Sunucu tarafı geçiş anahtarı uygulamasına giriş

Not: Bu makale, sunucu tarafı geçiş anahtarı uygulamasıyla ilgili bir serinin parçasıdır. Bu serideki diğer makaleleri inceleyin: Sunucu tarafı geçiş anahtarı kaydı ve Sunucu tarafı geçiş anahtarı kimlik doğrulaması.

Genel bakış

Kullanıcılar senkronize edilmiş geçiş anahtarları kullanırken geçiş anahtarı sağlayıcısı ile kimlik doğrular.

Anahtar Terim: Geçiş anahtarı sağlayıcısı, kriptografik olarak güvenli kimlik bilgileri oluşturmak ve sağlamak için kullanılan bir yazılım parçasıdır. Geçiş anahtarı sağlayıcılarına örnek olarak Google Şifre Yöneticisi, Apple iCloud Anahtar Zinciri, Windows Hello, Dashlane ve daha fazlası verilebilir.

Geçiş anahtarları oluşturmak ve kimlik doğrulamak için web için WebAuthn API'yi veya Android uygulamaları için Credential Manager API'yi kullanırsınız. Bu API'ler, istemci ile geçiş anahtarı sağlayıcısı arasındaki iletişimi yönetir.

Bu API'ler web sayfası veya Android uygulaması gibi bir istemciden çağrılsa da kimlik doğrulama kullanım alanlarınızı tamamlamak için işlevlerin geri kalanını sunucuda uygulamanız gerekir.

Geçiş anahtarı uygulaması iki işlevden oluşur:

1. Geçiş anahtarı kaydı. Kullanıcının geçiş anahtarı oluşturmasına izin vermek için WebAuthn API veya Credential Manager API'yi kullanın. İlişkili ortak anahtarı sunucuda depolayın.
2. Geçiş anahtarıyla kimlik doğrulama. Sunucudan bir kimlik doğrulama sorgulaması alın ve kullanıcının bu sorgulamayı geçiş anahtarıyla imzalamasına izin vermek için WebAuthn API veya Credential Manager API'yi kullanın. Sunucudaki imzayı doğrulayın. İmza geçerliyse kullanıcının kimliğini doğrulayın.

Sunucu tarafı kitaplıklar

Sunucu tarafı geçiş anahtarı işlevini sıfırdan uygulamak mümkün olsa da bunun yerine bir kitaplıktan yararlanmanızı öneririz.

Geçiş anahtarı oluşturmayı ve kimlik doğrulamasını destekleyen bir sunucuya FIDO2 sunucusu veya kısaca FIDO sunucusu denir. Uzantı olarak burada, geçiş anahtarı desteğini uygulayan sunucu tarafı kitaplıklarına FIDO sunucu tarafı kitaplıkları olarak atıfta bulunacağız.

Not: FIDO2, WebAuthn API'yi ve geçiş anahtarlarının kullandığı CTAP2 protokolünü üreten çalışmalar için kullanılan genel bir terimdir.

Neden kitaplık kullanmalısınız?

FIDO sunucu tarafı kitaplığı kullanmanın çeşitli avantajları vardır:

• Zaman ve geliştirici deneyimi. WebAuthn spesifikasyonu karmaşıktır. FIDO sunucu tarafındaki kitaplıkları, geçiş anahtarlarını uygulamaya yönelik basit API'ler sağlayarak zamandan ve geliştirme kaynaklarından tasarruf etmenizi sağlayabilir.
• Sürdürülebilirlik. WebAuthn spesifikasyonu hâlâ değiştirilebilir. Etkin bir şekilde yönetilen kitaplığın en son sürümünü kullanmak, uygulamanızı güncel tutmanıza yardımcı olur.
• Güvenlik ve uygunluk. Geçiş anahtarı uygulamanızın WebAuthn spesifikasyonuna ve güvenlik gereksinimlerine uymasını istiyorsunuz. FIDO sunucu tarafı kitaplıkları, uygulamanızı güvenli ve spesifikasyonla uyumlu tutmanıza yardımcı olabilir. Uygulamanız, ürününüze ve sektörünüze bağlı olarak, kimlik doğrulama için belirli güvenlik standartları kullanmanızı gerektiren düzenlemelere de tabi olabilir.

Mümkünse ürününüzün dayandığı açık kaynak projelerine finansal olarak destek vermeyi düşünün.

Kütüphaneler

• awesome-webauthn GitHub deposu, topluluk tarafından seçilen sunucu tarafı kitaplıkların listesini içerir. JavaScript ve TypeScript, Go, Python ve daha fazlası için kitaplıklar bulabilirsiniz.
• passkeys.dev adresinde bir kitaplık koleksiyonu mevcuttur. Bu koleksiyon, W3C WebAuthn Benimseme Topluluk Grubu tarafından yönetilir.
• FIDO Alliance, bir FIDO2 sunucuları koleksiyonuna referans verir.

Sıradaki

• Sunucu tarafı geçiş anahtarı kaydı
• Sunucu tarafı geçiş anahtarı kimlik doğrulaması