FIDO U2F 與 UAF 伺服器端的高效實作

Abstract

近年來，網路服務的蓬勃發展，越來越多人使用線上服務進行交易或存取個人資訊，因此對使用者的身份認證成為一項非常重要的事情。目前大部分的網路服務都是採用輸入使用者名稱、密碼來完成認證，然而密碼系統本身卻有一些根本上的安全缺陷。為此快速身份認證聯盟提出兩種認證規格:'通用第二因素'和'通用認證框架'。其中通用第二因素是一個兩階段驗證的架構，其透過新增的一個實體令牌來強化密碼認證。通用認證框架則是透過令牌利用生物辨識的認證使用者身分，因此不再需要密碼協助。兩項認證機制皆是通過認證新增的實體令牌使遠端網路服務能與使用者生份進行連結，因此遠端網路服務需利用通用第二因素/通用認證框架提出的協議並使用非對稱式演算法來完成對令牌的確認。 此篇論文我們利用PHP來實作通用第二因素和通用認證框架兩項系統的伺服器端。由於與露天拍賣進行產學合作案，因此通用第二因素的程式碼無法成為開放原始碼。本篇論文將通用認證框架伺服器端的程式碼公佈於https://github.com/ckwill/uaf-server-library-php。

In recent years, services over Internet flourish rapidly. More and more people use online services to do transaction or access personal data. Therefore, authentication of user identity has become an important task. At present, most of the online services ask user enter the username and password to validate identity of user. However, the password-based authentication has several security problems. For this reason, FIDO alliance published two authentication specification: 'Universal 2nd Factor'(U2F) and 'Universal Authentication Framework'(UAF). U2F is a second factor verification. It strengthens the security of password-based authentication by using a real token. UAF uses biometrics or some other way provided by authenticator to verify user identity. Online services use protocols provides by U2F/UAF and asymmetric-key algorithms to authenticate the token or authenticator, so they can make sure the user identity. In this paper, we implement the server side of U2F and UAF in PHP. Because our U2F is an industry-university cooperative research project with Ruten, we do not open the code. We open our UAF code on 'https://github.com/ckwill/uaf-server-library-php'.