FIDO - Как сервер FIDO проверяет целостность входящего открытого ключа во время фазы / церемонии регистрации? - PullRequest
Новая
       126

FIDO - Как сервер FIDO проверяет целостность входящего открытого ключа во время фазы / церемонии регистрации?

0 голосов
/ 13 октября 2018

Попытка обернуть мою голову вокруг костюма протокола FIDO.

Помещение

  1. Аутентификатор имеет главный закрытый ключ (также называемый ключом подтверждения))
  2. Во время церемонии регистрации аутентификатор подписывает запрос и несколько других параметров вместе с вновь созданным открытым ключом и отправляет его на универсальный сервер FIDO по протоколу WebAuthN.И сгенерированный закрытый ключ хранится в аутентификаторе локально.



Вопросы

  1. Как работает FIDOСервер проверяет целостность открытого ключа, сгенерированного аутентификатором (проще говоря, как сервер проверяет цепочку сертификатов до корня доверия)?Предполагается, что существует возможность для атаки с помощью mitm между аутентификатором и веб-клиентом.
  2. Имеет ли сервер соответствующий встроенный открытый ключ ключа аттестации / главный секретный ключ (репликация модели CA)?
  3. Если это так, все ли аутентификаторы fido имеют один и тот же мастер-ключ при создании (будь то программный модуль или аппаратный модуль)?Если нет, то как производители и серверы FIDO следят за созданием и развертыванием огромного количества физических аутентификаторов и программных модулей?

Ответы [ 2 ]

0 голосов
/ 27 мая 2019
  1. Аутентификатору вводится закрытый ключ (ключ аттестации) перед его продажей пользователю.Сертификат аттестации доверен серверу FIDO.Этот сертификат будет использоваться для проверки подписи в заявлении о подтверждении.Давайте поговорим о доверии к сертификату.Существует 2 вида доверия: доверие и цепочка доверия.

Доверие: сервер FIDO напрямую импортирует (сохраняет) известный сертификат поставщика аутентификатора.Допустим, я доверяю Yubico, я загружаю сертификат аттестации ключей Yubico с сайта Yubico и импортирую на мой сервер FIDO.Этот сертификат будет использоваться для проверки регистрации от пользователей, использующих ключи Yubico.Никто не может сгенерировать действительную аттестацию без приватной аттестации.Не беспокойтесь о человеке посередине, потому что поставщики, возможно, применили технологию защищенного чипа для защиты закрытого ключа.

Цепочка доверия: сервер FIDO явно доверяет службе метаданных FIDO (MDS) и простохранит сертификаты MDS.MDS выдает сертификаты для поставщиков аутентификаторов.Таким образом, когда средство проверки подлинности создает утверждение аттестации и отправляет его на сервер FIDO, сервер проверяет подпись с использованием сертификата аттестации в утверждении аттестации, а затем объединяет сертификат аттестации с сертификатами MDS для выполнения проверки.

Обратите внимание, что мы говоримо полной базовой модели аттестации, которая является наиболее распространенной до сих пор.ECDAA будет другим.

Как объяснить в 1. выше.Сервер МОЖЕТ или МОЖЕТ НЕ иметь открытого ключа аттестации.Обратите внимание, что закрытые ключи аттестации в аутентификаторах НЕ различны.Продавцы производят ключи безопасности партиями.В каждой партии они вводят одно и то же личное подтверждение, это для конфиденциальности пользователя.Это не идеальное решение.ECDAA, которая не запускается, полностью обеспечивает конфиденциальность пользователя.

Как поясняется в 1., 2.

0 голосов
/ 03 ноября 2018

FIDO-серверы могут использовать Службу метаданных Альянса FIDO для получения информации, которая поможет проверить цепочку сертификатов до корня доверия.

Шаг 15 из "Регистрацияновая учетная запись " в Рекомендации WebAuthn W3C гласит:

Если проверка прошла успешно, получите список приемлемых доверенных якорей (корневых сертификатов подтверждения или открытых ключей ECDAA-Issuer) для этого типа подтверждения иФормат заявления об аттестации fmt, из доверенного источника или из политики.Например, служба метаданных FIDO [FIDOMetadataService] предоставляет один из способов получения такой информации, используя aaguid в attestedCredentialData в authData.

Извлечение из https://fidoalliance.org/mds/:

Служба метаданных FIDO Alliance (MDS) - это веб-инструмент, с помощью которого поставщики средств проверки подлинности FIDO могут публиковать операторы метаданных для загрузки серверами FIDO.Это обеспечивает организациям, развертывающим серверы FIDO, централизованный и надежный источник информации об аутентификаторах FIDO.

...