Chrome拡張を使って認証器なしでWebAuthnのAPIを呼ぶ

出先でたまたま認証器がない状態で WebAuthn の API を叩きたいというイベントが稀に発生するのですが、WebAuthn.io という WebAuthn のデモサイトで紹介されていた Chrome拡張で認証器をもっていなくても API を叩けることを知ったので紹介させていただきます。

使い方

Virtual Authenticators Tab | chrome ウェブストアからインストールします。

Chrome 80 以上のバージョンが推奨、とのことです。

インストールしてからデベロッパーツールを開くと、Virtual Authenticators というタブが追加されています。

Enable Virtual Authenticator Environment をチェックすると、仮想認証器が有効化します。

有効化すると認証器が接続されている時のように API を呼ぶことができます。

いわゆる認証器をタップするなどのユーザーの存在チェックなどは行われず、特に何もしなくても API のレスポンスが返ってくるようです。

認証器の追加

いまいち仕様が理解しきれていないのですが、この Chrome 拡張には属性を指定した認証器を追加する機能があります。

  • プロトコル
  • 接続方式
  • レジデントキーをサポートするかどうか
  • User Verification をサポートするかどうか

上記の属性が指定可能です。

認証器を一つも追加していない状態では、

  • プロトコル:ctap2
  • 接続方式:usb
  • レジデントキーをサポートするかどうか:false
  • User Verification をサポートするかどうか:false

としての動作となるようです。ちなみに aaguid は 01020304-0506-0708-0102-030405060708 でした。

ここで、例えば authenticatorSection の userVerification を required にして実行したい場合、Add Authenticator で認証器を追加します。

作成すると一覧に認証器が追加されます。

この状態だと navigator.credentials.get を userVerification="required" で呼び出すことができます。 ただし、ここの挙動がいまいち理解しきれていないのですが、この呼び出しが成功したり失敗したりします。 なんとなくなのですが、デフォルトの認証器と、追加した認証器のどちらかがレスポンスを返していて、デフォルトが選ばれた?場合はエラーになっている気がします。

エラーとなる場合、以下のようなエラーとメッセージが返ってきます。

NotAllowedError:The operation either timed out or was not allowed. See: https://w3c.github.io/webauthn/#sec-assertion-privacy.

Credentials の一覧からは、生成したクレデンシャルを消したり秘密鍵をダウンロードしたりできます。

まとめ

Virtual Authenticators Tab を利用すると、手元に認証器がなくても WebAuthn の API を呼び出すことが可能です。

私からは以上です。