U2F ID приложения (Facet ID) для веб-сайта

Руководство разработчика u2f оставляет эту часть неуказанной: будет ли работать односторонний AppId без префикса www для посетителя, который заходит на сайт с префиксом www? Будут ли браузеры считать их совпадением?

Если нет, я считаю, что есть две альтернативы для развертываний U2F, и ни одна из них не очень приятна для IMO - ниже я объясню, почему так:

  1. Перенаправьте всех пользователей сети с www.example.com на example.com, затем используйте фасет "example.com".
  2. Предоставьте JSON-ресурс, который описывает как минимум два аспекта: www.example.com, example.com

Теперь я сказал, что приходится иметь дело с "www". явно не нравится Мое обоснование заключается в том, что SSL-сертификаты на одном сайте (включая более надежные, такие как EV-certs) имеют дело с URL-адресами с префиксом www прозрачно для веб-пользователей. Я не вижу причин, по которым U2F считал бы это дырой в безопасности и требовал явного способа ее устранения.

Источник

1 ответ

Решение

Браузер не будет считать их совпадением, пока не найдется ресурс JSON, который это поддерживает. См. FIDO AppID и Facet Specification v1.0: Раздел 3.1 Правила обработки для утверждений AppID и FacetID.

Источник
Другие вопросы по тегам