تجهیز کردن سرویس شما به فایدو 2
برای تجهیز کردن سرویس های شرکت و یا سازمان خود به FIDO2 بهتر است اول با WebAuthn و یا همان فایدو 2 آشنا شوید، در این مقاله ما سعی میکنیم تا با توضیح دادن WebAuthn شما را با خدماتی که نشانه ارائه میکند آشنا کنیم، در نهایت شما می توانید تنها در عرض 5 دقیقه حساب کاربری رایگان خود را افتتاح کنید.
Web Authentication چیست ؟
Web Authentication که با نام کوتاه شده WebAuthn نیز شناخته می شود، یک استاندارد جهانی وب است که توسط کنسرسیوم شبکه جهانی وب و یا همان (W3C) با هدف افزایش امنیت و تأیید اعتبار منساب مبتنی بر کلید عمومی پیشنهاد شده است.
FIDO چیست ؟
FIDO کوتاه شده عبارت “Fast Identity Online” است. اتحاد FIDO یک گروه غیرانتفاعی می باشد که در سال 2012 با هدف حذف رمزهای عبور از اینترنت با استفاده از پروتکل های رمزنگاری تاسیس شده است.
پروتکل های FIDO موجب پیشرفت های امنیتی متعددی شده اند ، از جمله:
- استفاده از رمزنگاری کلید عمومی برای احراز هویت کاربر در یک وب سایت، از طریق استفاده از امضاهای دیجیتال
- استفاده از سخت‌افزارهای احراز هویت کننده برای تولید و ذخیره کلیدهای رمزنگاری
- ایجاد کلیدهای رمزنگاری منحصر به فرد برای هر وب سایت
- استفاده از بیومتریک (در صورت موجود بودن) برای تأیید اعتبار کاربر و عدم انتقال الگوی بیومتریک به وب سایت ها ، برای تأیید احراز هویت به وب سایت ها
- فعال کردن احراز هویت برای وب سایت های دارای چندین احراز هویت کننده
چرا Web Authentication؟
استاندارد Web Authentication دارای خاصیت انعطاف پذیری در برابر حملات فیشینگ است.
اساساً، حمله فیشینگ حمله‌ای می باشد که در آن یک هکر شما را فریب می‌دهد تا اطلاعات حساس، در مورد ما، اعتبارنامه ورود به سیستم را فاش کنید.
برخلاف سایر مکانیسم‌های MFA مانند OTP، مکانیسم WebAuthn در برابر چنین حملاتی مقاوم است. در واقع، هر جفت کلید به یک مبدأ یا دامنه وب خاص متصل است، به این معنی که حمله ای سعی دارد شما را فریب دهد تا از اعتبار WebAuthn در دامنه دیگری استفاده کند (مثلاً سایت جعلی بانک ملی با bank-bmi.ir به جای سایت قانونی بانک bmi.ir) از کار می افتد زیرا دستگاه احراز هویت یک جفت کلید متناظر برای آن دامنه نخواهد داشت. بنابراین حمله شکست خواهد خورد و هکر هیچ اطلاعات مفیدی به دست نخواهد آورد.
انواع اعتبار سنجی Web Authentication؟
Web Authentication به کاربران اجازه اعتبارسنجی با استفاده از یکی از دو گزینه زیر را می‌دهد:
احراز هویت کننده رومینگ
که در واقع دستگاه های قابل جابجایی و کراس پلتفرم مانند Yubikey هستند که می تواند در چندین دستگاه محتلف استفاده شود. برای احراز هویت با احراز هویت رومینگ ، شما به سادگی آن را به دستگاه متصل می کنید (از طریق USB ، NFC یا بلوتوث) ، حضور خود را اثبات کرده (مثلاً لمس کردن آن) و یک فاکتور احراز هویت اضافی مانند پین یا تشخیص اثر انگشت را ارائه می دهید.
احراز هویت کننده پلتفرم
این گزینه شامل تاچ بار مک بوک، Windows Hello، iOS Touch/FaceId و اسکن اثرانگشت و تشخیص چهره اندروید است. این ابزارها فقط در همان دستگاه کار می کنند و شما نمی توانید در استفاده از دستگاه دیگری از ان استفاده کنید.
Web Authentication چگونه کار می کند؟
در WebAuthn دو فرایند اصلی وجود دارد. اول یک بار ثبت نام به ازای هر سایت که کاربر با یک احراز هویت کننده یک کلید جدید را در یک وب سایت ثبت می کند. دوم احراز هویت که در هر بار تایید اعتبار کاربر برای دسترسی به عنوان کاربر در سایت انجام می شود.
ثبت نام:
- کاربر با نام کاربری منحصر به فرد در وب سایت شناخته می شود.
- سرور FIDO یک چالش ایجاد شده به طور تصادفی برای کاربر ارسال می کند. بسته به پروتکل FIDO مورد استفاده ، چالش یا از طریق یک مرورگر و یا یک برنامه وب یا از طریق یک رابط برنامه نویسی برنامه کاربردی (API) به یک برنامه مشتری غنی (RCA) ارائه می شود.
- با احراز هویت از مرورگر یا RCA ، و تأیید اعتبارات لازم ، تصدیق کننده یک جفت کلید رمزنگاری تولید می کند: یک کلید عمومی و یک کلید خصوصی متناظر با آن.
- کلید عمومی همراه با فراداده امضا شده دیجیتالی و سایر محتوای مورد نیاز به وب سایت بازگردانده می شود ، بنابراین مراحل ثبت نام کامل می شود.
احراز هویت با کلید FIDO2:
- کاربر با نام کاربری در وب سایت شناسایی می شود.
- سرور FIDO یک چالش ایجاد شده به طور تصادفی را همراه با هرگونه محتوای ذخیره شده قبلی برای کاربر ارسال می کند.
- با دریافت چالش و اجرای فرایند احراز هویت مورد نیاز، احراز هویت کننده اقدام به رمزنگاری چالش و فراداده های دیگر می کند.
- پاسخ امضا شده به وب سایت بازگردانده می شود.
- با تأیید امضا با کلید عمومی که قبلاً ذخیره شده است ، کاربر احراز هویت می شود ، بنابراین فرایند احراز هویت به پایان می رسد.
Web Authentication برای برنامه نویسان؟
در صورتی که تمایل دارید اطلاعات مورد نیاز جهت تجهیز کردن سرویس خود به فایدو 2 را بدست آورید، می توانید از طریق این لینک مستندات مورد نیاز خود را مشاهده کرده و همچنین آزمایش های مد نظر خود را نیز انجام دهید
چرا FIDO و WebAuthn ؟
اگر ارائه‌دهنده یک سرویس برخط هستید، خدمات یا کالایی را بر بستر اینترنت عرضه میکنید یا در سازمانی هستید که افراد مختلف امکان دسترسی به اطلاعات و خدمات مختلف بر بستر شبکه را دارند، قطعا از یک روش احراز هویت استفاده میکنید. شاید متداول‌ترین شکل احراز هویت که همه ما هر روز بارها و بارها از آن استفاده میکنیم نام کاربری و رمزعبور باشد، اما آیا این روش بهترین روش موجود است ؟
اگر تا به حال اسم FIDO یا WebAuthn را نشنیده‌اید، حتما در این باره تحقیق کنید، زیرا با این راهکار می‌توانید هم سطح امنیت سرویس‌ها و سازمان خود را ارتقا دهید و هم با ساده کردن فرآیند احراز هویت کاربران، سطح رضایت آنها را افزایش دهید.
اگر تا به حال اسم FIDO یا WebAuthn را نشنیده‌اید، حتما در این باره تحقیق کنید، زیرا با این راهکار می‌توانید هم سطح امنیت سرویس‌ها و سازمان خود را ارتقا دهید و هم با ساده کردن فرآیند احراز هویت کاربران، سطح رضایت آنها را افزایش دهید.
تجهیز سرویس شما به FIDO
تجهیز یک سایت یا سرویس که کاربران خود را تا به حال از روش های دیگر مانند رمز عبور یا یکبار رمزها احراز هویت نموده است، به شیوه مبتنی بر استاندارد FIDO بسیار ساده است، کافی است از چند رابط برنامه‌نویسی (API) استفاده کنید.
اگر در تیم شما توسعه‌دهنده وب وجود دارد می‌توانید به راحتی و در عرض چند ساعت با دریافت مستندات و نمونه کدهای موجود از ما، سرویس خود را به FIDO مجهز کنید. اما اگر این کار برایتان دشوار است یا برای شروع آن، پرسش یا مشکلی دارید، می‌توانید از کمک تیم فنی نشانه استفاده نموده و یا تجهیز سیستم خود به این شیوه احراز هویت را به ما واگذار کنید.
