Firefox 60支持WebAuthn

有一天，我们所有的密码问题都可能成为过去。Firefox 60是第一个支持WebAuthn的浏览器，WebAuthn是W3C与FIDO Alliance合作开发的一种新的Web身份验证标准，并得到Google，Microsoft和Mozilla的支持，以提供替代的Web访问方式。

FIDO（快速在线身份验证）联盟是一个行业联盟，于2013年2月成立，旨在解决强身份验证设备之间缺乏互操作性以及用户创建和记住多个用户名和密码时遇到的问题。该视频介绍了FIDO及其目标：

WebAuthn定义了一个标准的Web API，可以将其整合到浏览器和相关的Web平台基础架构中，从而为用户提供新的方法来安全地在Web上，在浏览器中以及跨站点和设备进行身份验证.2016年以来的开发中，您可以将WebAuthn视为一种演进FIDO U2F和UAF协议。它延续了FIDO的传统，允许使用凭证进行逐步身份验证。但是，其最重要的创新在于，通过使用用户名和密码组合，使用户能够对服务进行身份验证，而不必先要求用户标识自己。

上个月，当W3C将WebAuthn提升到候选推荐（CR）阶段时，W3C首席执行官Jeff Jaffe表示：

“网络安全长期以来一直是一个问题，已经干扰了网络为社会做出的许多积极贡献。尽管存在许多网络安全问题，我们无法完全解决，但依靠密码是最薄弱的链接之一。借助WebAuthn的多因素解决方案，我们消除了这一薄弱环节。WebAuthn将改变人们访问网络的方式。”

我们都知道密码的问题：不好的密码很容易猜到，很强的密码很难记住，而且所有密码都可以通过网络钓鱼攻击来掩盖。虽然一次性代码可以提供额外的保护，但是它们很少使用并且也可以被篡改。更糟糕的是，密码被广泛地重新使用，因此成功的网络钓鱼攻击可以使犯罪者访问受害人使用的多个网站和设备。

WebAuthn旨在消除这些问题，而Firefox 60将默认启用WebAuthn API，提供基于公钥密码学的两因素身份验证，如我们今天所知，它不受网络钓鱼的影响。它将支持使用标准USB连接的FIDO U2F设备进行身份验证；这些合规的代币中有很多都以Yubikey，U2F Zero等名称出售。

Nick Nguyenwrites在Mozilla博客上介绍了新的安全措施

借助Firefox，WebAuthn允许人们使用YubiKey之类的单一设备登录其在线帐户而无需输入密码，也可以在输入密码后用作辅助身份验证。只有采用WebAuthn的网站才能识别您的YubiKey并允许您访问。本质上，WebAuthn是一组反网络钓鱼规则，它们使用复杂级别的身份验证器和加密技术来保护用户帐户。它支持各种身份验证器，例如当今的物理安全密钥，以及将来的移动电话，或生物识别机制，例如面部识别或指纹。当您插入YubiKey时，网站会读取该信息并自动将您登录到您的帐户。

目前，WebAuthn依赖于硬件密钥，例如YubiKeys，既可以单独使用也可以与密码一起使用。将来，它可以使用多种身份验证方法，包括Windows Hello，面部或指纹ID，甚至PIN终端。

一旦用户在其末端进行了身份验证，就不会有凭据离开其设备-网站所看到的只是确认身份验证成功的信息-因此，没有什么可以窃取的。

Firefox是第一个支持WebAuthn的浏览器，但是它也将出现在下一个版本的Google“ sChrome”和Microsoft“ sEdge”中。与较早的支持该技术的尝试相比，这将改善Web身份验证。