WebAuthn

Web Authentication（WebAuthn）とは、ユーザーののインターフェイスをウェブ型のアプリケーションやサービスへと標準化するための、World Wide Web Consortium (W3C)によるウェブ標準の1つでFIDO Allianceから支援を受けている。ユーザーの証明をやり取りする時にウェブサイトとウェブブラウザ間の相互作用を形式化する試みであるW3Cのより一般的なAPIの拡張を実装する。
2019年3月4日に、ウェブ標準として承認された。
概要.
前身のFIDO U2Fのように、W3C Web Authentication (WebAuthn)はウェブサイト、ウェブブラウザ、認証器に対応している:
WebAuthnはWebAuthn Relying Partyと称する検証者に要求者が所有をどのように証明するかを明記し、FIDO2認証器をコントロールする。認証プロセスは準拠するウェブブラウザに過ぎないWebAuthn Clientと呼ばれるエンティティが取り持っている。
右図では、認証器はハードウェア認証器と仮定する。どちらの場合でも、認証器は多要素暗号認証器でWebAuthn Relying Partyを対象とした認証アサーションに証明するために公開鍵暗号を利用する。ユーザー確認にPINを使用すると仮定するとして、認証器は「ユーザーが持っているもの」でPINは「ユーザーが知っているもの」とする。
WebAuthn Relying PartyはJavaScriptを経由してWebAuthn Client（ウェブブラウザなど）に指示する。WebAuthn Clientはブラウザに実装されたJavaScriptのAPIをする認証器とやり取りする。認証器はFIDO  2.0に準じている。
対応アプリケーション、デバイス.
Web Authenticationレベル1の仕様は2019年3月4日にによってW3C推薦として承認された。
対応ウェブブラウザ
Web Authenticationは各アカウント固有の「ユーザーハンドル」識別子を参照する機能を追加したことで古いハードウェアトークンを保存することができなくなったにもかかわらず既存のFIDO U2FセキュリティキーはWebAuthn標準とほぼ互換性がある。最初のFIDO2互換の1つはYubicoの第2世代セキュリティキーであることが2018年4月10日に発表されている。
Dropboxは2018年5月8日にWeb Authenticationログイン(2段階認証として)に対応したと発表した。
批判.
2018年8月、Paragon Initiative Enterprisesは予定されているWebAuthn標準のセキュリティ検査を行った。この時は特定の悪用は発見されなかったが、この標準が使用し権限を与える基礎的な暗号の方法においていくつかの重大な脆弱性を発見したとしている。
批判の主要な点は、過去に他の暗号化システムで問題になっていた2つの潜在的問題を中心に回っていて、そのために同じようなサイバー攻撃の被害に遭うのを避けなければいけないという点である: