WebAuthn
 | 此條目可參照英語維基百科相應條目來擴充。 (2022年5月6日) |
| 首次出版 | 2016年5月31日 |
|---|---|
| 最新版本 | Level 2 Recommendation 2021年4月21日 |
| 預覽版本 | Level 3 Candidate Recommendation Snapshot 2026年5月26日[1] |
| 組織 | FIDO2專案（FIDO聯盟和W3C） |
| 委員會 | Web Authentication Working Group |
| 編輯 | 現任編輯
|
| 基礎標準 | |
| 領域 | 身份驗證 |
| 縮寫 | WebAuthn |
Web Authentication（WebAuthn）是由萬維網聯盟發布的網頁標準[2][3][4]。該標準定義了一個標準Web API，用戶可以通過這個API在Web上進行安全認證。它通過使用數字簽名驗證用戶身份，解決了許多基於密碼的傳統身份驗證問題 [5]。Google、Microsoft以及Mozilla均在其研發的瀏覽器中支持WebAuthn標準[6]。WebAuthn支援不同類型的憑證，其中同步可發現憑證（英語：synced discoverable credentials，也稱為通行密鑰[7]）是最常見的。WebAuthn 經常被吹捧為完全取代密碼，即徹底消除了對密碼的需求。然而，大多數支持 WebAuthn 的網站仍然以某種方式使用密碼。[8]
要使用 WebAuthn，用戶需要一個兼容的認證器（authenticator）。該標準並未規定用於簽名所需的密鑰應如何存儲，因此可以使用多種類型的認證器。最常見的認證器類型是平台認證器（platform authenticator），它內置於設備的作業系統中。常見的平台認證器包括 Android、Apple Keychain 和 Windows Hello。這些認證器利用硬件安全功能（例如 TEE 和 TPM），並且通常會在設備之間同步憑據，以方便使用。另一種常見的認證器類型是漫遊認證器（roaming authenticator），即通過 USB、Bluetooth Low Energy 或 near-field communications（NFC）連接的獨立硬件設備，用於驗證用戶身份。大多數智能手機都可以用作漫遊認證器，專用的實體安全密鑰也被廣泛使用。WebAuthn 與 FIDO Universal 2nd Factor（U2F）實際上向後兼容，因為兩者都使用 CTAP 協議。[9] 密碼管理器也可以作為認證器使用，並且通常支持雲同步。[10] 當憑據同步不可行或無法實現時，可以使用 WebAuthn 混合傳輸（Hybrid Transport）訪問存儲在其他認證器（例如智能手機）上的憑據。[11]
與傳統的 U2F 一樣，WebAuthn 能夠抵抗某些網絡釣魚攻擊[12]，因為認證器只會提供在同源網站上註冊的憑據。然而，與 U2F 不同，WebAuthn 可以以無密碼認證的方式實現。[13] 此外，漫遊硬件認證器能夠抵抗惡意軟件，因為密鑰存儲在獨立的設備上，從而阻止惡意軟件直接訪問這些密鑰。
WebAuthn Level 1 和 Level 2 標準分別於 2019 年 3 月 4 日和 2021 年 4 月 8 日作為 W3C 推薦標準發布。[14][15][16] WebAuthn Level 3 規範在 2026 年期間經歷了多個候選推薦標準快照（Candidate Recommendation Snapshot）階段，[17][18] 並於 2026 年 7 月，W3C 提議將其推進為正式的推薦標準（Recommendation）。2026 年 8 月 25 日，該規範正式成為 W3C 推薦標準。[19]
參見
[編輯]參考資料
[編輯]- ^ Web Authentication Level 3 publication history. World Wide Web Consortium. [2026-08-14] （英語）.
- ^ Balfanz, Dirk; Czeskis, Alexei; Hodges, Jeff; Jones, J.C.; Jones, Michael B.; Kumar, Akshay; Liao, Angelo; Lindemann, Rolf; Lundberg, Emil (編). Web Authentication: An API for accessing Public Key Credentials Level 1 Recommendation. 萬維網聯盟 (W3C). 4 March 2019 [4 March 2019]. （原始內容存檔於2019-03-14）.
- ^ Web Authentication Working Group. 萬維網聯盟 (W3C). [2018-05-11]. （原始內容存檔於2016-05-15）.
- ^ Strickland, Jonathan. What is WebAuthn. TechStuff. 清晰頻道通信公司. 20:35 記錄於. 18 March 2019 [20 March 2019]. （原始內容存檔於2021-06-25）.
- ^ Langley, Adam. A Tour of WebAuthn. 2024-12-23 [2025-07-22]. （原始內容存檔於2026-07-21） （英語）.
- ^ 在全球实现更简单更强大的Web认证方式. w3c中國. [2021-03-04]. （原始內容存檔於2019-03-14）.
- ^ White Paper: Multi-Device FIDO Credentials (PDF). FIDO Alliance: 6. 2022-03 [2024-05-20]. （原始內容存檔 (PDF)於2024-06-16）.
- ^ Goodin, Dan. Passkey technology is elegant, but it's most definitely not usable security. [2025-07-22]. （原始內容存檔於2025-07-03） （英語）.
- ^ WebAuthn / CTAP: Modern Authentication (PDF). World Wide Web Consortium. 10 December 2018 [11 March 2019]. （原始內容存檔 (PDF)於4 December 2020）.
- ^ Will Passkeys Kill Password Managers?. Corbado. 2023-06-01 [2025-09-18] （英語）.
- ^ WebAuthn Passkey QR Codes & Bluetooth: Hybrid Transport. Corbado. 2023-11-08 [2025-09-18] （英語）.
- ^ Kan, Michael. Google: Phishing Attacks That Can Beat Two-Factor Are on the Rise. PC Magazine. 7 March 2019 [8 March 2019]. （原始內容存檔於8 March 2019）.
- ^ Practical passwordless authentication comes a step closer with WebAuthn. Ars Technica. 2018-04-10 [2024-10-16]. （原始內容存檔於1 January 2025） （美國英語）.
- ^ Balfanz, Dirk; Czeskis, Alexei; Hodges, Jeff; Jones, J.C.; Jones, Michael B.; Kumar, Akshay; Liao, Angelo; Lindemann, Rolf; Lundberg, Emil (編). Web Authentication: An API for accessing Public Key Credentials Level 1 (latest). World Wide Web Consortium. [4 March 2019]. （原始內容存檔於14 March 2019）.
- ^ W3C and FIDO Alliance Finalize Web Standard for Secure, Passwordless Logins. World Wide Web Consortium. 4 March 2019 [4 March 2019]. （原始內容存檔於4 March 2019）.
- ^ Balfanz, Dirk; Czeskis, Alexei; Hodges, Jeff; Jones, J.C.; Jones, Michael B.; Kumar, Akshay; Liao, Angelo; Lindemann, Rolf; Lundberg, Emil (編). Web Authentication: An API for accessing Public Key Credentials Level 2 Latest. World Wide Web Consortium. 8 April 2021 [27 November 2022]. （原始內容存檔於4 June 2019）.
- ^ W3C Invites Implementations of Web Authentication: An API for accessing Public Key Credentials Level 3. World Wide Web Consortium. 13 January 2026 [{{subst:CURRENTDAY}} September 2026].
- ^ Updated Candidate Recommendation: Web Authentication: An API for accessing Public Key Credentials Level 3. World Wide Web Consortium. 26 May 2026 [{{subst:CURRENTDAY}} September 2026].
- ^ Proposed Advancement of Web Authentication: An API for accessing Public Key Credentials Level 3 to W3C Recommendation. World Wide Web Consortium. 20 July 2026 [{{subst:CURRENTDAY}} September 2026].