fido2-workshop 第五回 WebAuthnもくもく会でLTした際の資料です。 https://fido2-workshop.connpass.com/event/144276/

1. WebAuthnのRP実装を
簡単にしたい話
第5回 WebAuthnもくもく会
@kg0r0

2. 自己紹介
• 合路 健人
• 社会人3年目
• Twitter: @kg0r0

3. ここ一年くらい（主観）
• RPのサンプル実装だけでなくライブラリ
も豊富になってきた（機能面含め）
• 実装に関する情報も増えてきた

4. ライブラリを触ってみた
→ 実装が大変な印象を受けた

5. Registration（Overview）
Authenticator Client Relying party
rpId, challenge, userInfo
challenge, rpId, userInfo
counter, pubKey,
attestCert, attestSign
Verify S, rpId
and counter
store pubKey etc
Generate
new keypair
counter++
C
S
counter, C, S etc

6. Authentication (Overview)
Authenticator Client Relying party
rpId, challenge
challenge, rpId, etc
counter, signature
Verify S
and rpId, etc
Select keypair
counter++
C
S
counter, C, S

7. 何が大変だったか??
• challengeの管理
• リクエストボディのパース・細かい検証
• Public Key, credential IDの管理
• counterの管理
などなど（もちろんライブラリによる）

8. 既存のライブラリをラップして特定の
フレームワーク向けに使いやすくする
のが良さそう??

9. つくってみた
• Express用のミドルウェア実装
• Node.jsとTypeScript
• fido2-libをラップ
https://github.com/apowers313/fido2-lib

10. const express = require('express’);
const bodyParser = require('body-parser’);
const cookieParser = require('cookie-parser’);
const cookieSession = require('cookie-session’);
const fido2middleware = require('fido2-middleware’);
const crypto = require('crypto’);
const app = express();
app.use(cookieParser());
app.use(bodyParser.json());
app.use(cookieSession({
name: 'session', keys:
[crypto.randomBytes(32).toString('hex’)],
maxAge: 24 * 60 * 60 * 1000
}));
// ココ
app.use(fido2middleware.webAuthentication);
…

11. 感想
• 自由度を犠牲にしてパラメーターを埋め
た感
• 詰まないようにConfigurableする難しさ
• ラップするライブラリミスったかも

12. 参考
• https://www.npmjs.com/package/fido2-
middleware
• https://github.com/apowers313/fido2-lib
• http://slides.com/herrjemand/webauthn-isig