Chứng thực và xác nhận trong WebAuthn - Web API

Chứng thực (Attestation)

Chứng thực xảy ra trong quá trình đăng ký. Khi người dùng đăng ký tài khoản, thiết bị xác thực tạo ra cặp khóa mới và gửi phản hồi chứng thực cho trang web.

Phản hồi chứng thực cho phép trang web xác minh rằng:

Thông tin xác thực đã được tạo bởi thiết bị xác thực thực sự (ví dụ như token bảo mật phần cứng cụ thể).
Thông tin xác thực không bị giả mạo.

Cấu trúc phản hồi chứng thực

Khi navigator.credentials.create() hoàn thành, nó trả về PublicKeyCredential với thuộc tính response là đối tượng AuthenticatorAttestationResponse:

const credential = await navigator.credentials.create({
  publicKey: creationOptions,
});

const response = credential.response; // AuthenticatorAttestationResponse

// Dữ liệu thiết bị xác thực
const authenticatorData = response.getAuthenticatorData();

// Dữ liệu khách hàng (thách thức, gốc, loại)
const clientDataJSON = response.clientDataJSON;

// Đối tượng chứng thực
const attestationObject = response.attestationObject;

// Khóa công khai dưới dạng SubjectPublicKeyInfo
const publicKey = response.getPublicKey();

Xác nhận xảy ra trong quá trình xác thực. Khi người dùng đăng nhập, thiết bị xác thực ký thách thức với khóa riêng tư của thông tin xác thực được yêu cầu và gửi phản hồi xác nhận cho trang web.

Phản hồi xác nhận cho phép trang web xác minh rằng:

Người dùng có quyền kiểm soát thông tin xác thực (khóa riêng tư).
Thông tin xác thực được liên kết với tài khoản.

Cấu trúc phản hồi xác nhận

Khi navigator.credentials.get() hoàn thành, nó trả về PublicKeyCredential với thuộc tính response là đối tượng AuthenticatorAssertionResponse:

const assertion = await navigator.credentials.get({
  publicKey: requestOptions,
});

const response = assertion.response; // AuthenticatorAssertionResponse

// Dữ liệu thiết bị xác thực
const authenticatorData = response.authenticatorData;

// Dữ liệu khách hàng
const clientDataJSON = response.clientDataJSON;

// Chữ ký - được ký bằng khóa riêng tư
const signature = response.signature;

// Handle người dùng (nếu được yêu cầu)
const userHandle = response.userHandle;

So sánh chứng thực và xác nhận

	Chứng thực	Xác nhận
Khi xảy ra	Đăng ký	Xác thực
Phương thức API	`credentials.create()`	`credentials.get()`
Loại phản hồi	`AuthenticatorAttestationResponse`	`AuthenticatorAssertionResponse`
Mục đích	Tạo thông tin xác thực mới	Xác minh quyền sở hữu