CTAP — протокол Client-to-Authenticator для FIDO2

Эта страница переведена автоматически. Прочитайте оригинальную версию на английском здесь.

Что такое CTAP (протокол «клиент-аутентификатор»)?#

CTAP (протокол «клиент-аутентификатор») — это стандартизированный механизм для оптимизации и защиты обмена данными между устройством пользователя (например, ноутбуком или браузером) и аутентификатором (например, аппаратным ключом безопасности или смартфоном). Он служит мостом, который обеспечивает эффективное взаимодействие между несколькими компонентами в процессе аутентификации пользователя, особенно в контексте стандартов FIDO2 и WebAuthn.

Ключевые моменты#

CTAP — это основополагающий протокол, обеспечивающий бесшовную связь между клиентами и аутентификаторами в FIDO2.
CTAP является эволюцией аутентификации Universal 2nd Factor (U2F), открывая путь к беспарольной и более безопасной аутентификации пользователя.
CTAP поддерживает как резидентные, так и нерезидентные ключи, что дополнительно повышает гибкость идентификации и аутентификации пользователя.

Эволюция и значение CTAP#

Традиционная система «имя пользователя — пароль», когда-то считавшаяся золотым стандартом онлайн-безопасности, со временем показала свои уязвимости. Пользователи выбирали легко запоминающиеся (и легко взламываемые) пароли или использовали одни и те же пароли на разных платформах, поэтому возникла острая необходимость в более надежном и безопасном методе. Осознавая эту потребность, FIDO Alliance в сотрудничестве с Консорциумом Всемирной паутины (W3C) возглавил разработку более надежных систем: FIDO2 и WebAuthn. И центральное место в этих усовершенствованиях занимает CTAP. ‍

Понимание роли CTAP#

Дополнение к WebAuthn: В то время как WebAuthn фокусируется на соединении между системой пользователя и сайтом, требующим идентификации, CTAP регулирует обмен данными между аутентификатором (например, USB-накопителем или мобильным устройством) и основным устройством пользователя.
Повышение безопасности: Протокол CTAP гарантирует, что конфиденциальные данные, такие как отпечатки пальцев, никогда не покинут устройство, обеспечивая дополнительный уровень безопасности. Это минимизирует риски, связанные с утечками данных и атаками фишинга. ‍

Версии CTAP#

CTAP1 (U2F): Предшественник текущего CTAP, U2F, был в первую очередь ориентирован на двухфакторную аутентификацию. Он требовал поиска пользователя на стороне сервера для идентификации, что несколько ограничивало его возможности.
CTAP2: Более продвинутая версия, CTAP2, вводит концепцию резидентных ключей, способствуя беспарольной и даже «безымянной» (без имени пользователя) аутентификации. Этот сдвиг ознаменовал значительный шаг к более ориентированному на пользователя опыту аутентификации.
CTAP2.1: Основываясь на фундаменте CTAP2, версия CTAP2.1 вносит такие улучшения, как более эффективное управление резидентными ключами, позволяющее обновлять отдельные ключи без полного сброса устройства, а также корпоративная аттестация для большего контроля со стороны организаций.

Процесс аутентификации с помощью CTAP#

Обмен данными через CTAP происходит по определенной схеме. Сначала клиентское ПО (например, браузер) подключается к аутентификатору и запрашивает информацию. На основе полученных данных оно отправляет соответствующие команды аутентификатору, который, в свою очередь, отправляет ответ или сообщение об ошибке. Этот итеративный процесс обеспечивает как безопасность, так и эффективность во время аутентификации.

Часто задаваемые вопросы о CTAP (протокол «клиент-аутентификатор»)#

Чем CTAP отличается от WebAuthn в рамках FIDO2?#

Хотя оба являются важнейшими компонентами FIDO2, WebAuthn фокусируется на соединении между системой пользователя и сайтами, требующими идентификации. В отличие от него, CTAP регулирует связь между основным устройством пользователя и аутентификатором, таким как ключи безопасности или смартфоны.

Почему CTAP жизненно важен для современных методов аутентификации, таких как Passkeys?#

CTAP обеспечивает эффективный обмен данными между устройствами и аутентификаторами, делая беспарольные методы, такие как Passkeys, эффективными. Стандартизируя эту коммуникацию, CTAP гарантирует согласованность и безопасность на различных платформах и устройствах.

Существуют ли разные версии CTAP?#

Да, существует CTAP1, который в первую очередь предназначен для двухфакторной аутентификации. CTAP2 ввел резидентные ключи, способствуя развитию беспарольной аутентификации. Более поздняя версия, CTAP2.1, привнесла расширенные функции, такие как улучшенное управление резидентными ключами и корпоративная аттестация.

Как CTAP повышает безопасность от фишинговых атак?#

CTAP гарантирует, что конфиденциальные данные для аутентификации, такие как отпечатки пальцев, никогда не покинут устройство пользователя. Поскольку пользователям не нужно вводить пароли, атаки фишинга, которые часто направлены на кражу таких учетных данных, становятся неэффективными.

О Corbado

Corbado — это Passkey Intelligence Platform для CIAM-команд, обеспечивающих аутентификацию пользователей в крупных масштабах. Мы показываем то, что не видят логи IDP и общие инструменты аналитики: какие устройства, версии ОС, браузеры и менеджеры учётных данных поддерживают passkey, почему регистрации не превращаются в логины, где сбоит WebAuthn-поток и когда обновление ОС или браузера тихо ломает вход — всё это без замены Okta, Auth0, Ping, Cognito или вашего собственного IDP. Два продукта: Corbado Observe добавляет наблюдаемость для passkey и любых других способов входа. Corbado Connect даёт managed passkey со встроенной аналитикой (рядом с вашим IDP). VicRoads использует passkey для более чем 5 млн пользователей с Corbado (+80 % активации passkey). Поговорить с экспертом по passkey →