Vés al contingut

WebAuthn

De la Viquipèdia, l'enciclopèdia lliure
WebAuthn
Modifica el valor a Wikidata
Modifica el valor a Wikidata
TipusAPI web Modifica el valor a Wikidata
Úskey attestation (en) Tradueix Modifica el valor a Wikidata
Característiques tècniques
Utilitzacriptografia de clau pública Modifica el valor a Wikidata

L'autenticació web (WebAuthn) és un estàndard web publicat pel World Wide Web Consortium (W3C).[1][2][3] Defineix una API que els llocs web utilitzen per autenticar-se amb credencials WebAuthn (passkeys)[4][5] i descriu el que haurien de fer els autenticadors WebAuthn. Resol molts dels problemes de l'autenticació tradicional basada en contrasenyes verificant la identitat de l'usuari amb signatures digitals.[6] Tot i que WebAuthn sovint es promociona com un substitut complet de les contrasenyes, la majoria de llocs web que l'implementen continuen utilitzant contrasenyes d'alguna manera.[7]

Per utilitzar WebAuthn, els usuaris necessiten un autenticador compatible. L'estàndard no especifica com emmagatzemar les claus necessàries per signar, de manera que es poden utilitzar diversos tipus d'autenticadors. El tipus d'autenticador més comú és un autenticador de plataforma, que està integrat al sistema operatiu del dispositiu. Els autenticadors de plataforma comuns inclouen Android, Apple Keychain i Windows Hello. Aquests utilitzen funcions de seguretat de maquinari (com ara TEE i TPM) i sovint sincronitzen les credencials entre dispositius per facilitar-ne l'ús. Un altre tipus d'autenticador comú és un autenticador roaming, on un dispositiu de maquinari separat autentica l'usuari connectant-se per USB, Bluetooth Low Energy o comunicacions de camp proper (NFC). La majoria dels telèfons intel·ligents es poden utilitzar com a autenticadors roaming i també s'utilitzen claus de seguretat físiques dedicades. WebAuthn és efectivament compatible amb versions anteriors de FIDO Universal 2nd Factor (U2F), ja que tots dos utilitzen el protocol CTAP.[8] Els gestors de contrasenyes també es poden utilitzar com a autenticadors, sovint amb sincronització al núvol.[9] Quan la sincronització de credencials no és viable o possible, es pot utilitzar WebAuthn Hybrid Transport per accedir a les credencials emmagatzemades en un altre autenticador, com ara un telèfon intel·ligent.

Igual que l'U2F antic, WebAuthn és resistent a alguns atacs de phishing[10] ja que l'autenticador només ofereix credencials que es van registrar al mateix lloc web. Tanmateix, a diferència d'U2F, WebAuthn es pot implementar sense contrasenya.[11] A més, un autenticador de maquinari mòbil resisteix el programari maliciós, ja que les claus s'emmagatzemen en un dispositiu separat, cosa que impedeix que el programari maliciós hi accedeixi directament.

El nivell d'autorització web Els estàndards 1 i 2 es van publicar com a Recomanacions del W3C el 4 de març de 2019 i el 8 d'abril de 2021, respectivament.[1][12][13] Una especificació de nivell 3 és actualment un Primer Esborrany Públic de Treball (FPWD).[14] WebAuthn és un component central del Projecte FIDO2 sota la direcció de la FIDO Alliance.[15]

Rerefons

[modifica]

FIDO2 és el successor de FIDO Universal 2nd Factor (U2F). Mentre que U2F només admet el mode multifactor, havent estat dissenyat per enfortir els fluxos d'inici de sessió basats en nom d'usuari/contrasenya existents, FIDO2 afegeix compatibilitat amb el mode d'un sol factor. En el mode multifactor, l'autenticador s'activa mitjançant una prova de presència de l'usuari, que normalment consisteix en prémer un botó; no cal cap contrasenya. En el mode d'un sol factor, l'autenticador ( alguna cosa que tens) realitza la verificació de l'usuari.[16] Depenent de les capacitats de l'autenticador, això pot ser:[17]

  • alguna cosa que coneixes: un secret com ara un PIN, un codi d'accés o un patró de lliscament
  • alguna cosa que ets: una dada biomètrica com ara l'empremta digital, la cara, l'iris o la veu

Independentment del mode, l'autenticador mai comparteix els seus secrets o dades biomètriques amb el lloc web.[18] A més, el secret o la biometria d'un sol usuari funciona amb tots els llocs web, ja que l'autenticador selecciona el material de clau criptogràfica correcte per utilitzar per al servei que sol·licita l'autenticació després que la verificació de l'usuari s'hagi completat correctament.

Un secret i una dada biomètrica a l'autenticador es poden utilitzar junts, de manera similar a com s'utilitzarien en un telèfon intel·ligent. Per exemple, una empremta digital proporciona un accés convenient al telèfon intel·ligent de l'usuari, però de vegades l'accés amb empremta digital falla, en aquest cas l'usuari pot utilitzar un PIN.

Raons per al seu disseny i estandardització

[modifica]

El W3C va dissenyar i estandarditzar WebAuthn per resoldre o mitigar molts problemes inherents a l'autenticació tradicional basada en contrasenya:

  • Generació i emmagatzematge segurs de credencials: WebAuthn genera credencials úniques per a cada lloc web mitjançant algoritmes robustos i les emmagatzema de manera segura en autenticadors de confiança. Això elimina vulnerabilitats comunes com ara:
    • Contrasenyes febles que es poden forçar fàcilment a causa d'una longitud insuficient.
    • Contrasenyes predictibles i vulnerables a atacs de diccionari (per exemple, "contrasenya", "12345678").
    • Contrasenyes endevinables basades en informació personal (per exemple, dates de naixement, adreces).
    • Emmagatzematge deficient de contrasenyes al costat del client (per exemple, escrites, emmagatzemades als contactes del telèfon).
    • Reutilització de contrasenyes en diversos llocs web, ja que les credencials de WebAuthn són específiques per a llocs web individuals per disseny.
    • Requisits de contrasenya inadequats imposats pel servidor (per exemple, criteris massa laxos o restrictius, límits de longitud màxima arbitraris, jocs de caràcters limitats).
    • Restriccions que impedeixen les funcions d'emplenament automàtic del gestor de contrasenyes.
  • Sense emmagatzematge de credencials al servidor: la part privada d'una credencial no s'emmagatzema mai en un servidor, cosa que elimina riscos i vulnerabilitats com ara:
    • Emmagatzematge de contrasenyes insegur en bases de dades (per exemple, text sense format o basant-se en algoritmes/construccions febles basats en hash).
    • Filtracions de bases de dades que exposen contrasenyes.
    • Canvis de contrasenya obligatoris i ineficaços periòdics.
  • Credencials úniques per a cada lloc web: WebAuthn garanteix que les credencials siguin úniques per a cada lloc web, eliminant els riscos i vulnerabilitats següents:
    • Atacs de farciment de credencials, on els atacants utilitzen credencials d'una filtració de dades en diversos llocs.
    • Atacs de phishing, ja que les credencials no es poden reutilitzar ni aplicar malament a diferents llocs web.

Marca amb clau d'accés

[modifica]
Aquí es mostra l'ús de la clau d'accés com a terme per referir-se a les credencials WebAuthn (Bitwarden per a Pixiv)

Clau d'accés és el terme no tècnic de facto per a una credencial WebAuthn.[5][6] La majoria d'interfícies d'usuari que admeten WebAuthn només utilitzen clau d'accés per referir-se a les credencials WebAuthn.[7]

Quan Apple va introduir per primera vegada les claus d'accés al públic el 2022,[19] van emfatitzar les seves integracions de plataforma pròpies. Això, combinat amb la manca d'una comunicació clara d'altres líders de la indústria, va portar alguns a especular que les claus d'accés eren propietat d'Apple, cosa que no era el cas.[20] A mesura que els navegadors i els llocs web van començar a implementar WebAuthn, els conjunts de funcions inconsistents van donar lloc a una varietat d'interpretacions del que es comptava exactament com a clau d'accés. Algunes persones van assumir que una clau d'accés requeria una gestió per part d'un autenticador de plataforma o que necessitava sincronització mitjançant el núvol. Una definició millor és que una clau d'accés és qualsevol credencial WebAuthn gestionada per qualsevol autenticador WebAuthn.[5] Aquesta definició cobreix la major part del que els diferents proveïdors es refereixen i accepten com a claus d'accés.

Visió general

[modifica]

Igual que el seu predecessor FIDO U2F, l'autenticació web del W3C (WebAuthn) implica un lloc web, un navegador web i un autenticador:[1]

  • El lloc web és una part de confiança conforme a WebAuthn
  • El navegador és un client WebAuthn conforme.
  • L'autenticador és un autenticador FIDO2, és a dir, se suposa que és compatible amb el client WebAuthn.

WebAuthn especifica com un reclamant demostra la possessió i el control d'un autenticador FIDO2 a un verificador anomenat WebAuthn Relying Part. El procés d'autenticació està mediat per una entitat anomenada WebAuthn Client, que és poc més que un navegador web conforme.

Autenticació

[modifica]
Un flux típic d'autenticació web (WebAuthn)

L'autenticador és un autenticador criptogràfic multifactor que utilitza criptografia de clau pública per signar una asserció d'autenticació dirigida a la part que confia en WebAuthn. Suposant que l'autenticador utilitza un reconeixement facial, una empremta digital o un PIN per a la verificació de l'usuari, l'autenticador en si és quelcom que teniu, mentre que el reconeixement facial i l'empremta digital (biomètrica) són quelcom que sou i el PIN és quelcom que coneixeu.

Exemple d'autenticació WebAuthn amb Android Credential Manager

Per iniciar el flux d'autenticació WebAuthn,[21] la part de confiança WebAuthn indica les seves intencions al client WebAuthn (és a dir, al navegador) mitjançant JavaScript. El client WebAuthn es comunica amb l'autenticador mitjançant una API de JavaScript implementada al navegador. Un autenticador roaming s'ajusta al protocol CTAP (Client to Authenticator Protocol) de FIDO Client to Authenticator Protocol[22] i es connecta mitjançant USB, Bluetooth Low Energy o comunicacions de camp proper (NFC).

WebAuthn no requereix estrictament un autenticador de maquinari itinerant. Alternativament, es pot utilitzar un autenticador de programari (per exemple, implementat en un telèfon intel·ligent) o un autenticador de plataforma (és a dir, un autenticador implementat directament al dispositiu client WebAuthn). Exemples rellevants d'autenticadors de plataforma inclouen Windows Hello[23] i el sistema operatiu Android.[24]

El transport híbrid WebAuthn permet que el client WebAuthn accedeixi a les credencials emmagatzemades en un altre autenticador, com ara un telèfon intel·ligent, cosa que és útil en determinades situacions on la sincronització de credencials no és viable.

Hi ha un malentès persistent entre els usuaris que les dades biomètriques es transmeten a través de la xarxa de la mateixa manera que les contrasenyes, cosa que no és així.[25][26]

Registre

[modifica]

Quan la part de confiança de WebAuthn rep l'asserció d'autenticació signada del navegador, la signatura digital de l'asserció es verifica mitjançant una clau pública de confiança per a l'usuari.

Per obtenir una clau pública per a l'usuari, la part de confiança de WebAuthn inicia un flux de registre WebAuthn[21] similar al flux d'autenticació il·lustrat anteriorment. La diferència principal és que l'autenticador ara signa una declaració d'atestat amb la seva clau privada d'atestat. La declaració d'atestat signada conté una còpia de la clau pública que la part de confiança de WebAuthn utilitza finalment per verificar una afirmació d'autenticació signada. El certificat d'atestat conté metadades que descriuen l'autenticador en si.[27]

La signatura digital de la declaració d'atestat es verifica amb la clau pública d'atestat de confiança per a aquest model d'autenticador en particular. No s'especifica com la part de confiança de WebAuthn obté el seu magatzem de claus públiques d'atestat de confiança. Una opció és utilitzar el servei de metadades FIDO.[28]

El tipus d'atestat especificat al JavaScript determina el model de confiança. Per exemple, es pot desitjar un tipus d'atestat anomenat autoatestat, per al qual el model de confiança és essencialment confiança en el primer ús.

Suport

[modifica]
Exemple de clau d'accés WebAuthn com a part del gestor de contrasenyes Bitwarden

El nivell d'autorització web 1 estàndard va ser publicat com a Recomanació del W3C pel Grup de Treball d'Autenticació Web el 4 de març de 2019.[1][12][29] WebAuthn és compatible amb Google Chrome, Mozilla Firefox, Microsoft Edge, Apple Safari[12] i Opera.[30]

La versió d'escriptori de Google Chrome admet WebAuthn des de la versió 67.[31] Firefox, que no era completament compatible amb l'estàndard FIDO U2F anterior, va incloure i habilitar WebAuthn a la versió 60 de Firefox, publicada el 9 de maig de 2018.[32] Una versió inicial de Windows Insider de Microsoft Edge (Build 17682) va implementar una versió de WebAuthn que funciona tant amb Windows Hello com amb claus de seguretat externes.[33]

Les claus de seguretat FIDO U2F existents són en gran manera compatibles amb l'estàndard WebAuthn, tot i que WebAuthn ha afegit la capacitat de fer referència a un identificador únic de "contacte d'usuari" per compte, que els autenticadors antics no poden emmagatzemar.[1]

Un dels primers autenticadors compatibles amb FIDO2 va ser la clau de seguretat de segona generació de Yubico, anunciada el 10 d'abril de 2018.[34] El primer autenticador compatible amb FIDO2 amb pantalla va ser el Trezor Model T de SatoshiLabs, anunciat el 6 de novembre de 2019.[35] El Trezor Model T també va ser el primer autenticador que va permetre als usuaris seleccionar quina credencial de resident de FIDO2 s'havia d'utilitzar directament en un dispositiu.

La primera clau FIDO2 certificada de nivell de seguretat 2, anomenada "Goldengate", va ser anunciada un any després per eWBM el 8 d'abril de 2019.[36][37]

Dropbox va anunciar la compatibilitat amb els inicis de sessió WebAuthn (com a segon factor) el 8 de maig de 2018.[38]

Apple va anunciar que Face ID o Touch ID es podria utilitzar com a autenticador de plataforma WebAuthn amb Safari el 24 de juny de 2020.[39]

Diversos gestors de contrasenyes com ara Bitwarden i Dashlane admeten WebAuthn.[40][41]

API

[modifica]

WebAuthn implementa una extensió de l'API de gestió de credencials més general del W3C, que intenta formalitzar la interacció entre llocs web i navegadors web quan s'intercanvien credencials d'usuari. L'API d'autenticació web[42][43] estén els mètodes JavaScript navigator.credentials.create() i navigator.credentials.get() de gestió de credencials perquè acceptin un paràmetre publicKey. El mètode create() s'utilitza per registrar autenticadors de clau pública com a part de l'associació amb comptes d'usuari (possiblement en el moment de la creació inicial del compte, però més probablement quan s'afegeix un nou dispositiu de seguretat a un compte existent), mentre que el mètode get() s'utilitza per a l'autenticació (com ara en iniciar la sessió).

Per comprovar si un navegador admet WebAuthn, els scripts han de comprovar si la interfície window. està definida. A més de PublicKeyCredential, l'estàndard també defineix les interfícies AuthenticatorResponse, AuthenticatorAttestationResponse i AuthenticatorAssertionResponse PublicKeyCredential a més d'una varietat de diccionaris i altres tipus de dades.

L'API no permet l'accés directe ni la manipulació de claus privades, més enllà de sol·licitar-ne la creació inicial.

Recepció

[modifica]

A l'agost de 2018, Paragon Initiative Enterprises va dur a terme una auditoria de seguretat de l'estàndard WebAuthn. Tot i que no van trobar cap vulnerabilitat específica, van revelar algunes debilitats greus en la manera com s'utilitza i s'imposa la criptografia subjacent a l'estàndard.[44]

Els principals punts de crítica giren al voltant de dos possibles problemes que eren problemàtics en altres sistemes criptogràfics en el passat i, per tant, s'haurien d'evitar per no ser víctimes del mateix tipus d'atacs:

  • Mitjançant l'ús obligatori de COSE (RFC 8152) WebAuthn també admet RSA amb farciment PKCS1v1.5. Aquest esquema particular de farciment se sap que és vulnerable a atacs específics des de fa almenys vint anys, i ha estat atacat amb èxit en altres protocols i implementacions del criptosistema RSA en el passat. És difícil d'explotar en condicions donades en el context de WebAuthn, però com que hi ha primitives criptogràfiques i esquemes de farciment més segurs, continua sent una mala elecció i els criptògrafs ja no el consideren una bona pràctica.
  • L'Aliança FIDO es va estandarditzar en l'esquema criptogràfic asimètric ECDAA.[45] Aquesta és una versió de l'atestació anònima directa basada en corbes el·líptiques i, en el cas de WebAuthn, s'utilitza per verificar la integritat dels autenticadors, alhora que preserva la privadesa dels usuaris, ja que no permet la correlació global dels identificadors. Tanmateix, l'ECDAA no incorpora algunes de les lliçons apreses en les últimes dècades de recerca en l'àrea de la criptografia de corbes el·líptiques, ja que la corba escollida té alguns dèficits de seguretat inherents a aquest tipus de corba, cosa que redueix substancialment les garanties de seguretat. A més, l'estàndard ECDAA implica signatures aleatòries i no deterministes, cosa que ja ha estat un problema en el passat.

Paragon Initiative Enterprises també va criticar com es va desenvolupar inicialment l'estàndard, ja que la proposta no es va fer pública amb antelació i no es va demanar suggeriments ni comentaris als criptògrafs experimentats. Per tant, l'estàndard no va ser objecte d'una àmplia investigació criptogràfica per part del món acadèmic.

Malgrat aquestes deficiències, Paragon Initiative Enterprises encara anima els usuaris a continuar utilitzant WebAuthn, però ha elaborat algunes recomanacions per a possibles implementadors i desenvolupadors de l'estàndard que esperen que es puguin implementar abans que l'estàndard estigui finalitzat. Evitar aquests errors el més aviat possible protegiria la indústria de qualsevol repte que introdueixin estàndards incomplits i la necessitat de compatibilitat amb versions anteriors.

L'ECDAA només es va dissenyar per utilitzar-se en combinació amb l'attestació del dispositiu. Aquesta característica particular de WebAuthn no és necessàriament necessària perquè l'autenticació funcioni. Les implementacions actuals permeten a l'usuari decidir si s'envia una declaració d'atestació durant la cerimònia de registre. Independentment, les parts que confien en el protocol poden optar per exigir l'atestació o no. L'ECDAA es va eliminar del nivell 2 de WebAuthn, ja que no estava implementat pels navegadors ni per les parts que confien en el protocol.[46]

Referències

[modifica]
  1. 1 2 3 4 5 «Web Authentication: An API for accessing Public Key Credentials Level 1 (latest)» (en anglès). World Wide Web Consortium. Arxivat de l'original el 14 March 2019. [Consulta: 4 març 2019].
  2. ↑ «Web Authentication Working Group» (en anglès). World Wide Web Consortium. Arxivat de l'original el 15 May 2016. [Consulta: 11 maig 2018].
  3. ↑ «What is WebAuthn». [Consulta: 20 març 2019]. « »
  4. ↑ «White Paper: Multi-Device FIDO Credentials» (en anglès). FIDO Alliance, 01-03-2022. Arxivat de l'original el 16 June 2024. [Consulta: 20 maig 2024].
  5. 1 2 3 Brown, William. «webauthn-rs docs» (en anglès). Docs.rs. Kanidm Identity Management Project, 01-04-2024. Arxivat de l'original el 12 June 2025. [Consulta: 3 juliol 2025].
  6. 1 2 Langley, Adam. «A Tour of WebAuthn» (en anglès). Imperial Violet, 23-12-2024. [Consulta: 13 agost 2025].
  7. 1 2 Goodin, Dan. «Passkey technology is elegant, but it’s most definitely not usable security» (en anglès). Ars Technica. Arxivat de l'original el 3 July 2025. [Consulta: 3 juliol 2025].
  8. ↑ «WebAuthn / CTAP: Modern Authentication» (en anglès). World Wide Web Consortium, 10-12-2018. Arxivat de l'original el 4 December 2020. [Consulta: 11 març 2019].
  9. ↑ «Will Passkeys Kill Password Managers?» (en anglès). Corbado, 01-06-2023. [Consulta: 18 setembre 2025].
  10. ↑ Kan, Michael. «Google: Phishing Attacks That Can Beat Two-Factor Are on the Rise» (en anglès). PC Magazine, 07-03-2019. Arxivat de l'original el 8 March 2019. [Consulta: 8 març 2019].
  11. ↑ «Practical passwordless authentication comes a step closer with WebAuthn» (en anglès americà). Ars Technica, 10-04-2018. Arxivat de l'original el 1 January 2025. [Consulta: 16 octubre 2024].
  12. 1 2 3 «W3C and FIDO Alliance Finalize Web Standard for Secure, Passwordless Logins» (en anglès). World Wide Web Consortium, 04-03-2019. Arxivat de l'original el 4 March 2019. [Consulta: 4 març 2019].
  13. ↑ «Web Authentication: An API for accessing Public Key Credentials Level 2» (en anglès). World Wide Web Consortium. Arxivat de l'original el 4 June 2019. [Consulta: 27 novembre 2022].
  14. ↑ «Web Authentication: An API for accessing Public Key Credentials Level 3» (en anglès). World Wide Web Consortium. Arxivat de l'original el 25 February 2022. [Consulta: 24 desembre 2021].
  15. ↑ «FIDO2 Project» (en anglès). FIDO Alliance. Arxivat de l'original el 22 April 2018. [Consulta: 11 maig 2018].
  16. ↑ «User Presence vs User Verification» (en anglès). Arxivat de l'original el 19 February 2024. [Consulta: 19 febrer 2024].
  17. ↑ Baghdasaryan, Davit. «FIDO Registry of Predefined Values» (en anglès). fidoalliance.org. FIDO Alliance, 02-07-2018. Arxivat de l'original el 4 December 2020. [Consulta: 16 juny 2019].
  18. ↑ «Web Authentication: An API for accessing Public Key Credentials Level 1 § Terminology: User Verification» (en anglès). www.w3.org. W3C, 04-03-2019. Arxivat de l'original el 7 June 2017. [Consulta: 16 juny 2019].
  19. ↑ «WWDC 2022: Apple announces Passkey feature to eliminate passwords across platforms». ZD Net, 06-06-2022.
  20. ↑ «Reminder: passkeys are not just from Apple». The Verge, 06-08-2022.
  21. 1 2 «Web Authentication API» (en anglès). Mozilla. Arxivat de l'original el 28 November 2020. [Consulta: 18 març 2019].
  22. ↑ «Client to Authenticator Protocol (CTAP)» (en anglès). FIDO Alliance, 30-01-2019. Arxivat de l'original el 8 March 2019. [Consulta: 7 març 2019].
  23. ↑ Simons, Alex. «Secure password-less sign-in for your Microsoft account using a security key or Windows Hello» (en anglès). Microsoft, 20-11-2018. [Consulta: 6 març 2019].
  24. ↑ «Android Now FIDO2 Certified, Accelerating Global Migration Beyond Passwords» (en anglès). FIDO Alliance, 25-02-2019. Arxivat de l'original el 7 March 2019. [Consulta: 6 març 2019].
  25. ↑ «Touch ID and Beyond: Duo's Plans for WebAuthn» (en anglès). Duo Security, 05-03-2019. Arxivat de l'original el 21 March 2020. [Consulta: 8 març 2019].
  26. ↑ Steele, Nick. «How WebAuthn aims to solve the password problem» (en anglès). Help Net Security, 27-02-2019. Arxivat de l'original el 28 September 2020. [Consulta: 8 març 2019].
  27. ↑ «Attestation and Assertion - Web APIs» (en anglès americà). MDN Web Docs, 28-05-2025. [Consulta: 20 setembre 2025].
  28. ↑ «Metadata Service» (en anglès). FIDO Alliance. [Consulta: 18 març 2019].
  29. ↑ Protalinski, Emil. «W3C Approves WebAuthn as the Web Standard for Password-Free Logins» (en anglès), 04-03-2019. Arxivat de l'original el 4 March 2019. [Consulta: 4 març 2019].
  30. ↑ «Can I use Web Authentication API?» (en anglès). Arxivat de l'original el 19 February 2018. [Consulta: 7 març 2019].
  31. ↑ Brand, Christiaan. «Enabling Strong Authentication with WebAuthn» (en anglès). Google Developers, 03-06-2018. Arxivat de l'original el 4 September 2018. [Consulta: 25 juny 2018].
  32. ↑ Shankland, Stephen. «Firefox moves browsers into post-password future with WebAuthn tech» (en anglès). CNET, 09-05-2018. Arxivat de l'original el 12 May 2018. [Consulta: 11 maig 2018].
  33. ↑ Sarkar. «Announcing Windows 10 Insider Preview Build 17682» (en anglès). Microsoft, 23-05-2018. Arxivat de l'original el 7 April 2019. [Consulta: 25 juny 2018].
  34. ↑ (2018-04-10). "Yubico Launches New Developer Program and Security Key for FIDO2 and WebAuthn W3C Specifications". Nota de premsa.
  35. ↑ «Make Passwords a Thing of the Past, FIDO2 Is Now Available on Trezor Model T» (en anglès), 06-11-2019. [Consulta: 6 novembre 2019].
  36. ↑ "eWBM: eWBM's Goldengate Fingerprint Reader is First to Get FIDO L2 Certification". Nota de premsa.
  37. ↑ "Mobile ID World, Alex Perala: eWBM's Goldengate Fingerprint Reader is First to Get FIDO L2 Certification". Nota de premsa.
  38. ↑ Girardeau, Brad. «Introducing WebAuthn support for secure Dropbox sign in» (en anglès). Dropbox Tech Blog. Dropbox, 08-05-2018. Arxivat de l'original el 12 May 2018. [Consulta: 11 maig 2018].
  39. ↑ «Safari 14 Release Notes» (en anglès). Apple Developer Documentation, 16-12-2022. Arxivat de l'original el 14 May 2021. [Consulta: 16 desembre 2022].
  40. ↑ Porter, Jon. «Bitwarden begins adding passkey support to its password manager» (en anglès americà). The Verge, 02-11-2023. Arxivat de l'original el 17 July 2025. [Consulta: 12 agost 2025].
  41. ↑ Pegoraro, Rob. «These Are the Services Seeing the Biggest Uptick in Passkey Adoption» (en anglès britànic). PC Magazine UK, 30-07-2024. Arxivat de l'original el 8 November 2024. [Consulta: 12 agost 2025].
  42. ↑ «Web Authentication API» (en anglès). Mozilla. Arxivat de l'original el 28 November 2020. [Consulta: 16 març 2019].
  43. ↑ Ackermann, Yuriy. «Introduction to WebAuthn API» (en anglès). Medium, 15-01-2019. Arxivat de l'original el 29 March 2019. [Consulta: 8 març 2019].
  44. ↑ «Security Concerns Surrounding WebAuthn: Don't Implement ECDAA (Yet)» (en anglès). Paragon Initiative Enterprises Blog, 23-08-2018. Arxivat de l'original el 10 October 2018. [Consulta: 9 octubre 2018].
  45. ↑ «FIDO ECDAA Algorithm» (en anglès). FIDO Alliance, 27-02-2018. [Consulta: 9 octubre 2018].
  46. ↑ «Remove ECDAA? · Issue #1410 · w3c/webauthn» (en anglès). GitHub, 28-04-2020. [Consulta: 3 juny 2020].
Obtingut de «https://ca.wikipedia.org/w/index.php?title=WebAuthn&oldid=38058580»