用于服务器端指纹验证的 WebAuthn

Question

对于我现有的 Java Web 应用程序，我想启用指纹身份验证。以下是身份验证的要求：

• 服务器应存储指纹的生物特征，指纹应与服务器上存储的生物特征相​​匹配
• 这允许用户从支持指纹扫描仪的任何系统登录
• 另外我希望使用 WebAuthn 不会限制支持的指纹扫描仪，因为它是一个标准协议

我知道我可以将 WebAuthn 框架与 Mac OS TouchID 或 Windows Hello 一起使用。这允许使用存储在本地系统而不是服务器上的生物特征来完成指纹注册和验证。

我想知道我是否可以使用 WebAuthn 框架来验证存储在服务器端的指纹。任何指向相关示例或教程的链接都将对我的 POC 有所帮助。

Answer 1

WebAuthn 和 FIDO2 的重点是在某些服务器上没有生物识别数据，因为它最终可能会被泄露。

此外，出于同样的原因（隐私）和设计，智能手机操作系统（iOS、Android...）和 WebAuthn（浏览器）实现不向应用程序提供来自 FIDO 身份验证器传感器的生物识别数据。

你想做的事情是不可能的。我建议你重新考虑你的要求。