用於加密的 Webauthn

Question

我們有一個帶有 PWA 的項目，我們希望在其中實施客戶端加密。 我們想將 Webauthn 用作與密碼相結合的第二個因素。 在后台，我們使用隨機生成的密鑰來加密/解密數據庫，該密鑰與服務器上的密碼對稱加密存儲。 但是，我正在努力尋找一種使用 webauthn 向此密鑰添加加密的好方法。 到目前為止我的嘗試：使用來自https://webauthn.guide的原始 JS 示例，但是我找不到始終相同且可用於對稱加密/解密的部分，即使使用相同登錄時公鑰也會更改USB 令牌多次（？？？）

使用npm 中的 fido2-lib ：我無法讓示例工作，因為示例沒有很好的文檔記錄並且很長

使用像spring webauthn這樣的服務器端身份驗證，但是我不希望服務器知道有關客戶端的任何信息。

有什么建議我可以使用 webauthn 實現加密嗎？

Answer 1

我們有一個 PWA 項目，我們想在其中實現客戶端加密。 我們希望將 Webauthn 用作與密碼結合使用的第二個因素。 在后台，我們使用隨機生成的密鑰來加密/解密數據庫，該密鑰與服務器上的密碼對稱加密存儲。 但是，我正在努力尋找一種使用 webauthn 向此密鑰添加加密的好方法。 到目前為止我的嘗試：使用來自https://webauthn.guide 的原始 JS 示例，但是我找不到始終相同的部分並且可以用於對稱加密/解密，即使使用相同的登錄時公鑰也會發生變化USB 令牌多次 (???)

使用npm 中的 fido2-lib ：我無法讓示例工作，因為該示例沒有很好的文檔記錄而且很長

使用服務器端身份驗證，如spring webauthn ，但是我不希望服務器了解有關客戶端的任何信息。

我有什么建議可以使用 webauthn 實現加密嗎？

Answer 2

在這個問題之后多年， hmac-secret擴展已經到來。

此擴展將秘密綁定到 Webauthn 憑證。 此密鑰可用於在客戶端解密或加密數據。

另一種方法是使用largeBlob來存儲創建儀式期間生成的秘密。 請注意，這些擴展的可用性取決於使用的身份驗證器，並且可能會失敗。

Answer 3

您可以從以下 github repo 中學習，它有許多開箱即用的 Webauthn 示例（請參閱它支持的技術）

這是我在 github https://github.com/OwnID/samples找到的一些示例

此外，我在 passkeys.com 上閱讀了有關 FIDO、Webauthn 和passkeys的信息

關於這項很酷的技術的一切都在那里