如何禁止从虚拟身份验证器浏览器扩展中注册 FIDO Webauthn 密钥

Question

Chrome 中提供的虚拟身份验证器扩展（虚拟身份验证器选项卡）用于测试/调试 FIDO2 Webauthn 身份验证机制，而无需使用物理身份验证器密钥。这在自动化测试中很有用，例如通过 Selenium。

1. 在 IAM 提供商的生产环境中是否应该允许？
2. 有没有办法在生产环境中禁用/禁止此注册？

我尝试使用虚拟身份验证器选项卡扩展设置 Google 帐户两步验证。但是 Google 不允许我们从虚拟身份验证器选项卡扩展中注册 FIDO 密钥。

Answer 1

有没有办法在生产环境中禁用/禁止此注册？

简短的回答：你不必。

长答案：虚拟身份验证器实现专门设计用于阻止其在生产系统中的使用。凭据绑定到单个框架（在大多数情况下，这意味着单个选项卡），并且在禁用虚拟环境或关闭选项卡后立即清除。

最糟糕的情况是用户将自己锁定，但他们必须足够精明才能找到扩展程序（或 chrome 87 上的新 devtools 面板）并设置身份验证器，同时没有意识到他们可能会被锁定。我们不认为这是一个重大风险。

我尝试使用虚拟身份验证器选项卡扩展设置 Google 帐户两步验证。但是 Google 不允许我们从虚拟身份验证器选项卡扩展中注册 FIDO 密钥。

目前，Google 正在使用旧的U2F javascript API来注册凭证，虚拟身份验证器不支持这种方式。这就是注册失败的原因。