Sunucu tarafı geçiş anahtarı uygulamasına giriş

Not: Bu makale, sunucu tarafı geçiş anahtarı uygulaması ile ilgili bir serinin parçasıdır. Bu serideki diğer makaleleri inceleyin: Sunucu tarafı geçiş anahtarı kaydı ve Sunucu tarafı geçiş anahtarı kimlik doğrulaması.

Genel bakış

Kullanıcılar senkronize geçiş anahtarları kullanırken bir geçiş anahtarı sağlayıcı ile kimlik doğrulaması yapar.

Önemli Terim: Geçiş anahtarı sağlayıcısı, kriptografik olarak güvenli kimlik bilgileri oluşturmak ve sağlamak için kullanılan bir yazılım parçasıdır. Geçiş anahtarı sağlayıcılarına örnek olarak Google Şifre Yöneticisi, Apple iCloud Anahtar Zinciri, Windows Hello, Dashlane ve daha fazlası verilebilir.

Geçiş anahtarları oluşturmak ve kimlik doğrulamak için web'de WebAuthn API'yi veya Android uygulamaları için Credential Manager API'yi kullanırsınız. Bu API'ler, istemci ile geçiş anahtarı sağlayıcısı arasındaki iletişimi yönetir.

Bu API'ler web sayfası veya Android uygulaması gibi bir istemciden çağrılsa da kimlik doğrulama kullanım alanlarınızı tamamlamak için diğer işlevleri sunucuda uygulamanız gerekir.

Geçiş anahtarı uygulaması iki işlevden oluşur:

1. Geçiş anahtarı kaydı. Kullanıcının geçiş anahtarı oluşturmasına izin vermek için WebAuthn API'yi veya Credential Manager API'yi kullanın. İlişkili ortak anahtarı sunucuda depolayın.
2. Geçiş anahtarıyla kimlik doğrulama Sunucudan bir kimlik doğrulama sorgulaması alın ve WebAuthn API veya Credential Manager API'yi kullanarak kullanıcının bu sorgulamayı geçiş anahtarıyla imzalamasını sağlayın. Sunucudaki imzayı doğrulayın. İmza geçerliyse kullanıcının kimliğini doğrulayın.

Sunucu tarafı kitaplıklar

Sunucu tarafı geçiş anahtarı işlevini sıfırdan uygulamak mümkün olsa da bunun yerine bir kitaplıktan yararlanmanızı öneririz.

Geçiş anahtarı oluşturma ve kimlik doğrulamasını destekleyen bir sunucuya FIDO2 sunucusu veya kısaca FIDO sunucusu adı verilir. Bu makalede, geçiş anahtarı desteğini uygulayan sunucu tarafı kitaplıkları FIDO sunucu tarafı kitaplıklar olarak ele alacağız.

Not: FIDO2, geçiş anahtarlarının kullandığı WebAuthn API ve CTAP2 protokolünü üreten çalışmaları kapsayan genel bir terimdir.

Neden kitaplık kullanmalısınız?

FIDO sunucu tarafı kitaplığı kullanmanın çeşitli avantajları vardır:

• Zaman ve geliştirici deneyimi. WebAuthn spesifikasyonu karmaşıktır. FIDO sunucu tarafı kitaplıkları, geçiş anahtarlarının uygulanması için basit API'ler sağlayarak size zaman ve geliştirme kaynaklarından tasarruf etmenizi sağlayabilir.
• Sürdürülebilirlik. WebAuthn spesifikasyonu hâlâ değiştirilebilir. Aktif olarak korunan bir kitaplığın en yeni sürümünü kullanmak, uygulamanızın güncel tutulmasına yardımcı olur.
• Güvenlik ve uygunluk. Geçiş anahtarı uygulamanızın WebAuthn spesifikasyonuna ve güvenlik gereksinimlerine uymasını istersiniz. FIDO sunucu tarafı kitaplıkları, uygulamanızın güvenli ve spesifikasyonla uyumlu olmasına yardımcı olabilir. Ürününüze ve sektörünüze bağlı olarak uygulamanız, kimlik doğrulama için belirli güvenlik standartları kullanmanızı gerektiren düzenlemelere tabi olabilir.

Mümkünse ürününüzün kullandığı açık kaynaklı projeleri finansal olarak desteklemeyi düşünün.

Kütüphaneler

Not: Geçiş anahtarı kitaplığınızı seçmek için seçim ölçütlerine bakın.

• awesome-webauthn GitHub deposu, sunucu tarafı kitaplıkların topluluk tarafından seçilen bir listesini içerir. JavaScript, TypeScript, Go, Python ve daha fazlası için kitaplıklar bulabilirsiniz.
• passkeys.dev adresinde bir kütüphane koleksiyonu mevcuttur. Bu koleksiyon, W3C WebAuthn Benimseme Topluluk Grubu tarafından yönetilir.
• FIDO Alliance, bir FIDO2 sunucuları koleksiyonuna atıfta bulunur.

Sıradaki

• Sunucu tarafı geçiş anahtarı kaydı
• Sunucu tarafı geçiş anahtarı kimlik doğrulaması