SimpleWebAuthn

Os fatos e as verificações por trás deles

Nada abaixo foi copiado da documentação. A verificação content/libraries/verify/simplewebauthn/run.sh executou SimpleWebAuthn 14.0.3 em Node.js 24.22.0 na imagem de contêiner node:24.22.0-bookworm-slim em 20 de outubro de 2026; a página precisa corresponder ao que a verificação imprimiu, e cada fato lista essas linhas.

• Algoritmos COSE padrão

  -48-8-7-257

  generateRegistrationOptions() lista os algoritmos COSE -48 (ML-DSA-44), -8 (Ed25519), -7 (ES256) e -257 (RS256), nessa ordem.

  Registrado pela verificação

  fact webauthn-default-algorithms = -48, -8, -7, -257

• Atestado padrão

  none

  A preferência de transmissão do atestado (attestation conveyance) é none por padrão.

  Registrado pela verificação

  fact webauthn-attestation = none

• Nível padrão de verificação do usuário

  preferred

  authenticatorSelection.userVerification é preferred por padrão.

  Registrado pela verificação

  fact webauthn-user-verification = preferred

• Configuração padrão de chave residente

  preferred

  authenticatorSelection.residentKey é preferred por padrão.

  Registrado pela verificação

  fact webauthn-resident-key = preferred

• Verificação do usuário exigida por padrão

  yes

  Os dois verificadores exigem a flag UV, a menos que se passe requireUserVerification: false: um registro e uma asserção só com a flag UP foram recusados com User verification was required, but user could not be verified e User verification required, but user could not be verified.

  Registrado pela verificação

  fact webauthn-uv-enforced-by-default = yes
  evidence webauthn-uv-enforced-by-default: registration with the UV flag clear: throws User verification was required, but user could not be verified

• Codificação da assinatura de asserção

  der

  Uma asserção ES256 correta com assinatura ASN.1 DER foi verificada.

  Registrado pela verificação

  fact webauthn-assertion-encoding = der

• Assinatura de asserção r‖s bruta

  rejected

  A mesma asserção com uma assinatura r‖s bruta de 64 bytes lançou um erro do parser ASN.1 cuja mensagem depende dos bytes da assinatura.

  Registrado pela verificação

  fact webauthn-raw-signature = rejected

• Assinatura de asserção high-S

  accepted

  Uma assinatura DER com s substituído por n − s foi verificada.

  Registrado pela verificação

  fact webauthn-high-s = accepted

• Contador de assinaturas que retrocede

  rejected

  Um contador abaixo do valor armazenado lançou Response counter value 3 was lower than expected 5; um contador 0 depois de um 5 armazenado também foi recusado, enquanto 0 depois de um 0 armazenado foi verificado.

  Registrado pela verificação

  fact webauthn-counter-regression = rejected
  evidence webauthn-counter-regression: counter 0 after a stored 5: throws Response counter value 0 was lower than expected 5; counter 0 after a stored 0: verified

• Credenciais Ed25519

  supported

  Uma credencial Ed25519 (COSE -8) foi registrada e autenticada com sucesso.

  Registrado pela verificação

  fact webauthn-ed25519 = supported
  evidence webauthn-ed25519: verified

Uso

import { generateAuthenticationOptions, generateRegistrationOptions } from "@simplewebauthn/server";

const rpID = "example.com";

// Registration: the options ask for UV only as "preferred"...
const registration = await generateRegistrationOptions({
  rpName: "Example",
  rpID,
  userName: "user@example.com",
  authenticatorSelection: { residentKey: "required", userVerification: "required" },
});

// ...while verifyRegistrationResponse() and verifyAuthenticationResponse()
// require the UV flag by default. Ask for "required" up front (as here), or pass
// requireUserVerification: false when a security key without a PIN is acceptable.
const authentication = await generateAuthenticationOptions({ rpID, userVerification: "required" });

console.log("algorithms:", registration.pubKeyCredParams.map((param) => param.alg).join(", "));
console.log("uv:", registration.authenticatorSelection?.userVerification, authentication.userVerification);
console.log("challenge bytes:", Buffer.from(authentication.challenge, "base64url").length);