如何区分FIDO2设备

Question

我想区分webauthn中的认证设备。

我想知道这是否可能，如果可能的话我该怎么做。

Answer 1

不幸的是，没有简单的 WebAuthn API 函数可以调用来表示“给我可用身份验证器的名称”。WebAuthn API 的设计目的是为了更好地保护用户隐私，从而使确定身份验证器的具体品牌和型号变得困难。

确定身份验证器的品牌和型号的唯一可靠方法是在注册期间请求直接证明，然后将aaguid您返回的信息与您自己收集和维护的列表或通过Fido 联盟元数据服务等工具进行交叉引用。

注意：如果您不请求"direct"证明，您可能会得到一个模糊的aaguid：

特别是对于平台身份验证器，您可以尝试根据浏览器屏幕尺寸和用户代理分析等内容创建“启发式”，尝试可靠地确定 Touch ID 或 Windows Hello 等系统级身份验证器是否可用。用户在您的站点成功注册凭据后，您需要将启发式分析的结果与凭据一起存储，以便稍后在身份验证期间提供 UX 提示（例如“我们确定用户注册了 Windows Hello 凭据，因此向他们显示‘输入您的 Hello PIN 码可在身份验证期间继续“UI”。”）