אימות FIDO

ייצוג של ישויות המעורבות באימות: שרת, דפדפן אינטרנט ומכשיר.

אימות FIDO (Fast IDentity Online) הוא סט של סטנדרטים לאימות מהיר, פשוט וחזק.

תקנים אלה פותחו על ידי FIDO Alliance, איגוד תעשייתי עם נציגים ממגוון ארגונים כולל גוגל, מיקרוסופט, מוזילה ויוביקו. התקנים מאפשרים אימות עמיד בפני פישינג, ללא סיסמה ואימות רב-גורמי. הם משפרים את ה-UX המקוון על ידי הפיכת אימות חזק לקל יותר ליישום ולשימוש.

כמה מהכלים והאפליקציות הפופולריים ביותר ברשת כבר משתמשים באימות FIDO, כולל חשבונות Google, Dropbox, GitHub, Twitter ו-Yahoo Japan.


  • המשתמשים מנצחים. משתמשים נהנים מתזרימי אימות מהירים ומאובטחים.

  • המפתחים מנצחים. מפתחי אפליקציות ואינטרנט יכולים להשתמש בממשקי API פשוטים כדי לאמת משתמשים בצורה מאובטחת.

  • עסקים לנצח. בעלי אתרים וספקי שירות יכולים להגן בצורה יעילה יותר על המשתמשים שלהם.

איך עובד אימות FIDO?

בזרימת אימות FIDO, צד להסתמך משתמש בממשקי API כדי אינטראקציה עם המאמת של משתמש.

צד סומך

ייצוג של קישור מאובטח בין אפליקציית אינטרנט לשרת אינטרנט.

מסיבת ההסתמכות היא השירות שלך, מורכבת בשרת עורפי ואפליקציה חזיתית.

יישום

במהלך זרימת אימות או רישום, היישום משתמש בממשקי API בצד הלקוח כמו WebAuthn ו FIDO2 עבור אנדרואיד כדי ליצור ולאמת אישורי המשתמש עם המאמת.

זה כרוך בהעברת אתגר קריפטוגרפי מהשרת אל המאמת, והחזרת תגובת המאמת לשרת לצורך אימות.

שרת

השרת מאחסן את פרטי האישור והחשבון של המפתח הציבורי של המשתמש.

במהלך זרימת אימות או רישום, השרת מייצר אתגר קריפטוגרפי בתגובה לבקשה מהאפליקציה. לאחר מכן הוא מעריך את התגובה לאתגר.

אליאנס FIDO שומר רשימה של מוצרי צד שלישי מוסמך, כולל פתרונות השרת. מספר שרתי FIDO בקוד פתוח זמינים גם כן; לראות WebAuthn מדהים לקבלת מידע נוסף.

מאמת

משתמש עומד להיכנס לאפליקציית אינטרנט במכשיר נייד.

כלבלב Authenticator יוצר אישורי המשתמש. לאישור משתמש יש גם רכיב מפתח ציבורי וגם פרטי. המפתח הציבורי משותף עם השירות שלך, בעוד המפתח הפרטי נשמר בסוד על ידי המאמת.

מאמת יכול להיות חלק מהמכשיר של המשתמש, או חלק חיצוני של חומרה או תוכנה.

המאמת משמש שתי אינטראקציות בסיסיות: רישום ואימות.

הַרשָׁמָה

בתרחיש רישום, כאשר משתמש נרשם לחשבון באתר אינטרנט, המאמת יוצר זוג מפתחות חדש שניתן להשתמש בו רק בשירות שלך. המפתח הציבורי ומזהה עבור האישור יאוחסנו בשרת.

אימות

בתרחיש אימות, כאשר משתמש חוזר לשירות במכשיר חדש, או לאחר תום ההפעלה שלו, המאמת חייב לספק הוכחה למפתח הפרטי של המשתמש. זה עושה זאת על ידי תגובה לאתגר קריפטוגרפי שהונפק על ידי השרת.

כדי לאמת את זהות המשתמש, סוגים מסוימים של מאמת משתמשים ביומטריה כגון טביעות אצבע או זיהוי פנים. אחרים משתמשים ב-PIN. במקרים מסוימים, סיסמה משמשת לאימות המשתמש והמאמת מספק רק אימות גורם שני.

הצעדים הבאים

קח מעבדת קוד:

למידע נוסף על: