Railsアプリにパスワードレス認証を導入した知見

by 虎の穴ラボ株式会社

Slide 1

Slide 1 text

Slide 2

Slide 2 text

Slide 3

Slide 3 text

Slide 4

Slide 4 text

Slide 5

Slide 5 text

Slide 6

Slide 6 text

Slide 7

Slide 7 text

Slide 8

Slide 8 text

Slide 9

Slide 9 text

Slide 10

Slide 10 text

Slide 11

Slide 11 text

Slide 12

Slide 12 text

Copyright (C) 2022 Toranoana Lab Inc. All Rights Reserved. ● Googleのチュートリアル ○ https://developers.google.com/codelabs/webauthn-reauth?hl=ja#1 ○ フロントの実装のみ ● RFC ○ https://www.w3.org/TR/webauthn/ パスキーとは - 仕様等の参考情報 12

Slide 13

Slide 13 text

Slide 14

Slide 14 text

Slide 15

Slide 15 text

Slide 16

Slide 16 text

Slide 17

Slide 17 text

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Slide 20

Slide 20 text

Copyright (C) 2022 Toranoana Lab Inc. All Rights Reserved. パスキーの導入 - トークンの仕様 20 ● challenge  ○ 署名の検証に使われるランダムな値(チャレンジレスポンス)   ○ リプライアタックの防御が必要   ○ サーバーサイドなど信頼できる環境で生成すること(MUST)   ○ 最終的にクライアントの動作に依存せず一致が確かめられること   ■ そのため、一連の操作が完了するまで何らかの形で保持が必要(SHOULD)   ○ 推測不可能なものにすること(MUST)、少なくとも16byte以上(SHOULD)   ● rp  ○ 認証サーバーの情報(アプリ名とか)   ● user  ○ ユーザーIDや名前、表示名など   ● attestation  ○ 認証器の正当性をチェックする方法の選択   ■ none: 全くしない  ■ indirect: チェックするが認証器が生成したものでなくても良い   ■ direct: 直接認証器から生成されたattestationをチェックする   ○ none以外ではユーザーの同意が必要

Slide 21

Slide 21 text

Slide 22

Slide 22 text

Slide 23

Slide 23 text

Slide 24

Slide 24 text

Copyright (C) 2022 Toranoana Lab Inc. All Rights Reserved. # 一意のキーを発行 if !user.webauthn_id user.update!(webauthn_id: WebAuthn.generate_user_id) end # 登録用のトークン発行 options = WebAuthn::Credential.options_for_create( user: { id: user.webauthn_id, name: user.name }, exclude: user.credentials.map { |c| c.webauthn_id } ) パスキーの導入 - webauthn（Gem）の利用 - options_for_create 24

Slide 25

Slide 25 text

Slide 26

Slide 26 text

Copyright (C) 2022 Toranoana Lab Inc. All Rights Reserved. パスキーの導入 - 登録 - フロントのコールバック # 認証情報を生成（CBORを解析） webauthn_credential = WebAuthn::Credential.from_create(params[:publicKeyCreden tial]) # 証明書を検証 webauthn_credential.verify(session[:creation_challenge]) # ユーザーに紐づけて登録 user.credentials.create!( webauthn_id: webauthn_credential.id, public_key: webauthn_credential.public_key, sign_count: webauthn_credential.sign_count ) 26

Slide 27

Slide 27 text

Slide 28

Slide 28 text

Slide 29

Slide 29 text

Slide 30

Slide 30 text

Slide 31

Slide 31 text

Copyright (C) 2022 Toranoana Lab Inc. All Rights Reserved. # 対象ユーザーを取得 webauthn_credential = WebAuthn::Credential.from_get(params[:publicKeyCredentia l]) user_credential = user.credentials.find_by(webauthn_id: webauthn_credential.id) # 検証 webauthn_credential.verify( session[:authentication_challenge], public_key: user_credential.public_key, sign_count: user_credential.sign_count ) パスキーの導入 - 認証 - 認証情報の検証 31

Slide 32

Slide 32 text

Slide 33

Slide 33 text

Slide 34

Slide 34 text

Slide 35

Slide 35 text

Copyright (C) 2022 Toranoana Lab Inc. All Rights Reserved. // 登録時認証情報の作成 webauthnJSON.create({publicKey:サーバーで生成したoption}); // 認証時認証情報の取得 webauthnJSON.get({publicKey:サーバーで生成したoption}); 基本的にはこれだけパスキーの導入 - フロント側の実装 35

Slide 36

Slide 36 text

Slide 37

Slide 37 text

Slide 38

Slide 38 text

Copyright (C) 2022 Toranoana Lab Inc. All Rights Reserved. iOSでは必ずユーザー操作を挟む必要がある 󰢃NG ログインボタンを押す→トークン取得→navigator.credentials.get()→トークン検証→ログイン 󰢏OK ログインボタンを押す→トークン取得→ダイアログなどに確認ボタンを出して押す→navigator.credentials.get()→トークン検証→ログイン具体的には一回認証をキャンセルして再度開くパターンパスキーの導入 - iOSでの挙動 38

Slide 39

Slide 39 text

Slide 40

Slide 40 text