跨多个设备管理webauthn凭据

Question

我正在尝试将基于webauthn(公钥)的身份验证集成到我们的网站中。当终端用户正在切换设备时，我面临着一个问题。

如何在后端维护每个设备注册的凭据，如果我们不决定是显示基于webauthn的auth，还是现在显示当前设备的凭据？

这是我唯一能想到的解决办法：

1. 使用localStorage，cookies e.t.c存储设备标识符，但所有这些都可以由终端用户
2. 清除，如果在一个设备上注册了密钥，我们将在每个设备上显示它们的web创作，如果找不到密钥，则请它们在此设备

上注册。

Answer 1

您正在强调WebAuthn当前存在的关键问题之一，特别是对于Windows、Touch ID等平台身份验证器。

你提出的解决方案基本上是你所能做的，但要注意，两者都远不完美。特别是局部储存可以是一个真正的兔子洞。

您可能想看看FIDO联盟关于“多设备FIDO凭据”的最新白皮书，在这里您将了解到业界正在做些什么来改善这种情况：https://fidoalliance.org/white-paper-multi-device-fido-credentials/。