نظرة عامة
عند استخدام مفاتيح مرور متزامنة، يجري المستخدمون المصادقة من خلال موفِّر مفتاح المرور.
لإنشاء مفاتيح المرور والمصادقة عليها، عليك استخدام WebAuthn API على الويب أو Credential Manager API لتطبيقات Android. تتولى واجهات برمجة التطبيقات هذه الاتصال بين العميل وموفِّر مفتاح المرور.
وعلى الرغم من استدعاء واجهات برمجة التطبيقات هذه من عميل مثل صفحة ويب أو تطبيق Android، يجب تنفيذ بقية الوظائف على الخادم لإكمال حالات استخدام المصادقة.
يتضمن تنفيذ مفتاح المرور وظيفتَين:
- تسجيل مفتاح المرور: استخدِم واجهة برمجة تطبيقات WebAuthn أو واجهة برمجة تطبيقات إدارة بيانات الاعتماد للسماح للمستخدم بإنشاء مفتاح مرور. تخزين المفتاح العام المرتبط على الخادم
- المصادقة باستخدام مفتاح مرور يمكنك الحصول على اختبار مصادقة من الخادم واستخدام واجهة برمجة تطبيقات WebAuthn API أو واجهة برمجة تطبيقات إدارة بيانات الاعتماد للسماح للمستخدم بالتوقيع على هذا الاختبار باستخدام مفتاح المرور. تحقَّق من التوقيع على الخادم. إذا كان التوقيع صالحًا، عليك المصادقة على المستخدم.
المكتبات من جهة الخادم
على الرغم من أنّه يمكن تنفيذ وظائف مفاتيح المرور من جهة الخادم من البداية، ننصحك بالاعتماد على مكتبة بدلاً من ذلك.
يُعرف الخادم الذي يتيح إنشاء مفاتيح المرور والمصادقة عليها باسم خادم FIDO2 أو خادم FIDO. بالإضافة إلى ذلك، سنشير هنا إلى المكتبات من جهة الخادم التي تتيح استخدام مفاتيح المرور بصفتها مكتبات FIDO من جهة الخادم.
ما هي أهمية استخدام المكتبة؟
هناك عدة مزايا لاستخدام مكتبة FIDO في جانب الخادم:
- الوقت وتجربة المطوّرين: إنّ مواصفات WebAuthn معقّدة. يمكن أن توفّر مكتبات FIDO من جهة الخادم واجهات برمجة تطبيقات بسيطة لتنفيذ مفاتيح المرور، ما يوفّر لك الوقت وموارد التطوير.
- سهولة الصيانة: ولا تزال مواصفات WebAuthn عرضة للتغيير. يساعد استخدام أحدث إصدار من المكتبة التي تتم صيانتها بشكل نشط في تحديث عملية التنفيذ.
- الأمان والامتثال: يجب أن يتوافق تنفيذ مفتاح المرور مع مواصفات WebAuthn ومتطلبات الأمان الخاصة به. يمكن أن تساعدك مكتبات FIDO من جهة الخادم في الحفاظ على أمان عملية التنفيذ وتوافقها مع المواصفات. واعتمادًا على المنتج والمجال الذي تعمل فيه، قد يخضع التنفيذ أيضًا للوائح التي تتطلب منك استخدام معايير أمان محددة للمصادقة.
إذا كان ذلك ممكنًا، فكر في الدعم المالي للمشروعات مفتوحة المصدر التي يعتمد عليها منتجك.
المكتبات
- يتضمّن مستودع GitHub awesome-webauthn على قائمة مجمّعة من المكتبات على جانب الخادم. ستعثر على مكتبات لـ JavaScript وTypeScript وGo وPython وغيرها.
- تتوفّر مجموعة من المكتبات على passkeys.dev وتديرها مجموعة منتدى W3C WebAuthn Adoption.
- يشير FIDO Alliance إلى مجموعة من خوادم FIDO2.