Wat is het CTAP-protocol en waarvoor wordt het gebruikt?

De overgrote meerderheid van de gebruikers besluit online te winkelen vanwege het gemak en de snelheid waarmee ze een bepaald product kunnen kopen, zonder fysiek in de winkel naar het product te hoeven zoeken, in de rij te hoeven staan ​​om te betalen en af ​​te rekenen. Met de toename van online winkelen, is veiligheid een fundamenteel probleem. Vandaag gaan we in RedesZone uitleggen wat het CTAP-protocol is en waarvoor het dient.

In de afgelopen tien jaar is elke website die we bezoeken om een ​​aankoop te doen, als we toegang hebben tot een sociaal netwerk, forum, enz. Het vraagt ​​ons altijd om in te loggen voor een gebruikersnaam of e-mail, evenals het bijbehorende wachtwoord waarmee we het account registreren. Het grootste probleem bij het gebruik van deze inlogmethode, d.w.z. ons identificeren op de website, is dat het heel gemakkelijk kan zijn dat onze gegevens worden gestolen of dat ons inlogwachtwoord wordt ontdekt. Dit gebeurt meestal omdat u geen a sterke wachtwoorden omdat ze moeilijker te onthouden zijn.

Vanwege al deze beveiligingsproblemen hebben de FIDO Alliance en het World Wide Web Consortium, beter bekend als W3C, een veel veiliger en comfortabeler systeem ontwikkeld om verbinding te maken met websites. Deze ontwikkeling eindigde met de creatie van FIDO2 en WebAuthn waar we het al over hadden in Redes Zone, maar een ander even of belangrijker mechanisme waar de meeste gebruikers niet bekend mee zijn, is CTAP ( Client naar Authenticator-protocol ).

Wat is CTAP

Het eerste dat we moeten weten, is dat FIDO2 en WebAuthn systemen zijn die zijn ontworpen om het wachtwoordsysteem te vervangen dat alle gebruikers tegenwoordig gebruiken. Met FIDO2 en WebAuthn kun je biometrische gegevens gebruiken om in te loggen, een simpel voorbeeld heb je bij laptops, mobieltjes en andere apparaten die bijvoorbeeld een ingebouwde vingerafdruklezer hebben. Dankzij de vingerafdruk kunnen we van ons wachtwoord dezelfde vingerafdruk maken. Het is erg belangrijk om het niet te verwarren met de systemen die zich momenteel op verschillende apparaten bevinden, zodat wanneer u moet inloggen, u het wachtwoord onthouden heeft (wachtwoordbeheerder). Dit systeem is niet FIDO2 of WebAuthn,

Een andere optie die ook bestaat, en die steeds meer in bedrijven wordt gebruikt, is een apparaat dat als een USB-sleutel op onze computer wordt aangesloten, waar het intern hardware integreert om zichzelf te verifiëren en een veilige verbinding te hebben.

Na het zien van dit vorige punt willen we u graag uitleggen hoe de CTAP werkt. De CTAP in dit vorige geval zou het protocol zijn dat verantwoordelijk is voor het regelen van de communicatie tussen de USB-sleutel en het authenticatietoken. Dat wil zeggen, CTAP zou het protocol zijn dat verantwoordelijk is voor de veilige communicatie tussen de twee partijen, zodat ze eerst communiceren, ten tweede authenticeren en ten derde, ze eindelijk een sessie kunnen starten.

CTAP-versies

Nadat we hebben gezien wat CTAP is en hoe het werkt, is het belangrijk om te weten dat er momenteel twee totaal verschillende versies van CTAP zijn die we hieronder zullen zien:

• U2F (universeel 2 ^nd factoren) : De eerste versie is gemaakt CTAP is precies ook de eerste versie van het protocol gemaakt en is beter bekend onder de naam U2F wat staat voor "Universal 2 ^nd Factor ". Deze versie verwijst naar authenticatie in twee stappen, of zoals velen van jullie zeker weten, authenticatie in twee stappen die de laatste jaren zo in de mode is geworden.
• CTAP2 : De tweede versie van CTAP die is gemaakt, is CTAP2. CTAP2 wordt gebruikt met WebAuthn, en wat het doet is dat FIDO2 kan werken. Dat wil zeggen, terwijl WebAuth de verbinding tussen de computer van de gebruiker en de website beheert, is het CTAP2-protocol verantwoordelijk voor de verbinding tussen de computer van de gebruiker en de website met behulp van de authenticator. Dat wil zeggen, WebAuthn beheert de verbinding en CTAP2 beheert de authenticatorverbinding.

Hoe het CTAP-protocol werkt

Het eerste waar we duidelijk over moeten zijn, is dat CTAP en WebAuthn moeten samenwerken om FIDO2 mogelijk te maken.

We weten allemaal dat om te kunnen inloggen op elke website, online applicatie, enz. Dit moet een authenticatiesysteem hebben om een ​​FIDO2-sessie te kunnen starten, dit wordt gedaan met behulp van een extern apparaat, zoals we hierboven bijvoorbeeld hebben opgemerkt over een USB-sleutel, die een token zou zijn, de gebruiker die eigenaar is van dit apparaat en u dus te kunnen identificeren op de website, applicatie, etc. Dankzij het token vermijden we dat we een wachtwoord moeten gebruiken dat heel gemakkelijk te stelen of te ontdekken zou zijn.

Authenticator-verbindingsmethoden

Momenteel zijn er verschillende methoden om ons authenticatieapparaat aan ons team te koppelen. Hoewel tegenwoordig het meest gebruikelijk is om een ​​apparaat te gebruiken dat verbinding maakt met de USB-poort, omdat ze een van de eersten waren die werden ontworpen, kunnen we ook het apparaat aansluiten dat ons ons veilige inlogtoken zou geven via een login, NFC of Bluetooth.

Wat is er nodig om ons beveiligde inlogapparaat te laten werken

Om een ​​apparaat te kunnen gebruiken om te verifiëren, hebben we ten minste één webbrowser nodig die compatibel is met de nieuwe CTAP-, WebAuthn- en FIDO2-standaarden. Als we momenteel de bijgewerkte browser hebben, zijn Google Chrome en Mozilla Firefox compatibel met FIDO2 in de nieuwste versies.

Ander type authenticatoren:

Zoals we al zeiden, smartphones met vingerafdruk, irisherkenning en zelfs herkenning van ons gezicht, kunnen we ons authenticeren in verschillende diensten. Deze authenticatiemethoden, die in de hardware zijn ingebouwd, vereisen geen externe componenten en daarom is een apart communicatieprotocol voor de apparaten niet vereist, wat de CTAP doet.

Hoe CTAP-communicatie werkt

CTAP-communicatie werkt als volgt:

• ten eerste : de webbrowser maakt verbinding met ons authenticatieapparaat en vraagt ​​om informatie.
• ten tweede : Zodra u met het apparaat hebt gecommuniceerd, stuurt het u informatie over de authenticatiemethode die het aan de browser kan aanbieden.
• ten derde : afhankelijk van de informatie die door de browser wordt ontvangen, stuurt deze een opdracht naar de authenticator, wat kan zijn om een ​​sessie of een fout te starten.

Nadat we hebben gezien hoe CTAP-communicatie werkt, kunnen we beter begrijpen hoe de systemen die door fabrikanten zoals Apple worden gebruikt, werken. Omdat de authenticatiehardware is ingebouwd in de fysieke hardware van het apparaat, verlaten inloggegevens zoals onze vingerafdruk of gezicht het apparaat nooit, d.w.z. de webbrowser verzendt alleen via WebAuthn de bevestiging van de geldigheid van de verbinding, maar controleert nooit of de vingerafdruk of het beeld van ons gezicht is authentiek, want dit is wat het apparaat ondersteunt door alles in hetzelfde materiaal te verwerken.

Er kan worden gezegd dat het door het gebruik van CTAP, WebAuthn en FIDO2 eindelijk mogelijk is om man-in-the-middle-aanvallen om wachtwoorden en phishing te stelen te elimineren, aangezien gebruikers geen wachtwoord hoeven op te geven om de sessie te starten.