Web 开发重磅!FIDO 与 W3C 联合支持免密认证登录!

2018-04-15 admin

今天(2018年4月10号),W3C官方宣布:

**FIDO联盟与W3C联合取得Web认证标准的里程碑式进展,**在全球实现更简单更强大的Web认证方式。

在Google Chrome、Microsoft Edge和Mozilla Firefox的支持下,FIDO2项目以保护全球互联网用户为目标,开启了一个普适、安全、强认证方式的新时代!

——这将打通用户和Web的终极壁垒,给Web的体验带来质的飞跃。

W3C官方全文

https://www.w3.org/ and Mountain View, Calif. — 2018年4月10日— FIDO联盟(FIDO Alliance)与W3C(World Wide Web Consortium)联合取得了Web认证标准的重大进展,为全球用户带来更简单、更强大的Web认证方式。

**由FIDO提交的文档Web Authentication(以下称WebAuthn),**已经正式进入W3C候选推荐标准(Candidate Recommendation,简称CR)阶段。这份规范文档由W3C Web认证工作组(Web Authentication Working Group)发布,该组由30 多位来自不同组织的会员单位代表组成。进入CR阶段意味着该规范将最终成为W3C正式标准 (Recommendation,简称REC),W3C在此阶段邀请在线服务商和Web应用开发者对WebAuthn 进行技术实现。

WebAuthn在浏览器和跨站点设备上,定义了一个可以合并到浏览器中的标准Web API,以及相关的Web平台基础设施,为用户提供在Web上进行安全认证的新方法。 WebAuthn由W3C与FIDO联盟合作开发,它连同FIDO的客户端到认证器协议规范(Client to Authenticator Protocol,CTAP),构成了FIDO2 项目的核心组件。CTAP启用外部认证器(例如安全秘钥或手机)通过USB、蓝牙、或者NFC向用户的互联网接入设备(电脑或手机)局部传递强认 证证书。FIDO2规范可以让用户能够轻松且安全地通过桌面或移动设备验证在线服务。

FIDO联盟执行理事Brett McDowell说:

随着今天宣布FIDO2规范及Web浏览器对其的支持,我们正朝着FIDO身份验证普适于所有平台及设备上这一目标迈出了一大步,经历多年日益严重 的数据泄露和密码凭证被盗用等问题,现在正是服务供应商所面临的重要时机,来结束对易受攻击的密码和一次性密码的依赖,并为所有网站和应用程序采用防网络钓鱼的FIDO身份验证。

Google、Microsoft以及Mozilla都已承诺在其浏览器中支持WebAuthn标 准,并已经开始在Windows、Mac、Linux、Chrome OS以及Android平台上进行实现。WebAuthn和CTAP规 范的出现,使开发人员和供应商能够迅速将对下一代FIDO身份验证的支持切实部署到其产品和服务中。

W3C首席执行官Jeff Jaffe说:

网络安全一直是无法规避的问题,它阻挠着网络对社会的诸多积极影响。当今网络安全隐患众多,其中对密码的依赖是最薄弱的环节之一。借助WebAuthn的 多因素解决方案,我们正在逐步消除这一薄弱环节,WebAuthn将改变人们访问网络的方式。

FIDO2标准化工作的完成,W3C WebAuthn标准的推进,以及浏览器供应商对实现这一标准的承诺,都预示着一个新时代的开启,一个为所有互联网用户提供普适的、硬件支持FIDO身份验证保护的时代。

企业和在线服务提供者希望保护自己和他们的客户免于遭受密码风险—包括网络钓鱼,中间人攻击和滥用窃 取凭证—可以通过浏览器或通过外部认证器,快速部署基于标准的强认证。通过部署FIDO身份验证,在线服务可以在用户每天使用的互动操作系统(如手机和安全密钥)中为用户提供选择。

新的FIDO2规范在浏览器和操作系统中的标准化将进一步扩大FIDO身份验证的范围,FIDO身份 验证被全球监管机构和标准制定机构引用,并通过Google、Facebook、NTT DOCOMO、美国银行等企业所提供的服务,在全球范围内用于数亿台设备,用户超过35亿。 新规范对现有的无密码FIDO UAF和第二因素FIDO U2F用例进行了补充,并扩展了FIDO认证的可用性。FIDO2网络浏览器和在线服务完全向后兼容所有之前获得认证的FIDO安全密钥。

FIDO即将启动互操作性测试,并将为符合FIDO2规范的服务器、客户端和认证器颁发认证凭证。人们可以在FIDO的网站上 找到一致性测试工具。 此外,FIDO将为与所有FIDO认证器类型(FIDO UAF,FIDO U2F,WebAuthn,CTAP)互操作的服务器引入新的通用服务器认证。

WebAuthn和FIDO2项目带来的益处

W3C的WebAuthn API是一种可融入浏览器和相关Web平台基础架构的标准WebAPI,可为每个站点提供强大、唯一且基于公钥的凭证,消除了从某一站点窃取密码后被用于其他站点的风险。 使用FIDO身份验证器加载到设备上的在浏览器中运行的Web应用程序,可以通过密码操作代替密码交换,或除了密码交换之外,还可为服务提供者和用户带来诸多益处:

  • **更简单的身份验证:**用户只需使用一种手势登录

  • PC、笔记本电脑和/或移动设备中的内部或内置认证器(如指纹或面部生物识别技术)

  • 使用CTAP进行设备到设备认证的外部认证器(如安全密钥和移动设备),一个由FIDO联盟开发的用于补充WebAuthn的外部认证器协议

  • 更强的身份验证:FIDO身份验证比单纯依赖密码和相关身份验证方式要强大得多,并具有以下优点

  • 用户证书和生物识别模板永远不会离开用户的设备,也不会存储在服务器上

  • 帐户可以免受网络钓鱼,中间人攻击和使用被盗密码的反复攻击

  • 开发人员可以开始在FIDO新的开 发者资源页面上创建利用FIDO身份验证的应用程序和服务。

关于FIDO联盟(FIDO Alliance)

线上快速身份验证联盟(Fast IDentity Online Alliance,简称FIDO Alliance),www.fidoalliance.org, 成立于2012年7月,旨在解决强 认证技术之间缺乏互操作性的问题,并致力于解决用户在创建和记忆多个用户名和密码时遇到的问题。FIDO联盟正在改变身份验证的性质,采用更简 单、更强大的身份验证标准,定义了一组开放、可扩展、可互操作的机制,以减少对密码的依赖。在向在线服务进行身份验证时,FIDO身份验证功能更强大、更私 密、更简化。

关于万维网联盟(World Wide Web Consortium,简称W3C)

万维网联盟 (World Wide Web Consortium,简称W3C),www.w3.org, 是由会员组织、全职工作人员、以及公众共同组成的致力于发展互联网标准的国际化组织。W3C通过创立互联网标准及指导方针来保障互联网长期稳定的发展,开放万 维网平台(Open Web Platform)是万维网联盟目前的核心工作。W3C制定了包括HTML5、CSS 等构建Web站点与Web应用的基础技术协议,并因为在无障碍在线视频字 幕等工作,获得2016年的艾美奖(2016 Emmy Award)。

W3C “一个万维网(One Web)”的理念吸引了全球400多家会 员单位数千名技术专家共同工作。W3C主要由如下机构联合管理:美国 麻省理工学院计算机科技与人工智能实验室(MIT CSAIL)、法国的欧洲信 息与数学研究联盟(ERCIM)、日本庆应大学(Keio University)以及中国北京航空航天大学(Beihang University),并在全球范围内设有办事处。更多信息请见http://www.w3.org。

原文链接:https://mp.weixin.qq.com/s/enjl4i-3naF0iOdZMfrYuw

本站文章除注明转载外,均为本站原创或编译。欢迎任何形式的转载,但请务必注明出处。

转载请注明:文章转载自 JavaScript中文网 [https://www.javascriptcn.com]

本文地址:https://www.javascriptcn.com/read-27626.html

文章标题:Web 开发重磅!FIDO 与 W3C 联合支持免密认证登录!

相关文章
js性能优化 如何更快速加载你的JavaScript页面
确保代码尽量简洁 不要什么都依赖JavaScript。不要编写重复性的脚本。要把JavaScript当作糖果工具,只是起到美化作用。别给你的网站添加大量的JavaScript代码。只有必要的时候用一下。只有确实能改善用户体验的时候用一下。 ...
2015-11-12
10个强大的纯CSS3动画案例分享
我们的网页外观主要由CSS控制,编写CSS代码可以任意改变我们的网页布局以及网页内容的样式。CSS3的出现,更是可以让网页增添了不少动画元素,让我们的网页变得更加生动有趣,并且更易于交互。本文分享了10个非常炫酷的CSS3动画案例,希望大家...
2015-11-16
2015年JavaScript或“亲库而远框架”
2014年过去了,作为一个JavaScript开发者很难满怀信心的去“挽回”一个特定的库或技术,即便是强大的Angular,似乎也因为最近的一些事情而动摇。 2014年10月的ng-europe会议上,Angular开发者团队透露了一个关于...
2015-11-12
Android中Okhttp3实现上传多张图片同时传递参数
之前上传图片都是直接将图片转化为io流传给服务器,没有用框架传图片。 最近做项目,打算换个方法上传图片。 Android发展到现在,Okhttp显得越来越重要,所以,这次我选择用Okhttp上传图片。 Okhttp目前已经更新到Okhttp...
2017-03-17
vue+element-ui+slot-scope实现可编辑表格
1.咱开发拿到需求大多数是去网上找成型的组件,找不到再看原生的方法能否实现,大牛除外哈,大牛一般喜欢封装组件框架。 2.可编辑表格在后台管理系统还是比较常用的,因为比较流行框架element,iview都没有这个应用,所以考虑了两种方法,下...
2017-12-25
JavaScript实现PC手机端和嵌入式滑动拼图验证码三种效果
PC和手机端网站滑动拼图验证码效果源码,同时包涵了弹出式Demo,使用ajax形式提交二次验证码所需的验证结果值,嵌入式Demo,使用表单形式提交二次验证所需的验证结果值,移动端手动实现弹出式Demo三种效果 首先要确认前端使用页面,比如...
2017-03-17
React.js编程思想
JavaScript框架层出不穷,在很多程序员看来,React.js是创建大型、快速的Web应用的最好方式。这一款由Facebook出品的JS框架,无论是在Facebook还是在Instagram中,它的表现都非常出色。 使用React.j...
2015-11-12
JavaScript常用特效chm下载
下载地址:JavaScript常用特效chm下载 对了,如果打开空白,在手册上右键属性解除锁定即可。 ...
2015-11-12
12个你未必知道的CSS小知识
虽然CSS并不是一种很复杂的技术,但就算你是一个使用CSS多年的高手,仍然会有很多CSS用法/属性/属性值你从来没使用过,甚至从来没听说过。 1.CSS的color属性并非只能用于文本显示 对于CSS的color属性,相信所有Web开发人员...
2015-11-12
HTML5的5个不错的开发工具推荐
HTML5规范终于在今年正式定稿,对于从事多年HTML5开发的人员来说绝对是一个重大新闻。数字天堂董事长,DCloud CEO王安也发表了文章,从开发者和用户两个角度分析了HTML对两个人群的优势。其实,关于HTML5的开发工具,我们以往的...
2015-11-12
回到顶部