关于FIDO2 webauthn和U2F的几个公开问题

Question

>

我在多个地方读到，由于U2F没有用户的概念，所以它可以用作登录的因素之一（在MFA中），但对于无密码来说并不理想，而webauthn有用户的概念，这可以帮助使用无密码。我的问题是webauthn为允许这样做而增加的额外内容是什么？是的，我们在创建凭据时传递用户信息，但最终返回的是一个凭据id（它似乎非常类似于keyhandle）并用于关联用户（在服务器上）。据我所知，webauthn def的优点是可以使用不同的身份验证器（不仅仅是U2F密钥），除此之外，webauthn还添加了什么使无密码变得更容易。

CTAP描述浏览器和操作系统如何通过USB、NFC或BLE通信介质与兼容的身份验证设备建立通信。我们可以说CTAP是一种应用层协议吗（像FTP一样？）

当我在我的android手机上使用指纹功能验证使用webauthn时，浏览器与OS通信（反过来弹出验证器）是否使用CTAP2？ufc、nfc、ble、internal从哪来的？

Answer 1

规范在摘要中将其具体称为应用层协议：

https://fidoalliance.org/specs/fido-v2.0-ps-20190130/fido-client-to-authenticator-protocol-v2.0-ps-20190130.html

从浏览器到浏览器和OS到OS的实现会有所不同。Windows10现在提供了一个本机API，它位于Windows Hello的顶部，并且标准化了与身份验证器设备的交互。在此之前，Windows上的浏览器有自己的实现和自己的UI。给定的CTAP2实现将包括对规范中定义的1个或多个传输的支持，每个传输具有特定于该传输需求的绑定。该规范值得一读。