android - android安全网nonce是否等同于web authnn的挑战？

Question

android SafetyNet 与 Web Authnn 有多相似？是否将质询传递给 WebAutnn 的身份验证器以生成与传递给 Android SafetyNet 的随机数等效的证明对象？我可以使用带有 WebAuthnn 的随机数作为挑战吗？

Answer 1

这可能是规范的相关部分：

https://www.w3.org/TR/webauthn/#cryptographic-challenges

鉴于 SafetyNet 具有相似的目标并假设结果值是兼容的（即至少 16 个字节），可以肯定地说您可以使用以相同方式生成的值。

也就是说，该文档表明无论如何生成随机数都取决于您：

https://developer.android.com/training/safetynet/attestation#obtain-nonce

遵循这两个文档中的指导，你不会出错。