WebAuthn Authentication | Résultat

L'objectif est de valider l'assertion signée fournie par le navigateur, ce qui prouve que l'utilisateur possède la clé privée initialement enregistrée. C'est ce qui permet à l'utilisateur de se connecter de manière sécurisée. Après que l'utilisateur interagit avec son authentificateur (ex. empreinte digitale, clé de sécurité), le navigateur envoie une requête POST au serveur avec le résultat de l'authentification. Voici un exemple JSON :

 

{
  "id": "credential-id",
  "rawId": "base64url-encoded-credential-id",
  "type": "public-key",
  "response": {
    "clientDataJSON": "base64url",
    "authenticatorData": "base64url",
    "signature": "base64url",
    "userHandle": "optional"
  }
}

 

Lorsque le serveur reçoit cette requête au point de terminaison configuré (par ex., /sgcWebAuthn/Authentication/Verify), il doit valider les étapes suivantes :

 

• Récupérer les informations d'identification depuis la base de données : utilisez l'identifiant de credential pour rechercher la clé publique enregistrée de l'utilisateur et les métadonnées (par exemple, le compteur de signature).
• Décoder et analyser clientDataJSON
• Valider les données d'authentification
• Vérifier la signature

 

Si toutes les validations sont correctes, l'authentification réussit et l'événement OnWebAuthnAuthenticationSuccessful est appelé.

 

Si une vérification échoue, l'événement OnWebAuthnAuthenticationError est appelé avec la raison de l'erreur.