Web Authentication (WebAuthn) is a web standard published by the World Wide Web Consortium (W3C).
Web Authentication (WebAuthn) atau Autentikasi Web adalah standar web yang diterbitkan oleh Konsorsium Waring Wera Wanua (W3C).
It defines an API that websites use to authenticate with WebAuthn credentials (passkeys) and outlines what WebAuthn authenticators should do.
Standar ini mendefinisikan API yang digunakan situs web untuk mengautentikasi dengan kredensial WebAuthn (dikenal sebagai passkeys atau kunci sandi) dan menjelaskan apa yang harus dilakukan oleh autentikator WebAuthn.
To use WebAuthn, users require a compatible authenticator.
Untuk menggunakan WebAuthn, pengguna memerlukan autentikator yang cocok.
The standard does not specify how to store the keys required for signing, so a variety of authenticator types can be used.
Standar ini tidak menentukan cara menyimpan kunci yang diperlukan untuk penandatanganan, sehingga berbagai jenis autentikator dapat digunakan.
The most common authenticator type is a platform authenticator, which is built into the operating system of the device.
Jenis autentikator yang paling umum adalah autentikator platform, yang terintegrasi dalam sistem operasi perangkat.
Common platform authenticators include Android, Apple Keychain and Windows Hello.
Platform autentikator yang umum meliputi Android, Apple Keychain, dan Windows Hello.
These make use of hardware security features (such as TEE and TPM), and often sync credentials between devices for ease-of-use.
Ini menggunakan fitur keamanan perangkat keras (seperti TEE dan TPM), dan melakukan sinkronisasi kredensial antar perangkat secara berkala untuk kemudahan penggunaan.
Another common authenticator type is a roaming authenticator, where a separate hardware device authenticates the user by connecting over USB, Bluetooth Low Energy, or near-field communications (NFC).
Jenis autentikator umum lainnya adalah autentikator jarak jauh (roaming), di mana perangkat keras terpisah mengautentikasi pengguna dengan menghubungkan melalui USB, Bluetooth Low Energy, atau komunikasi medan dekat (NFC).
Most smartphones can be used as roaming authenticators, and dedicated physical security keys are also used.
Sebagian besar ponsel cerdas dapat digunakan sebagai autentikator jarak jauh, dan perangkat keras kunci keamanan fisik khusus juga digunakan.
WebAuthn is effectively backward compatible with FIDO Universal 2nd Factor (U2F) as they both use the CTAP protocol.
WebAuthn secara efektif kompatibel dengan standar FIDO Universal 2nd Factor (U2F) karena keduanya menggunakan protokol CTAP.
Where credentials sync is not viable or possible, WebAuthn Hybrid Transport can be used to access credentials stored on another authenticator such as a smartphone.
Dalam situasi sinkronisasi kredensial tidak memungkinkan, WebAuthn Hybrid Transport dapat digunakan untuk mengakses kredensial yang tersimpan pada autentikator lain seperti ponsel cerdas.
Like legacy U2F, WebAuthn is resistant to phishing attacks as the authenticator only offers credentials that were registered on the same website.
Seperti standar U2F terdahulu, WebAuthn tahan terhadap serangan pengelabuan karena autentikator hanya menawarkan kredensial yang terdaftar di situs web yang sama.
However, unlike U2F, WebAuthn can be implemented in a passwordless manner.
Namun, tidak seperti U2F, WebAuthn dapat diimplementasikan tanpa kata sandi.
Moreover, a roaming hardware authenticator resists malware, since the keys are stored on a separate device, which prevents the malware from accessing them directly.
Selain itu, autentikator perangkat keras jarak jauh tahan terhadap malware, karena kunci disimpan di perangkat terpisah, yang mencegah akses langsung oleh malware.
The WebAuthn Level 1 and 2 standards were published as W3C Recommendations on 4 March 2019 and 8 April 2021 respectively.
Standar WebAuthn Tingkat 1 dan 2 diterbitkan sebagai Rekomendasi W3C masing-masing pada tanggal 4 Maret 2019 dan 8 April 2021.
A Level 3 specification is currently a First Public Working Draft (FPWD).
Spesifikasi Tingkat 3 saat ini merupakan First Public Working Draft (FPWD).
WebAuthn is a core component of the FIDO2 Project under the guidance of the FIDO Alliance.
WebAuthn adalah komponen inti dari Proyek FIDO2 yang diprakasai oleh organisasi industri FIDO Alliance.
FIDO2 is the successor to FIDO Universal 2nd Factor (U2F).
FIDO2 adalah penerus dari standar FIDO Universal 2nd Factor (U2F).
In multi-factor mode, the authenticator is activated by a test of user presence, which usually consists of a simple button push; no password is required.
Dalam moda multifaktor, autentikator diaktifkan dengan uji kehadiran pengguna, yang biasanya hanya dengan menekan tombol; tidak memerlukan kata sandi.
Depending on the authenticator capabilities, this can be: something you know: a secret such as a PIN, passcode or swipe pattern something you are: a biometric such as fingerprint, face, iris or voice
sesuatu yang Anda ketahui: rahasia seperti nomor identifikasi pribadi (PIN), kata sandi, atau pola gesek layar sesuatu yang menandakan bahwa Anda: biometrik seperti sidik jari, iris atau suara Apa pun modanya, autentikator tidak pernah membagikan rahasia atau data biometriknya dengan situs web tujuan.
Moreover, a single user's secret or biometric works with all websites, as the authenticator selects the correct cryptographic key material to use for the service requesting authentication after user verification was completed successfully.
Selain itu, rahasia atau biometrik pengguna tunggal berfungsi dengan semua situs web, karena autentikator memilih materi kunci kriptografi yang sesuai untuk digunakan oleh layanan yang meminta autentikasi setelah verifikasi pengguna berhasil diselesaikan.
A secret and biometric on the authenticator can be used together, similarly to how they would be used on a smartphone.
Sebuah rahasia dan biometrik pada autentikator dapat digunakan bersamaan, mirip seperti yang digunakan pada ponsel cerdas.
For example, a fingerprint provides convenient access to user's smartphone, but occasionally fingerprint access fails, in which case user can use a PIN.
Misalnya, sidik jari menyediakan akses mudah ke ponsel cerdas milik pengguna, tetapi terkadang akses pemindaian sidik jari gagal, sehingga pengguna dapat menggunakan PIN sebagai cadangan.
Predictable passwords vulnerable to dictionary attacks (e.g., "password", "12345678").
Kata sandi yang dapat diprediksi rentan terhadap serangan kamus (misalnya, "kata sandi", "12345678").
Unique credentials for each website: WebAuthn ensures credentials are unique per website, eliminating the following risks and vulnerabilities: Credential stuffing attacks, where attackers use credentials from one data breach across multiple sites.
Kredensial unik untuk setiap situs web: WebAuthn memastikan kredensial bersifat unik per situs web, menghilangkan risiko dan kerentanan berikut: Serangan pencurian kredensial, di mana penyerang menggunakan kredensial dari satu sumber data di beberapa situs.
When Apple first introduced passkeys to the public in 2022, they emphasized their first-party platform integrations.
Ketika Apple pertama kali memperkenalkan kunci sandi ke publik pada tahun 2022, mereka menekankan integrasi pihak pertama mereka.
This, combined with the lack of clear communication from other industry leaders, led some to speculate that passkeys were proprietary to Apple, which was not the case.
Hal ini, dikombinasikan dengan kurangnya komunikasi yang jelas dari perusahaan lain, menyebabkan beberapa orang berspekulasi bahwa kunci sandi adalah teknologi milik Apple (ini tidaklah benar).
As browsers and websites began to implement WebAuthn, the inconsistent feature-sets resulted in a variety of understandings of what exactly counted as a passkey.
Ketika peramban dan situs web mulai mengimplementasikan WebAuthn, set fitur yang tidak konsisten mengakibatkan timbulnya berbagai pemahaman tentang apa yang sebenarnya dihitung sebagai kunci sandi.
Some people assumed that a passkey required management by a platform authenticator, or needed synchronization using the cloud.
Beberapa orang berasumsi bahwa kunci sandi memerlukan manajemen oleh sebuah autentikator platform, atau memerlukan sinkronisasi jarak jauh dengan komputasi awan.
Like its predecessor FIDO U2F, W3C Web Authentication (WebAuthn) involves a website, a web browser, and an authenticator: The website is a conforming WebAuthn Relying Party The browser is a conforming WebAuthn Client
Seperti standar pendahulunya FIDO U2F, W3C Web Authentication (WebAuthn) melibatkan situs web, peramban web, dan autentikator:
The authenticator is a FIDO2 authenticator, that is, it is assumed compatible with the WebAuthn Client WebAuthn specifies how a claimant demonstrates possession and control of a FIDO2 authenticator to a verifier called the WebAuthn Relying Party.
Situs web ini adalah Pihak Pengandal WebAuthn yang sesuai Peramban web adalah Klien WebAuthn yang sesuai Autentikator adalah autentikator FIDO2, yang kompatibel dengan Klien WebAuthn WebAuthn menentukan bagaimana seorang pengklaim menunjukkan kepemilikan dan kendali atas autentikator FIDO2 kepada verifikator yang disebut
The authentication process is mediated by an entity called the WebAuthn Client, which is little more than a conforming web browser.
Proses autentikasi ini dimediasi oleh sebuah entitas yang disebut Klien WebAuthn, yaitu sebuah peramban web yang sesuai.
Authenticator is a multi-factor cryptographic authenticator that uses public-key cryptography to sign an authentication assertion targeted at the WebAuthn Relying Party.
Autentikator yang digunakan adalah autentikator kriptografi multifaktor yang menggunakan kriptografi kunci publik untuk menandatangani pernyataan autentikasi yang ditujukan kepada Pihak Pengandal WebAuthn.
The WebAuthn Client communicates with the authenticator using a JavaScript API implemented in the browser.
Klien WebAuthn berkomunikasi dengan autentikator menggunakan antarmuka pemrograman aplikasi JavaScript yang diimplementasikan di peramban.
WebAuthn does not strictly require a roaming hardware authenticator.
WebAuthn tidak sepenuhnya memerlukan autentikator perangkat keras jarak jauh.
Alternatively, a software authenticator (e.g., implemented on a smartphone) or a platform authenticator (i.e., an authenticator implemented directly on the WebAuthn Client Device) may be used.
atau autentikator platform (yaitu, autentikator yang diimplementasikan langsung pada Perangkat Klien WebAuthn) dapat digunakan.
Relevant examples of platform authenticators include Windows Hello and the Android operating system.
Contoh autentikator platform adalah Windows Hello dan sistem operasi Android.
WebAuthn Hybrid Transport allows the WebAuthn Client to access credentials stored on another authenticator such as a smartphone, useful in certain situations where credential sync is not viable.
WebAuthn Hybrid Transport memungkinkan Klien WebAuthn untuk mengakses kredensial yang tersimpan pada autentikator lain seperti ponsel cerdas, ini berguna dalam situasi tertentu saat sinkronisasi kredensial tidak memungkinkan.
There is a lingering misunderstanding among users that biometric data is transmitted over the network in the same manner as passwords, which is not the case.
Terdapat kesalahpahaman yang timbul di antara pengguna bahwa data biometrik ditransmisikan melalui jaringan dengan cara yang sama seperti kata sandi, hal ini tidaklah benar.
When the WebAuthn Relying Party receives the signed authentication assertion from the browser, the digital signature on the assertion is verified using a trusted public key for the user.
Ketika Pihak Pengandal WebAuthn menerima pernyataan autentikasi yang ditandatangani dari peramban, tanda tangan digital pada pernyataan tersebut diverifikasi menggunakan kunci publik tepercaya bagi pengguna.
To obtain a public key for the user, the WebAuthn Relying Party initiates a WebAuthn registration flow that is similar to the authentication flow illustrated above.
Untuk mendapatkan kunci publik bagi pengguna, Pihak Pengandal WebAuthn memulai alur registrasi WebAuthn yang serupa dengan alur autentikasi yang diilustrasikan di atas.
The signed attestation statement contains a copy of the public key that the WebAuthn Relying Party ultimately uses to verify a signed authentication assertion.
Pernyataan pengesahan yang ditandatangani berisi salinan kunci publik yang pada akhirnya digunakan oleh Pihak Pengandal WebAuthn untuk memverifikasi autentikasi yang ditandatangani.
The digital signature on the attestation statement is verified with the trusted attestation public key for that particular model of authenticator.
Tanda tangan digital pada pernyataan pengesahan diverifikasi dengan kunci publik pengesahan tepercaya untuk model autentikator tertentu.
One option is to use the FIDO metadata service.
Salah satu opsinya adalah menggunakan layanan metadata FIDO.
The attestation type specified in the JavaScript determines the trust model.
Jenis pengesahan yang ditentukan dalam JavaScript menentukan model kepercayaan.
The WebAuthn Level 1 standard was published as a W3C Recommendation by the Web Authentication Working Group on 4 March 2019.
Standar WebAuthn Tingkat 1 diterbitkan sebagai Rekomendasi W3C oleh Web Authentication Working Group pada tanggal 4 Maret 2019.
WebAuthn is supported by Google Chrome, Mozilla Firefox, Microsoft Edge, Apple Safari and Opera.
WebAuthn didukung oleh peramban web Google Chrome, Mozilla Firefox, Microsoft Edge, Apple Safari, dan Opera.
The desktop version of Google Chrome has supported WebAuthn since version 67.
Versi desktop Google Chrome telah mendukung WebAuthn sejak versi 67.
Firefox, which had not fully supported the previous FIDO U2F standard, included and enabled WebAuthn in Firefox version 60, released on 9 May 2018.
Firefox, yang sebelumnya tidak sepenuhnya mendukung standar FIDO U2F, menyertakan dan mengaktifkan WebAuthn di Firefox versi 60, yang dirilis pada tanggal 9 Mei 2018.
An early Windows Insider release of Microsoft Edge (Build 17682) implemented a version of WebAuthn that works with both Windows Hello as well as external security keys.
Rilis awal Windows Insider untuk peramban Microsoft Edge (Build 17682) menerapkan versi WebAuthn yang berfungsi dengan Windows Hello dan perangkat kunci keamanan eksternal.
Existing FIDO U2F security keys are largely compatible with the WebAuthn standard, though WebAuthn added the ability to reference a unique per-account "user handle" identifier, which older authenticators are unable to store.
Perangkat kunci keamanan FIDO U2F yang sudah ada sebagian besar kompatibel dengan standar WebAuthn, meskipun WebAuthn menambahkan kemampuan untuk merujuk ke pengenal "nama pengguna" unik per akun, yang tidak dapat disimpan oleh autentikator tipe lawas.
The first FIDO2-compatible authenticators with a display was Trezor Model T by SatoshiLabs, announced on 6 November 2019.
Autentikator pertama yang kompatibel dengan FIDO2 dengan layar adalah Trezor Model T oleh SatoshiLabs, yang diumumkan pada tanggal 6 November 2019.
Trezor Model T was also the first authenticator that allowed users to select which FIDO2 resident credential should be used directly on a device.
Trezor Model T juga merupakan autentikator pertama yang memungkinkan pengguna untuk memilih kredensial residen FIDO2 mana yang akan digunakan langsung pada perangkat.
The first Security Level 2 certified FIDO2 key, called "Goldengate" was announced one year later by eWBM on 8 April 2019.
Kunci FIDO2 bersertifikat Security Level 2 pertama, yang disebut "Goldengate" diumumkan satu tahun kemudian oleh
Dropbox announced support for WebAuthn logins (as a 2nd factor) on 8 May 2018.
Dropbox mengumumkan dukungan untuk log masuk WebAuthn (sebagai sebuah faktor ke-2) pada tanggal 8 Mei 2018.
Apple announced that Face ID or Touch ID could be used as a WebAuthn platform authenticator with Safari on 24 June 2020.
Apple mengumumkan bahwa Face ID atau Touch ID dapat digunakan sebagai autentikator platform WebAuthn dengan Safari pada tanggal 24 Juni 2020.
This particular feature of WebAuthn is not necessarily required for authentication to work.
WebAuthn tidak sepenuhnya memerlukan autentikator perangkat keras jarak jauh.
I have been using public key cryptography for 30-plus years...
Saya telah menggunakan kriptografi kunci publik selama lebih dari 30 tahun...