webauthn - 登录尝试暴露的用户名？

Question

我正在尝试扩展我的应用程序以支持 WebAuthn 登录。到目前为止，我已经在我的本地服务器上成功设置了一个测试应用程序(使用这个 https://github.com/lbuchs/WebAuthn PHP 实现)。

我想我现在基本上理解了这个过程，但我有一个安全问题:当您使用 WebAuthn 作为唯一的身份验证因素(这应该是可能的)时，用户只需输入他想要的用户名并通过指纹或者他的 YubiKey 什么的。在此图中 (https://developers.yubico.com/WebAuthn/Libraries/Using_a_library.html)，据说服务器返回与用户名关联的 credentialIds 列表。然后，身份验证器回答它拥有私钥的挑战。

我的问题是:如果攻击者想要找出存在哪些用户名，他可以尝试提供不同的用户名并测试服务器是否返回任何 credentialIds。这不是安全问题吗？通常，攻击者永远不应从失败的登录尝试中获取任何信息。

Answer 1

只要浏览器和 FIDO2 硬件广泛支持“常驻凭证”，它就会成为可能，如所述in this blog post .

与此同时，您可以将用户 ID 存储在长期 cookie 或浏览器中 (localStorage API)。由于泄漏的风险，您最好存储不透明的标识符。不幸的是，数据可能会从浏览器中清除(用户操作、浏览器更新...)，并且不如常驻凭证持久。