android safety net nonce是否等同于web authnn的挑战？

Question

android SafetyNet和Web Authnn有多相似？质询是否传递给WebAutnn的身份验证器，以生成与传递给Android SafetyNet的nonce相等的证明对象？我可以在WebAuthnn中使用nonce作为挑战吗？

Answer 1

这可能是规范的相关部分：

https://www.w3.org/TR/webauthn/#cryptographic-challenges

鉴于SafetyNet具有类似的目标，并且假设结果值是兼容的(即至少16个字节)，那么您可以放心地说，您可以对两者使用相同的方式生成的值。

也就是说，本文档建议您无论如何都要生成nonce：

https://developer.android.com/training/safetynet/attestation#obtain-nonce

遵循这两个文档中的指导，你就不会犯太大的错误。