问题标签 [fido-u2f]

I have successfully configured my home system and server to use Yubikey for local login and ssh access, respectively. But when I try to setup the libpam-u2f module to let me use the Yubikey to secure sudo, it can't detect the U2F device.

How can I allow my server to see that device and use it for authentication?

My local system is using Ubuntu 21.04 and the server is using Ubuntu 20.04

刚开始玩yubikey，我的问题是基于以下假设：

1. Passwordless 不需要知道用户名根据下面的demo
2. 根据this doc，allowedCredentials可以省略

我使用 django 包注册了 yubikeydjango-fido

我在使用navigator.credentials.get(publicKey)从 yubikey 获取凭证时遇到问题，我传入的 publicKey 参数如下：

它说 yubikey 没有在这个网站上注册，但我很确定我这样做了，因为如果我不使用无密码方法，通过指定 allowedCredentials，我可以找到密钥：

该软件包执行两因素 fido2 身份验证，即使是一步身份验证也需要用户指定用户名。

如何使用这个包进行无密码认证？

随着u2f api 的显着消亡，我正在尝试使用 AppId 扩展迁移到 WebAuthn API，以支持以前在 U2F 中注册的安全密钥。从阅读文档中我可以看出我认为我做得正确，但是，在尝试进行身份验证时，我的浏览器提示我点击我的密钥，并且我的密钥正在闪烁，但是在点击它时我收到错误“你'正在使用未在本网站注册的安全密钥”。在比较现有的 u2f 身份验证请求时，我使用相同的 appid 和密钥句柄。

示例 U2F 签名请求：

这是我交给 webauthn js 库的服务器响应：

该凭证 ID 的 base64 url​​ 解码版本是

我注意到在我们的 U2F 版本中，appid url 出于某种原因被转义，所以我在 WebAuthn 版本中尝试了同样的事情，但这并没有什么不同。

我还尝试了没有尾随填充 ( =) 的挑战和凭证 ID，但这也没有帮助。

我们用来与 webauthn API 交互的 JS 客户端似乎正在将质询和凭证 ID 解码为二进制数组缓冲区。这是作为 publicKey 发送到 navigator.credential.get API 的对象的控制台日志：

我究竟做错了什么？我们有成千上万的用户使用带有 u2f 的 yubikeys，而且迁移时间如此之短，我们确实需要这种向后兼容性选项才能工作。

解决方案：@IAmKale 是正确的，这是一个双重编码问题，或者可能是一个三重编码问题。无论如何，解决方案是H-tBD...在发送回浏览器之前需要对原始 url base64 解码的字符串。感谢@IAmKale 提出的导致解决此问题的建议！

我目前正在努力进入 libfido2 并试图弄清楚如何使用包装的私钥。

Yubico 在常见问题解答中表示，使用 YubiKey 5 无限密钥对可用于 FIDO U2F；但是，对于 FIDO2，只承诺 25 个常驻密钥的空间。

1. “FIDO2”是否意味着使用了常驻密钥并且 FIDO2 不能与（外部）封装的私钥一起使用？

2. 如果是这种情况，libfido2 是否提供了使用 FIDO U2F 和包装密钥的任何可能性？

3. 如果是这样，libfido2 需要如何配置才能做到这一点？如何为库提供适当的受保护私钥。至少在“fido2-assert”中，当我想在客户端上创建断言时，我看不到这样做的方法。

（这里函数接受四个具体参数描述，我理解的唯一能带私钥的是“凭证id”。但是这个名字让我怀疑我的请求是否可以用这个参数）。

我很感激任何答案！

编辑：与此同时，我找到了一些 Solo Keys 开发人员页面的链接，描述了它在 Solo Keys 上的工作原理。似乎私钥是动态计算的——在这种情况下，凭证 ID 将作为计算的种子）

由于 chrome 不再支持 U2F，因此我的任务是将我们的身份验证迁移到 Yubikeys 的 WebAuthn。

我们使用的是https://github.com/Samyoul/U2F-php-server，我发现https://github.com/lbuchs/WebAuthn可以替换它，尽管我愿意接受建议，因为 lbuchs/WebAuthn 的缺乏文档。

我的问题是，您是否知道在 PHP 中迁移的任何教程，或者我最好从头开始？该代码似乎根本没有可比性，所以老实说我不确定从哪里开始。

谢谢！

我正在使用 Playwright 来自动化我正在使用 Fido2 u2f 的网站上的内容。我无法在无头模式下运行它，因为我需要准备好在提示时触摸我的 u2f。这很烦人。

有没有办法在我不必点击的情况下接受 u2f？通过代码。

谢谢你。