go-webauthn

Os fatos e as verificações por trás deles

Nada abaixo foi copiado da documentação. A verificação content/libraries/verify/go-webauthn/run.sh executou go-webauthn 0.18.2 na imagem de contêiner golang:1.27.3-trixie em 20 de outubro de 2026; a página precisa corresponder ao que a verificação imprimiu, e cada fato lista essas linhas.

• Algoritmos COSE padrão

  -7-35-36-257-258-259-37-38-39-8

  BeginRegistration lista os algoritmos COSE -7, -35, -36 (ES256/384/512), -257, -258, -259 (RS256/384/512), -37, -38, -39 (PS256/384/512) e -8 (Ed25519).

  Registrado pela verificação

  fact webauthn-default-algorithms = -7, -35, -36, -257, -258, -259, -37, -38, -39, -8

• Atestado padrão

  none

  A preferência de transmissão do atestado (attestation conveyance) é none por padrão.

  Registrado pela verificação

  fact webauthn-attestation = none

• Nível padrão de verificação do usuário

  preferred

  Por padrão, authenticatorSelection é enviado como um objeto vazio, então o navegador aplica preferred.

  Registrado pela verificação

  fact webauthn-user-verification = preferred
  evidence webauthn-user-verification: authenticatorSelection in BeginRegistration output: {}

• Configuração padrão de chave residente

  discouraged

  Sem residentKey nas opções, vale o padrão do WebAuthn, discouraged.

  Registrado pela verificação

  fact webauthn-resident-key = discouraged

• Verificação do usuário exigida por padrão

  no

  Com a verificação do usuário da sessão em preferred, um registro e uma asserção só com a flag UP foram verificados; com required, a asserção falhou com User verification required but flag not set by authenticator.

  Registrado pela verificação

  fact webauthn-uv-enforced-by-default = no
  evidence webauthn-uv-enforced-by-default: registration with the UV flag clear, session UV preferred: verified

• Codificação da assinatura de asserção

  der

  Uma asserção ES256 correta com assinatura DER foi verificada.

  Registrado pela verificação

  fact webauthn-assertion-encoding = der

• Assinatura de asserção r‖s bruta

  rejected

  Uma assinatura r‖s bruta de 64 bytes falhou com Error validating the assertion signature: Signature invalid or not provided.

  Registrado pela verificação

  fact webauthn-raw-signature = rejected

• Assinatura de asserção high-S

  accepted

  Uma assinatura DER com s substituído por n − s foi verificada.

  Registrado pela verificação

  fact webauthn-high-s = accepted

• Contador de assinaturas que retrocede

  flagged

  Um contador 3 depois de um 5 armazenado não fez o login falhar: a credencial voltou com CloneWarning verdadeiro e SignCount ainda em 5.

  Registrado pela verificação

  fact webauthn-counter-regression = flagged
  evidence webauthn-counter-regression: counter 3 after a stored 5: login succeeded, CloneWarning true, SignCount now 5
  evidence webauthn-counter-regression: counter 0 after a stored 0: verified, CloneWarning false

• Credenciais Ed25519

  supported

  Uma credencial Ed25519 (COSE -8) foi registrada e autenticada com sucesso.

  Registrado pela verificação

  fact webauthn-ed25519 = supported
  evidence webauthn-ed25519: verified

Uso

package main

import (
	"fmt"

	"github.com/go-webauthn/webauthn/protocol"
	"github.com/go-webauthn/webauthn/webauthn"
)

type user struct{}

func (user) WebAuthnID() []byte                         { return []byte("user-1") }
func (user) WebAuthnName() string                       { return "user@example.com" }
func (user) WebAuthnDisplayName() string                { return "User" }
func (user) WebAuthnCredentials() []webauthn.Credential { return nil }

func main() {
	w, _ := webauthn.New(&webauthn.Config{
		RPID: "example.com", RPDisplayName: "Example", RPOrigins: []string{"https://example.com"},
		// Without this, options say nothing about UV or discoverable credentials.
		AuthenticatorSelection: protocol.AuthenticatorSelection{
			ResidentKey: protocol.ResidentKeyRequirementRequired, UserVerification: protocol.VerificationRequired,
		},
	})
	creation, session, _ := w.BeginRegistration(user{})
	// The session carries the requirement into FinishRegistration/FinishLogin.
	fmt.Println("uv:", creation.Response.AuthenticatorSelection.UserVerification, session.UserVerification)
	fmt.Println("resident key:", creation.Response.AuthenticatorSelection.ResidentKey)
}