WebAuthn Sicherheit
Sicherheitshinweise
Abschnitt betitelt „Sicherheitshinweise“Aktuelle Einschränkungen
Abschnitt betitelt „Aktuelle Einschränkungen“Die aktuelle Implementierung:
- ✅ Verwendet echte WebAuthn API
- ✅ Generiert kryptografische Keypairs
- ✅ Speichert öffentliche Keys sicher in KV
- ⚠️ Verwendet vereinfachte Signaturverifizierung
Was fehlt für Production
Abschnitt betitelt „Was fehlt für Production“Für Production-Einsatz sollte implementiert werden:
-
Vollständige Signaturverifizierung:
- ECDSA oder RSA Signaturverifizierung
- Verwendung von Libraries wie
@webauthn/server
-
Attestation Verification:
- Verifizierung der Authenticator-Attestation
- Prüfung der Authenticator-Metadaten
-
Challenge-Management:
- Zeitbasierte Challenge-Expiration
- One-time-use Challenges
-
Counter-Tracking:
- Sign-Count-Tracking zur Clone-Erkennung
- Warnung bei abnormalen Counter-Werten
Empfohlene Libraries
Abschnitt betitelt „Empfohlene Libraries“Für Production empfehlen wir:
- @simplewebauthn/server - Vollständige Server-Implementierung
- @webauthn/server - Alternative Library
Best Practices
Abschnitt betitelt „Best Practices“- Verwende HTTPS (WebAuthn erfordert sichere Ursprünge)
- Implementiere Challenge-Rotation
- Speichere Credentials sicher
- Tracke Sign-Counter für Clone-Erkennung
- Implementiere Rate Limiting