WebAuthn-Anmeldeinformations-ID-Generator

WebAuthn (Web Authentication API, W3C-Standard) ermöglicht passwortlose Authentifizierung mithilfe von Public-Key-Kryptografie. Wenn ein Benutzer einen Passkey oder Sicherheitsschlüssel registriert, generiert der Authentifikator ein Schlüsselpaar und gibt eine Credential-ID zurück – eine eindeutige, undurchsichtige Byte-Sequenz, die die Anmeldeinformationen identifiziert. Der Server speichert die Credential-ID neben dem öffentlichen Schlüssel. Während der Authentifizierung sendet der Server die Credential-ID, um den Authentifikator aufzufordern, eine Herausforderung mit dem entsprechenden privaten Schlüssel zu signieren.

Vorhersehbare Credential-IDs würden es Angreifern ermöglichen, registrierte Anmeldeinformationen aufzulisten und potenziell zu ermitteln, welche Benutzer Passkeys registriert haben und gezielt Phishing betreiben. Die FIDO2-Spezifikation verlangt, dass von Authentifikatoren generierte Credential-IDs von zufälligen Daten nicht zu unterscheiden sind. Bei der Generierung von Credential-IDs auf Serverseite für Tests oder Mock-Authentifikatoren ist die Verwendung eines CSPRNG wie crypto.getRandomValues() obligatorisch.

Base64url ist eine URL-sichere Variante von Base64, die + durch -, / durch _ ersetzt und die Auffüllung = weglässt. WebAuthn verwendet Base64url, da Credential-IDs als JSON-Strings in den Strukturen authenticatorData und clientDataJSON übertragen werden müssen. Standard-Base64 mit + und / Zeichen würde in JSON-Kontexten eine URL-Kodierung erfordern, was die Komplexität erhöht. Base64url hält die Daten kompakt und sicher für URLs, Header und JSON ohne Maskierung.

WebAuthn verwendet asymmetrische Kryptografie: Der private Schlüssel verlässt niemals den Authentifikator (Hardware-Sicherheitsschlüssel oder Plattform-Authentifikator wie Face ID/Touch ID), sodass nichts vom Server gestohlen werden kann. Der Server speichert nur den öffentlichen Schlüssel und die Credential-ID. Die Authentifizierung beweist den Besitz des privaten Schlüssels durch Signieren einer vom Server generierten Herausforderung. Selbst wenn der Server kompromittiert wird, erhalten Angreifer nur öffentliche Schlüssel – nutzlos ohne den privaten Schlüssel auf dem Gerät des Benutzers.