go-webauthn

事実とその根拠となるチェック

以下の内容はドキュメントからの転記ではありません。2026年10月20日に、チェック content/libraries/verify/go-webauthn/run.sh がコンテナイメージ golang:1.27.3-trixie 内で go-webauthn 0.18.2 を実行しました。このページの内容はその出力と一致していなければならず、各事実には該当する出力行を示しています。

• デフォルトの COSE アルゴリズム

  -7-35-36-257-258-259-37-38-39-8

  BeginRegistration は COSE アルゴリズム -7、-35、-36（ES256/384/512）、-257、-258、-259（RS256/384/512）、-37、-38、-39（PS256/384/512）、-8（Ed25519）を列挙します。

  チェックによる記録

  fact webauthn-default-algorithms = -7, -35, -36, -257, -258, -259, -37, -38, -39, -8

• デフォルトのアテステーション

  none

  アテステーションの伝達方法のデフォルトは none です。

  チェックによる記録

  fact webauthn-attestation = none

• デフォルトのユーザー検証

  preferred

  authenticatorSelection はデフォルトで空のオブジェクトとして送信されるため、ブラウザーは preferred を適用します。

  チェックによる記録

  fact webauthn-user-verification = preferred
  evidence webauthn-user-verification: authenticatorSelection in BeginRegistration output: {}

• デフォルトのレジデントキー

  discouraged

  オプションに residentKey がない場合は、WebAuthn のデフォルトである discouraged が適用されます。

  チェックによる記録

  fact webauthn-resident-key = discouraged

• デフォルトでのユーザー検証の強制

  no

  セッションのユーザー検証が preferred のときは、UP だけが立った登録とアサーションが検証を通りました。required では、アサーションが User verification required but flag not set by authenticator で失敗しました。

  チェックによる記録

  fact webauthn-uv-enforced-by-default = no
  evidence webauthn-uv-enforced-by-default: registration with the UV flag clear, session UV preferred: verified

• アサーション署名のエンコーディング

  der

  DER 署名を含む正しい ES256 アサーションは検証を通りました。

  チェックによる記録

  fact webauthn-assertion-encoding = der

• 生の r‖s 形式のアサーション署名

  rejected

  64 バイトの生の r‖s 署名は Error validating the assertion signature: Signature invalid or not provided で失敗しました。

  チェックによる記録

  fact webauthn-raw-signature = rejected

• high-S のアサーション署名

  accepted

  s を n − s に置き換えた DER 署名も検証を通りました。

  チェックによる記録

  fact webauthn-high-s = accepted

• 署名カウンターの巻き戻り

  flagged

  保存済みの値が 5 のときにカウンター 3 を送ってもログインは失敗せず、返された認証情報は CloneWarning が true で、SignCount は 5 のままでした。

  チェックによる記録

  fact webauthn-counter-regression = flagged
  evidence webauthn-counter-regression: counter 3 after a stored 5: login succeeded, CloneWarning true, SignCount now 5
  evidence webauthn-counter-regression: counter 0 after a stored 0: verified, CloneWarning false

• Ed25519 の認証情報

  supported

  Ed25519（COSE -8）の認証情報で、登録と認証に成功しました。

  チェックによる記録

  fact webauthn-ed25519 = supported
  evidence webauthn-ed25519: verified

使い方

package main

import (
	"fmt"

	"github.com/go-webauthn/webauthn/protocol"
	"github.com/go-webauthn/webauthn/webauthn"
)

type user struct{}

func (user) WebAuthnID() []byte                         { return []byte("user-1") }
func (user) WebAuthnName() string                       { return "user@example.com" }
func (user) WebAuthnDisplayName() string                { return "User" }
func (user) WebAuthnCredentials() []webauthn.Credential { return nil }

func main() {
	w, _ := webauthn.New(&webauthn.Config{
		RPID: "example.com", RPDisplayName: "Example", RPOrigins: []string{"https://example.com"},
		// Without this, options say nothing about UV or discoverable credentials.
		AuthenticatorSelection: protocol.AuthenticatorSelection{
			ResidentKey: protocol.ResidentKeyRequirementRequired, UserVerification: protocol.VerificationRequired,
		},
	})
	creation, session, _ := w.BeginRegistration(user{})
	// The session carries the requirement into FinishRegistration/FinishLogin.
	fmt.Println("uv:", creation.Response.AuthenticatorSelection.UserVerification, session.UserVerification)
	fmt.Println("resident key:", creation.Response.AuthenticatorSelection.ResidentKey)
}