互聯網私隱及保安教學系列(07) – Goodbye Passwords 再見了密碼? W3C 宣佈 WebAuthn 正式成為網絡認證標準

兩周前是 萬維網W 誕生三十周年,iGardener 老師曾另文介紹萬維網之父 Tim Berners LeeW,他於1994年10月離開歐洲核子研究組織(CERNW)後成立了 W3CW (World Wide Web Consortium 全球資訊網協會協會 ),W3CW 是一個國際標準組織及半自治非政府組織,負責制定網絡的不同標準,例如:

  • HTML:超文件標示語言
  • XML:可延伸標記式語言
  • XHTML:可延伸超文件標示語言
  • CSS:階層式樣式表
  • SVG:可縮放向量圖形
  • DOM:文件物件模型
  • RDF:資源描述框架
  • SMIL:同步多媒體整合語言
  • PICS:網路內容篩選平台
  • WAI
  • Widgets

最近 FIDO聯盟W 的 FIDO2 標準及其核心的 Web Authentication(WebAuthn)規格獲各大科技公司支持,例如 BlackberriesW、GoogleW、聯想W、MasterCardW、微軟W、PayPalW、VisaW、YubicoW 和 SecureKeyW 等等。短期內將會成為了網絡上非密碼登入的主流標準。

目前支援 WebAuthn 的操作系統有 Windows 10W 及 AndroidW;

目前支援 WebAuthn 的瀏覽器有 Google ChromeW、Mozilla FirefoxW、Microsoft EdgeW、Apple SafariW 等瀏覽器。

1. 運作上,如網站容許使用 WebAuthn 登入的話,就可使用本機的生物認證工具,或是外置的 USB 實體金鑰、智能手機、智能手錶等裝置進行認證登入,不需要傳統密碼了。

2. 保安上,可避免釣魚、密碼外洩、鍵盤偷錄等風險。

3. 使用經驗上,可以避免定期強迫轉換密碼的麻煩。

2019年3月5日, W3C 正式將其納入了網絡標準之中,暫時關鍵在於「網站」是否設置 WebAuthn 功能,相信將會有更多的網站採用,非密碼式登入年代指日可待!