SimpleWebAuthn

事実とその根拠となるチェック

以下の内容はドキュメントからの転記ではありません。2026年10月20日に、チェック content/libraries/verify/simplewebauthn/run.sh がコンテナイメージ node:24.22.0-bookworm-slim 内で SimpleWebAuthn 14.0.3 を Node.js 24.22.0 で実行しました。このページの内容はその出力と一致していなければならず、各事実には該当する出力行を示しています。

• デフォルトの COSE アルゴリズム

  -48-8-7-257

  generateRegistrationOptions() は COSE アルゴリズムを -48（ML-DSA-44）、-8（Ed25519）、-7（ES256）、-257（RS256）の順に並べます。

  チェックによる記録

  fact webauthn-default-algorithms = -48, -8, -7, -257

• デフォルトのアテステーション

  none

  アテステーションの伝達方法のデフォルトは none です。

  チェックによる記録

  fact webauthn-attestation = none

• デフォルトのユーザー検証

  preferred

  authenticatorSelection.userVerification のデフォルトは preferred です。

  チェックによる記録

  fact webauthn-user-verification = preferred

• デフォルトのレジデントキー

  preferred

  authenticatorSelection.residentKey のデフォルトは preferred です。

  チェックによる記録

  fact webauthn-resident-key = preferred

• デフォルトでのユーザー検証の強制

  yes

  requireUserVerification: false を渡さない限り、2 つの検証関数はどちらも UV フラグを要求します。UP だけが立った登録とアサーションは、それぞれ User verification was required, but user could not be verified と User verification required, but user could not be verified で拒否されました。

  チェックによる記録

  fact webauthn-uv-enforced-by-default = yes
  evidence webauthn-uv-enforced-by-default: registration with the UV flag clear: throws User verification was required, but user could not be verified

• アサーション署名のエンコーディング

  der

  ASN.1 DER 署名を含む正しい ES256 アサーションは検証を通りました。

  チェックによる記録

  fact webauthn-assertion-encoding = der

• 生の r‖s 形式のアサーション署名

  rejected

  同じアサーションでも 64 バイトの生の r‖s 署名では、署名のバイト列によって文言が変わる ASN.1 の解析エラーがスローされました。

  チェックによる記録

  fact webauthn-raw-signature = rejected

• high-S のアサーション署名

  accepted

  s を n − s に置き換えた DER 署名も検証を通りました。

  チェックによる記録

  fact webauthn-high-s = accepted

• 署名カウンターの巻き戻り

  rejected

  保存済みの値より小さいカウンターでは Response counter value 3 was lower than expected 5 がスローされました。保存済みの値が 5 のときのカウンター 0 も拒否されましたが、保存済みの値が 0 のときの 0 は検証を通りました。

  チェックによる記録

  fact webauthn-counter-regression = rejected
  evidence webauthn-counter-regression: counter 0 after a stored 5: throws Response counter value 0 was lower than expected 5; counter 0 after a stored 0: verified

• Ed25519 の認証情報

  supported

  Ed25519（COSE -8）の認証情報で、登録と認証に成功しました。

  チェックによる記録

  fact webauthn-ed25519 = supported
  evidence webauthn-ed25519: verified

使い方

import { generateAuthenticationOptions, generateRegistrationOptions } from "@simplewebauthn/server";

const rpID = "example.com";

// Registration: the options ask for UV only as "preferred"...
const registration = await generateRegistrationOptions({
  rpName: "Example",
  rpID,
  userName: "user@example.com",
  authenticatorSelection: { residentKey: "required", userVerification: "required" },
});

// ...while verifyRegistrationResponse() and verifyAuthenticationResponse()
// require the UV flag by default. Ask for "required" up front (as here), or pass
// requireUserVerification: false when a security key without a PIN is acceptable.
const authentication = await generateAuthenticationOptions({ rpID, userVerification: "required" });

console.log("algorithms:", registration.pubKeyCredParams.map((param) => param.alg).join(", "));
console.log("uv:", registration.authenticatorSelection?.userVerification, authentication.userVerification);
console.log("challenge bytes:", Buffer.from(authentication.challenge, "base64url").length);