Autenticação FIDO

Uma representação de entidades envolvidas na autenticação: um servidor, um navegador da Web e um dispositivo.

A autenticação FIDO (Fast IDentity Online) é um conjunto de padrões para autenticação rápida, simples e forte.

Esses padrões são desenvolvidos pela FIDO Alliance, uma associação do setor com representantes de várias organizações, incluindo Google, Microsoft, Mozilla e Yubico. Os padrões permitem autenticação resistente a phishing, sem senha e de vários fatores. Eles melhoram a experiência do usuário online, tornando a autenticação forte mais fácil de implementar e usar.

Algumas das ferramentas e aplicativos mais populares da web já estão usando a autenticação FIDO, incluindo contas do Google, Dropbox, GitHub, Twitter e Yahoo Japão.


  • Os usuários ganham. Os usuários se beneficiam de fluxos de autenticação rápidos e seguros.

  • Os desenvolvedores ganham. Os desenvolvedores de aplicativos e da web podem usar APIs simples para autenticar usuários com segurança.

  • As empresas ganham . Os proprietários de sites e provedores de serviços podem proteger seus usuários com mais eficácia.

Como funciona a autenticação FIDO?

Em um fluxo de autenticação FIDO, uma parte confiável usa APIs para interagir com o autenticador de um usuário.

Partido de confiança

Uma representação de um link seguro entre um aplicativo da web e um servidor da web.

A terceira parte confiável é o seu serviço, composto por um servidor back-end e um aplicativo front-end.

Aplicativo

Durante uma autenticação ou fluxo de registro, o aplicativo usa APIs do lado do cliente como WebAuthn e FIDO2 para Android para criar e verificar as credenciais do usuário com o autenticador .

Isso envolve passar um desafio criptográfico do servidor ao autenticador e retornar a resposta do autenticador ao servidor para validação.

Servidor

O servidor armazena a credencial da chave pública do usuário e as informações da conta.

Durante um fluxo de autenticação ou registro, o servidor gera um desafio criptográfico em resposta a uma solicitação do aplicativo. Em seguida, avalia a resposta ao desafio.

A FIDO Alliance mantém uma lista de produtos de terceiros certificados, incluindo soluções de servidor. Vários servidores FIDO de código aberto também estão disponíveis; consulte WebAuthn Awesome para obter mais informações.

Autenticador

Um usuário está prestes a fazer login em um aplicativo da web em um dispositivo móvel.

Um autenticador FIDO gera credenciais de usuário. Uma credencial de usuário possui um componente de chave pública e um componente de chave privada. A chave pública é compartilhada com seu serviço, enquanto a chave privada é mantida em segredo pelo autenticador.

Um autenticador pode ser parte do dispositivo do usuário ou uma peça externa de hardware ou software.

O autenticador é usado em duas interações básicas: registro e autenticação .

Cadastro

Em um cenário de registro, quando um usuário está se inscrevendo em uma conta em um site, o autenticador gera um novo par de chaves que só pode ser usado em seu serviço. A chave pública e um identificador para a credencial serão armazenados com o servidor.

Autenticação

Em um cenário de autenticação, quando um usuário retorna ao serviço em um novo dispositivo, ou depois que sua sessão expira, o autenticador deve fornecer prova da chave privada do usuário. Ele faz isso respondendo a um desafio criptográfico emitido pelo servidor.

Para verificar a identidade do usuário, alguns tipos de autenticador usam biometria, como impressões digitais ou reconhecimento facial. Outros usam um PIN. Em alguns casos, uma senha é usada para verificar o usuário e o autenticador fornece apenas autenticação de segundo fator.

Próximos passos

Faça um codelab:

Aprender mais sobre: