google-chrome - 凭证管理api存放webauthn相关数据在哪里

Question

WebAuthn 包含凭证管理 API 的扩展，允许您使用公钥。我可以转到 chrome 设置并检查托管密码，以查看我选择使用凭据管理 api 将哪些用户名/密码存储在浏览器中。关于 webauthn+credential management api 组合的几个问题。

1. 当我们成功创建一个时，浏览器会存储什么信息凭据？
2. 我们可以从 Chrome 设置(或其他方式)访问此信息吗？

Answer 1

这是一个加载的问题，thangcao 和mackie 的回答都很切题，这里有更多细节。

• “身份验证器”与浏览器是分开的——只是为了强调这一点。
• 身份验证器可以是“平台身份验证器”，内置于 Android 手机和 Windows Hello 等客户端设备中，也可以是“漫游身份验证器”，一种单独的/外部硬件，例如可以在多个设备上使用的 Yubikey。
• Authenticator 是创建和存储“凭据”的，它采用公钥/私钥方案。浏览器可以通过凭据管理 API 从身份验证器获取公钥(本意是公开的)，但绝不能获取私钥。身份验证过程在身份验证器内部完成，浏览器只是在客户端(用户/应用程序)和身份验证器之间传递信息。
• Chrome 设置中没有等效的“密码管理”来管理您的“WebAuthn 私有(private)信息”，因为凭据不在浏览器中；更重要的是，多个浏览器可以使用相同的身份验证器，具有相同的公钥/私钥凭据集。

最后但同样重要的是，您的问题:“我们可以从 Chrome 设置(或其他方式)访问此信息吗？”

回答:除非身份验证器供应商构建一些后门。如果是这样的话，后门不是给你的，而是给黑客获取你的所有私钥的。