See how VicRoads scaled passkeys to 5M+ users — alongside their existing IDP.

Read the case study

Jika Anda ingin mendapatkan pengetahuan yang lebih mendalam tentang cara kerja kunci sandi dan bagaimana implementasi sederhananya (tanpa menggunakan solusi kunci sandi pihak ketiga), Anda dapat menyelidiki artikel blog kami di sini.

Dalam skenario kehidupan nyata, saat mengimplementasikan kunci sandi sendiri, perlu diingat bahwa ini bukan hanya tentang menyediakan endpoint API yang diperlukan dan implementasi dasar untuk sign-up dan login. Di samping itu, Anda perlu mengatasi topik dan kasus penggunaan berikut:

• Manajemen perangkat
• Alur login lintas platform dan lintas perangkat
• Manajemen pengguna
• Manajemen sesi
• Deteksi perangkat yang siap kunci sandi (passkey-readiness)
• Edukasi pengguna
• Opsi autentikasi fallback
• Mekanisme pemulihan
• Opsi untuk berbagi akun
• Alur pembuatan kunci sandi dan alur login kunci sandi yang dioptimalkan untuk adopsi tinggi

Meskipun begitu, untuk implementasi kunci sandi dasar, Anda hanya perlu mematuhi standar WebAuthn. Mengimplementasikan library server WebAuthn yang terkenal dan didukung biasanya sudah cukup. Library menghasilkan parameter server WebAuthn dan memverifikasi tantangan login, pada dasarnya mengambil alih bagian kriptografi dan paling kompleks untuk Anda.

Bergabunglah dengan komunitas passkeys kami untuk update dan dukungan.

Gabung

Semua library server WebAuthn yang dianalisis menyediakan fungsionalitas yang diperlukan untuk menawarkan autentikasi kunci sandi. Oleh karena itu, kami memberikan perhatian khusus pada kriteria berikut:

• Kriteria Pemilihan Autentikator: Bagaimana Anda dapat mengatur preferensi untuk perilaku dan fitur keamanan tertentu (misalnya memaksa pembuatan resident keys)?
• Pengaturan Global: Seberapa jauh Anda dapat memusatkan konfigurasi yang diperlukan?
• Dokumentasi: Seberapa baik library server WebAuthn didokumentasikan dan mudah diikuti
• Contoh: Apakah ada contoh implementasi yang Anda ambil sebagai referensi.

Library server WebAuthn berikut dianalisis (diurutkan berdasarkan jumlah bintang GitHub yang menurun pada bulan Desember 2023):

Lihat berapa banyak orang yang benar-benar memakai passkeys.

Lihat data adopsi

• Bahasa Pemrograman: Typescript
• Framework: Node.js
• Penulis: Matthew Miller (Duo Security / Cisco)
• Bintang: 1.000
• Digunakan oleh: 781
• Kontributor: 19
• Kesesuaian FIDO: Ya
• Pengaturan Global: Tidak
• Kriteria Pemilihan Autentikator: Seperti yang disarankan oleh W3C (harus berisi variabel authenticatorAttachment, residentKey, requireResidentKey, dan userVerification yang dijelaskan di halaman W3C juga)
• Dokumentasi: Terstruktur dengan baik dengan fokus pada pengaturan cepat dan kemudahan penggunaan, termasuk pengetahuan kunci sandi mis. menjelaskan apa itu kunci sandi dan bagaimana cara kerjanya
• Contoh: Contoh proyek tersedia di dokumentasi
• Struktur data yang direkomendasikan:

type UserModel = {
  id: string;
  username: string;
  currentChallenge?: string;
};
 
/**
 * It is strongly advised that authenticators get their own DB
 * table, ideally with a foreign key to a specific UserModel.
 *
 * "SQL" tags below are suggestions for column data types and
 * how best to store data received during registration for use
 * in subsequent authentications.
 */
type Authenticator = {
  // SQL: Encode to base64url then store as `TEXT`. Index this column
  credentialID: Uint8Array;
  // SQL: Store raw bytes as `BYTEA`/`BLOB`/etc...
  credentialPublicKey: Uint8Array;
  // SQL: Consider `BIGINT` since some authenticators return atomic timestamps as counters
  counter: number;
  // SQL: `VARCHAR(32)` or similar, longest possible value is currently 12 characters
  // Ex: 'singleDevice' | 'multiDevice'
  credentialDeviceType: CredentialDeviceType;
  // SQL: `BOOL` or whatever similar type is supported
  credentialBackedUp: boolean;
  // SQL: `VARCHAR(255)` and store string array as a CSV string
  // Ex: ['usb' | 'ble' | 'nfc' | 'internal']
  transports?: AuthenticatorTransport[];
};

• Karakteristik Lainnya: Hebat WebAuthn Debugger untuk respons WebAuthn dan tidak hanya menawarkan library backend / server tetapi juga library untuk frontend (pada dasarnya membungkus beberapa API Autentikasi Web dari klien)
• Penilaian Pribadi: Setup paling intuitif yang terlihat sejauh ini dan sangat mudah. Selain itu, ini adalah salah satu dari sedikit library yang juga menawarkan library browser untuk membantu implementasi klien sehingga membuatnya cukup menonjol. Penulis library ini sangat aktif di komunitas WebAuthn / kunci sandi.
• Tautan GitHub: https://github.com/MasterKale/SimpleWebAuthn

• Bahasa Pemrograman: C#
• Framework: .NET
• Penulis: Anders Åberg, Alex Seigler
• Bintang: 962
• Digunakan oleh: 200
• Kontributor: 40
• Kesesuaian FIDO: Ya
• Pengaturan Global: Ya
• Kriteria Pemilihan Autentikator: Seperti yang disarankan oleh W3C
• Dokumentasi: Hanya Readme dengan beberapa sampel, beberapa intelijen kunci sandi di situs web library
• Contoh: Pengontrol demo dan penyimpanan kredensial contoh tersedia untuk menunjukkan integrasi contoh
• Struktur data yang direkomendasikan:

public class StoredCredential
{
    /// <summary>
    /// The Credential ID of the public key credential source.
    /// </summary>
    public byte[] Id { get; set; }
 
    /// <summary>
    /// The credential public key of the public key credential source.
    /// </summary>
    public byte[] PublicKey { get; set; }
 
    /// <summary>
    /// The latest value of the signature counter in the authenticator data from any ceremony using the public key credential source.
    /// </summary>
    public uint SignCount { get; set; }
 
    /// <summary>
    /// The value returned from getTransports() when the public key credential source was registered.
    /// </summary>
    public AuthenticatorTransport[] Transports { get; set; }
 
    /// <summary>
    /// The value of the BE flag when the public key credential source was created.
    /// </summary>
    public bool IsBackupEligible { get; set; }
 
    /// <summary>
    /// The latest value of the BS flag in the authenticator data from any ceremony using the public key credential source.
    /// </summary>
    public bool IsBackedUp { get; set; }
 
    /// <summary>
    /// The value of the attestationObject attribute when the public key credential source was registered.
    /// Storing this enables the Relying Party to reference the credent’al's attestation statement at a later time.
    /// </summary>
    public byte[] AttestationObject { get; set; }
 
    /// <summary>
    /// The value of the clientDataJSON attribute when the public key credential source was registered.
    /// Storing this in combination with the above attestationObject item enables the Relying Party to re-verify the attestation signature at a later time.
    /// </summary>
    public byte[] AttestationClientDataJson { get; set; }
 
    public List<byte[]> DevicePublicKeys { get; set; }
 
    public byte[] UserId { get; set; }
 
    public PublicKeyCredentialDescriptor Descriptor { get; set; }
 
    public byte[] UserHandle { get; set; }
 
    public string AttestationFormat { get; set; }
 
    public DateTimeOffset RegDate { get; set; }
 
    public Guid AaGuid { get; set; }
}

• Karakteristik Lainnya: Digunakan oleh Bitwarden (startup passwordless.dev diakuisisi oleh Bitwarden)
• Penilaian Pribadi: Library ramah developer dengan jumlah materi tambahan yang baik
• Tautan GitHub: https://github.com/passwordless-lib/fido2-net-lib

• Bahasa Pemrograman: Python
• Framework: tidak spesifik
• Penulis: Duo Labs
• Bintang: 727
• Digunakan oleh: 912
• Kontributor: 23
• Kesesuaian FIDO: Tidak Tersedia
• Pengaturan Global: Tidak
• Kriteria Pemilihan Autentikator: Seperti yang disarankan oleh W3C
• Dokumentasi: Sedikit atau tidak ada, pengetahuan kunci sandi sebelumnya diperlukan
• Contoh: Sampel kode kecil untuk sign-up dan login disertakan
• Struktur data yang direkomendasikan: Tidak Tersedia
• Karakteristik Lainnya: Membutuhkan Python >= 3.8
• Penilaian Pribadi: Library yang tergolong ringkas dengan jumlah file kecil, Anda bisa mendapatkan ikhtisar dalam waktu singkat.
• Tautan GitHub: https://github.com/duo-labs/py_webauthn

• Bahasa Pemrograman: Ruby
• Framework: Ruby on Rails
• Penulis: Cedarcode
• Bintang: 580
• Digunakan oleh: 679
• Unduhan Gem: 18 Juta
• Kontributor: 27
• Kesesuaian FIDO: Ya
• Pengaturan Global: Ya
• Kriteria Pemilihan Autentikator: Seperti yang disarankan oleh W3C
• Dokumentasi: Readme adalah satu-satunya sumber dokumentasi
• Contoh: Tidak Tersedia
• Struktur data yang direkomendasikan: Tidak Tersedia
• Karakteristik Lainnya: Wrapper untuk library ini juga tersedia (warden-webauthn, devise-passkeys)
• Penilaian Pribadi: Karena materi tambahan cukup terbatas, kami hanya akan merekomendasikan library ini jika Anda familier dengan Ruby dan Kunci Sandi
• Tautan GitHub: https://github.com/cedarcode/webauthn-ruby

• Bahasa Pemrograman: Go
• Framework: Framework berbasis Go seperti Gin, Echo, …
• Penulis: Awalnya dari Duo Labs / dilanjutkan oleh James Elliott
• Bintang: 480
• Digunakan oleh: 280
• Kontributor: 18
• Kesesuaian FIDO: Ya
• Pengaturan Global: Ya
• Kriteria Pemilihan Autentikator: Seperti yang disarankan oleh W3C
• Dokumentasi: Readme dengan beberapa sampel adalah satu-satunya sumber dokumentasi
• Contoh: Repositori contoh tersedia
• Struktur Data yang Direkomendasikan: Tidak Tersedia
• Karakteristik Lainnya: Jumlah file yang besar, mendapatkan ikhtisar membutuhkan waktu
• Penilaian Pribadi: Library populer yang mudah digunakan setelah Anda terbiasa, namun kami menyarankan untuk mempelajari beberapa pengetahuan kunci sandi (Bagaimana cara kerjanya, seperti apa prosedurnya, dll) sebelumnya.
• Tautan GitHub: https://github.com/go-webauthn/webauthn

• Bahasa Pemrograman: Java
• Framework: Maven / Gradle
• Penulis: Yubico
• Bintang: 391
• Digunakan oleh: Tidak Tersedia
• Kontributor: 27
• Kesesuaian FIDO: Tidak Tersedia
• Pengaturan Global: Ya
• Kriteria Pemilihan Autentikator: Seperti yang disarankan oleh W3C.
• Dokumentasi: Readme adalah satu-satunya dokumentasi, tetapi agak mendetail
• Contoh: Tidak Tersedia
• Struktur Data yang Direkomendasikan: Tidak Tersedia
• Karakteristik Lainnya: Dilengkapi dengan antarmuka Credential Repository, memberikan panduan yang jelas tentang metode pengambilan database yang diperlukan.
• Penilaian Pribadi: Meskipun Anda harus mengelola database sendiri, repositori kredensial membantu secara signifikan dalam proses perancangan database. Secara alami, implementasi Java memiliki jumlah file yang ekstensif karena setiap atribut memerlukan kelas yang biasanya disimpan di filenya sendiri. Ini membuat proses mendapatkan ikhtisar menjadi tugas yang lebih memakan waktu.
• Tautan GitHub: https://github.com/Yubico/java-webauthn-server

• Bahasa Pemrograman: Rust
• Framework: Berbasis Rust (Rocket, Axum, …)
• Penulis: Kanidm Identity Management Project
• Bintang: 351
• Digunakan oleh: 617
• Kontributor: 25
• Kesesuaian FIDO: Tidak Tersedia
• Pengaturan Global: Ya
• Kriteria Pemilihan Autentikator: Kemungkinan konfigurasi yang sangat terbatas. Library lain diimplementasikan persis sesuai dengan Standar W3C, menampilkan konfigurabilitas yang lebih besar
• Dokumentasi: Ada dokumentasi teknis yang dibuat secara otomatis, tetapi tidak terlalu mendetail
• Contoh: Repositori tutorial dengan contoh untuk 3 framework web berbeda tersedia
• Struktur Data yang Direkomendasikan: Tidak Tersedia
• Karakteristik Lainnya: Library ini telah lulus audit keamanan yang dilakukan oleh keamanan produk SUSE.
• Penilaian Pribadi: Karena konfigurabilitas dan dokumentasi yang terbatas, kami hanya akan merekomendasikan library ini jika framework utama Anda berbasis Rust dan Anda mengetahui cara kerja kunci sandi
• Tautan GitHub: https://github.com/kanidm/webauthn-rs

• Bahasa Pemrograman: PHP
• Framework: Symfony
• Penulis: Florent Morselli
• Bintang: 347
• Digunakan oleh: Tidak Tersedia
• Kontributor: 18
• Kesesuaian FIDO: Ya
• Pengaturan Global: Ya
• Kriteria Pemilihan Autentikator: Seperti yang disarankan oleh W3C.
• Dokumentasi: Dokumentasi yang ekstensif termasuk detail teknis, tetapi juga menjelaskan kunci sandi dari dasar
• Contoh: Repositori contoh tersedia
• Struktur Data yang Direkomendasikan:

<?php
 
declare(strict_types=1);
 
namespace App\Entity;
 
use App\Repository\PublicKeyCredentialSourceRepository;
use DateTimeImmutable;
use Doctrine\DBAL\Types\Types;
use Doctrine\ORM\Mapping as ORM;
use Symfony\Component\Uid\AbstractUid;
use Symfony\Component\Uid\Uuid;
use Webauthn\PublicKeyCredentialSource as BasePublicKeyCredentialSource;
use Webauthn\TrustPath\TrustPath;
 
#[ORM\Table(name: 'pk_credential_sources')]
#[ORM\Entity(repositoryClass: PublicKeyCredentialSourceRepository::class)]
class PublicKeyCredentialSource extends BasePublicKeyCredentialSource
{
    #[ORM\Column(type: Types::DATETIME_IMMUTABLE)]
    public readonly DateTimeImmutable $createdAt;
 
    #[ORM\Id]
    #[ORM\Column(type: Types::STRING, length: 255)]
    #[ORM\GeneratedValue(strategy: 'NONE')]
    private string $id;
 
    public function __construct(
        string $publicKeyCredentialId,
        string $type,
        array $transports,
        string $attestationType,
        TrustPath $trustPath,
        AbstractUid $aaguid,
        string $credentialPublicKey,
        string $userHandle,
        int $counter
    ) {
        $this->id = Uuid::v4()->toRfc4122();
        $this->createdAt = new DateTimeImmutable();
        parent::__construct($publicKeyCredentialId, $type, $transports, $attestationType, $trustPath, $aaguid, $credentialPublicKey, $userHandle, $counter);
    }
 
    public function getId(): string
    {
        return $this->id;
    }
}

• Karakteristik Lainnya: Tidak Tersedia
• Penilaian Pribadi: Bagus untuk orang-orang yang ingin mengenal kunci sandi, tetapi tidak memiliki pengetahuan sebelumnya
• Tautan GitHub: https://github.com/web-auth/webauthn-framework

• Bahasa Pemrograman: Java
• Framework: Maven
• Penulis: WebAuthn4j
• Bintang: 342
• Digunakan oleh: Tidak Tersedia
• Kontributor: 19
• Kesesuaian FIDO: Ya
• Pengaturan Global: Ya
• Kriteria Pemilihan Autentikator: Sebagai pengganti parameter UserVerificationRequirement yang disarankan W3C dengan nilai discouraged, preferred, required, webauthn4j menawarkan verificationRequired dan userPresenceRequired sebagai variabel Boolean
• Dokumentasi: Dokumentasi yang kering namun ekstensif dengan beberapa contoh kode tersedia
• Contoh: Repositori contoh tersedia
• Struktur Data yang Direkomendasikan: Tidak Tersedia
• Karakteristik Lainnya: Tidak Tersedia
• Penilaian Pribadi: Membaca dokumentasinya dengan cepat menjadi membosankan dan kompleks, karena ini hanya satu halaman besar yang berfokus semata-mata pada fungsionalitas, bukan konsep di balik kunci sandi.
• Tautan GitHub: https://github.com/webauthn4j/webauthn4j

Tabel berikut memberikan ikhtisar tentang library server WebAuthn:

Berlangganan Passkeys Substack kami untuk berita terbaru.

Berlangganan

Karena sebagian besar library sama-sama andal dan mengimplementasikan standar WebAuthn, kami merekomendasikan pohon keputusan berikut:

• Tersedia Library Server WebAuthn di Framework & Bahasa Pemrograman Anda: Kami belum mencantumkan library framework yang bergantung pada salah satu library di atas (misalnya ada penyesuaian untuk PHP yang tersedia untuk Symfony dan Laravel). Jika ada implementasi framework, pilih ini karena memungkinkan Anda untuk mengimplementasikan pemanggilan API WebAuthn secara native ke dalam struktur framework Anda saat ini dan menggunakan abstraksi database Anda untuk mengimplementasikan penyimpanannya.
• Tersedia Library Server WebAuthn di Bahasa Pemrograman Anda: Karena Anda memerlukan endpoint API backend, pilih library server WebAuthn dalam bahasa pemrograman asli Anda agar dapat disematkan secara native ke dalam endpoint API Anda saat ini.
• Tidak Tersedia Library Server WebAuthn di Bahasa Pemrograman Anda: Dalam hal ini, Anda harus mempertimbangkan untuk menggunakan solusi kunci sandi terkelola seperti Corbado. Jika itu bukan pilihan, kami sarankan menggunakan go-webauthn atau SimpleWebAuthn karena keduanya memiliki adopsi terbesar, ringan, dan juga digunakan oleh banyak proyek komersial serta open-source.

Jika Anda hanya ingin mempelajari lebih lanjut tentang server WebAuthn secara umum tanpa memiliki proyek yang spesifik, kami dapat memberikan beberapa rekomendasi karena ada beberapa perbedaan di antara library dan materi tambahannya seperti dokumentasi serta contoh implementasi. Jadi, untuk software developer yang ingin memulai perjalanan implementasi kunci sandi mereka, kami menyarankan untuk memilih implementasi berikut:

• Untuk Pengujian Cepat: Paket py_webauthn menawarkan implementasi instan dengan potongan kode yang siap digunakan. Hanya dengan satu pemanggilan metode, Anda dapat menghasilkan opsi yang Anda perlukan untuk autentikasi. Karena Anda tidak perlu menanamkan library dalam suatu framework dan mengonfigurasinya, ini sangat ideal untuk pengujian cepat.
• Untuk Implementasi Intuitif: Paket SimpleWebauthn yang ditulis dalam Typescript sangat jelas dan ramah developer. Seperti py_webauthn, implementasinya sangat minimalis, tetapi juga dilengkapi dengan dokumentasi yang memandu Anda melalui proses autentikasi. Namun, berbeda dengan py_webauthn, SimpleWebAuthn tidak disertakan dengan contoh jelas yang berjalan tanpa modifikasi.
• Untuk Pemahaman Mendalam: Library webauthn-framework untuk PHP menonjol dengan dokumentasi yang ekstensif dan terstruktur dengan fokus pada konsep kunci sandi. Perbedaan utama dengan library lain yang memiliki jumlah dokumentasi yang baik seperti webauthn4j adalah desain dan kejelasan dokumentasinya.

Untuk pemahaman yang lebih mendalam tentang bagaimana WebAuthn bekerja di sisi server, Anda dapat membaca bagian detail Operasi WebAuthn Relying Party di dalam RFC WebAuthn yang merincikan setiap langkah yang perlu diimplementasikan untuk mendaftarkan kredensial baru (7.1) dan memverifikasi asersi autentikasi (7.2).

Evaluasi persyaratan spesifik kunci sandi dan WebAuthn yang Anda miliki. Dalam postingan blog ini, kami mengasumsikan Anda hanya ingin mendukung kunci sandi sebagai discoverable credentials. Bacalah tentang PublicKeyCredentialCreationOptions dan PublicKeyCredentialRequestOptions bersama dengan pemanggilan API WebAuthn sisi klien navigator.credentials.create() dan navigator.credentials.get() untuk mengatur parameter di konfigurasi SDK server WebAuthn dengan benar untuk kasus penggunaan Anda.

Untuk semua library server WebAuthn, Anda harus menyediakan struktur database yang tepat untuk menyimpan / mengakses informasi berikut:

• Kredensial
• Pengguna
• Tantangan (Challenges)
• Autentikator

Untuk beberapa library, terdapat rekomendasi dan contoh spesifik (jika kami merasa berguna, kami telah menyediakannya di atas). Sangat penting untuk memahami sepenuhnya field WebAuthn mana yang perlu disimpan di mana. Perhatikan secara khusus untuk mengidentifikasi nilai mana yang ingin Anda gunakan untuk ID Pengguna (user.id). Kami memiliki penjelasan yang lebih mendetail di sini. Selain itu, pertimbangkan apa yang terjadi jika pengguna menghapus kunci sandi. Di samping itu, Anda juga dapat membatasi penggunaan autentikator tertentu secara opsional. Daftar autentikator valid yang terkait dengan kunci sandi dapat ditemukan di sini. Jika Anda juga ingin mendukung dan memeriksa atestasi kunci keamanan (security keys), ini adalah bahasan yang sama sekali berbeda. Anda dapat menemukan informasi lebih lanjut di sini.

Identifikasi di perangkat mana pengguna Anda akan menggunakan kunci sandi dan metode autentikasi fallback. Jika Anda tidak yakin perangkat, browser, dan sistem operasi apa yang digunakan pengguna Anda, periksa State of Passkeys untuk data terbaru tentang tingkat kesiapan kunci sandi di seluruh platform, browser, dan sistem operasi. Jika Anda memiliki pertanyaan spesifik tentang adopsi kunci sandi dan pangsa kesiapan kunci sandi pada perangkat tertentu, jangan ragu untuk menghubungi kami. Kami dengan senang hati akan memberikan Anda wawasan lebih lanjut dan membantu Anda mengenai topik ini (lihat juga postingan blog terbaru kami tentang kesiapan kunci sandi). Dari perspektif observabilitas, pisahkan kegagalan WebAuthn sisi klien dan penolakan verifikasi server sebagai aliran yang terpisah; untuk definisi bucket sisi klien, gunakan kesalahan WebAuthn. Selain itu, Anda harus ingat bahwa untuk Windows 10 dan Linux, Anda perlu memunculkan solusi khusus karena sistem operasi ini memberikan dukungan kunci sandi paling minim (jika ada).

Lihat berapa banyak orang yang benar-benar memakai passkeys.

Lihat data adopsi

Untuk hampir setiap bahasa atau framework yang ada saat ini, terdapat library server WebAuthn yang sudah mapan. Membandingkan library dari berbagai bahasa tidak menunjukkan keunggulan yang jelas dari implementasi tertentu. Sebaliknya, Anda sebaiknya menggunakan framework / bahasa pemrograman yang paling Anda kuasai. Sebagai alternatif, jika Anda tidak ingin mengimplementasikan WebAuthn sendiri dan menangani semua hal yang menyertainya, Anda dapat mencoba solusi autentikasi kunci sandi siap pakai dan terdedikasi seperti Corbado. Menghadirkan solusi autentikasi serba ada yang berpusat pada kunci sandi, ia dilengkapi dengan intelijen kunci sandi yang hebat, manajemen sesi, serta metode autentikasi fallback, sehingga Anda dapat berfokus pada pengembangan produk Anda dan melepaskan urusan autentikasi. Anda dapat mencobanya secara gratis dengan pengguna tak terbatas di sini.

Tentang Corbado

Corbado adalah Authentication Intelligence Platform untuk tim CIAM yang menjalankan autentikasi consumer dalam skala besar. Kami membantu Anda melihat apa yang tidak bisa ditunjukkan oleh log IDP dan tool analytics generik: device, versi OS, browser, dan credential manager mana yang mendukung passkey; mengapa enrollment tidak menjadi login; di mana flow WebAuthn gagal; dan kapan update OS atau browser diam-diam merusak login — semuanya tanpa mengganti Okta, Auth0, Ping, Cognito, atau IDP internal Anda. Dua produk: Corbado Observe menambah observability untuk passkey dan metode login lainnya. Corbado Connect menghadirkan managed passkey dengan analytics terintegrasi (berdampingan dengan IDP Anda). VicRoads menjalankan passkey untuk 5M+ pengguna dengan Corbado (aktivasi passkey +80%). Bicara dengan pakar Passkey →

Pertama periksa apakah ada library untuk framework spesifik Anda, kemudian untuk bahasa pemrograman Anda. Karena semua library yang terdaftar mengimplementasikan standar WebAuthn secara setara, pilihan sebaiknya memprioritaskan seberapa familier Anda dengan stack yang ada daripada perbedaan fitur antar library.

Setidaknya Anda harus menyimpan kredensial, pengguna, tantangan (challenge), dan autentikator. Perhatikan dengan saksama nilai mana yang Anda tetapkan sebagai ID Pengguna (userHandle), dan rencanakan skenario di mana pengguna mungkin menghapus kunci sandi dari perangkat mereka.

Library server WebAuthn menangani operasi kriptografi yang paling kompleks: menghasilkan parameter PublicKeyCredentialCreationOptions dan PublicKeyCredentialRequestOptions serta memverifikasi tantangan yang ditandatangani. Melakukan hal ini dengan benar dari awal jauh lebih sulit daripada menggunakan library yang sesuai dengan FIDO yang telah diuji dan diaudit.

Windows 10 dan Linux memberikan dukungan kunci sandi paling sedikit, sehingga solusi cadangan (fallback) khusus diperlukan untuk pengguna di platform ini. Memantau kegagalan WebAuthn di sisi klien dan penolakan verifikasi server sebagai aliran terpisah akan membantu mengidentifikasi masalah spesifik OS dalam produksi.