Einführung in die Implementierung eines serverseitigen Passkeys

Überblick

Wenn Sie synchronisierte Passkeys verwenden, authentifizieren sich Nutzer bei einem Passkey-Anbieter.

Um Passkeys zu erstellen und zu authentifizieren, verwenden Sie die WebAuthn API für das Web oder die Credential Manager API für Android-Apps. Diese APIs verwalten die Kommunikation zwischen dem Client und dem Passkey-Anbieter.

Diese APIs werden zwar über einen Client wie eine Webseite oder Android-App aufgerufen, aber Sie müssen die restlichen Funktionen auf dem Server implementieren, um Ihre Authentifizierungsanwendungsfälle abzuschließen.

Eine Passkey-Implementierung besteht aus zwei Funktionen:

  1. Passkey-Registrierung. Verwenden Sie die WebAuthn API oder die Credential Manager API, damit der Nutzer einen Passkey erstellen kann. Speichert den zugehörigen öffentlichen Schlüssel auf dem Server.
  2. Authentifizierung mit einem Passkey Rufen Sie eine Authentifizierungsaufforderung vom Server ab und verwenden Sie die WebAuthn API oder die Credential Manager API, damit der Nutzer diese Aufgabe mit seinem Passkey signieren kann. Überprüfen Sie die Signatur auf dem Server. Wenn die Signatur gültig ist, müssen Sie den Nutzer authentifizieren.

Serverseitige Bibliotheken

Es ist zwar möglich, serverseitige Passkeys von Grund auf neu zu implementieren, wir empfehlen jedoch, stattdessen eine Bibliothek zu verwenden.

Ein Server, der die Erstellung und Authentifizierung von Passkeys unterstützt, wird FIDO2-Server oder kurz FIDO-Server genannt. Serverseitige Bibliotheken, die Passkey-Unterstützung implementieren, beziehen sich im Folgenden als serverseitige FIDO-Bibliotheken.

Vorteile einer Bibliothek

Die Verwendung einer serverseitigen FIDO-Bibliothek bietet mehrere Vorteile:

  • Zeit und Erfahrung als Entwickler. Die WebAuthn-Spezifikation ist komplex. Serverseitige FIDO-Bibliotheken können einfache APIs zur Implementierung von Passkeys bereitstellen, wodurch Sie Zeit und Entwicklungsressourcen sparen können.
  • Wartungsfreundlichkeit. Die WebAuthn-Spezifikation kann sich weiterhin ändern. Wenn Sie die neueste Version einer aktiv verwalteten Bibliothek verwenden, bleibt Ihre Implementierung auf dem neuesten Stand.
  • Sicherheit und Compliance. Sie möchten, dass Ihre Passkey-Implementierung der WebAuthn-Spezifikation und den Sicherheitsanforderungen entspricht. Mit serverseitigen FIDO-Bibliotheken können Sie dafür sorgen, dass Ihre Implementierung sicher und mit der Spezifikation konform ist. Je nach Produkt und Branche kann Ihre Implementierung auch Vorschriften unterliegen, die die Verwendung bestimmter Sicherheitsstandards für die Authentifizierung erfordern.

Wenn möglich, sollten Sie Open-Source-Projekte, von denen Ihr Produkt abhängig ist, finanziell unterstützen.

Bibliotheken

Nächstes Video