go-webauthn

Факты и проверки, на которых они основаны

Ничего из приведённого ниже не скопировано из документации. 20 октября 2026 г. проверка content/libraries/verify/go-webauthn/run.sh запустила go-webauthn 0.18.2 в образе контейнера golang:1.27.3-trixie; содержимое страницы должно совпадать с выводом проверки, а у каждого факта приведены соответствующие строки вывода.

• Алгоритмы COSE по умолчанию

  -7-35-36-257-258-259-37-38-39-8

  BeginRegistration перечисляет алгоритмы COSE -7, -35, -36 (ES256/384/512), -257, -258, -259 (RS256/384/512), -37, -38, -39 (PS256/384/512) и -8 (Ed25519).

  Что записала проверка

  fact webauthn-default-algorithms = -7, -35, -36, -257, -258, -259, -37, -38, -39, -8

• Аттестация по умолчанию

  none

  Параметр передачи аттестации по умолчанию равен none.

  Что записала проверка

  fact webauthn-attestation = none

• Проверка пользователя по умолчанию

  preferred

  По умолчанию authenticatorSelection отправляется пустым объектом, поэтому браузер применяет preferred.

  Что записала проверка

  fact webauthn-user-verification = preferred
  evidence webauthn-user-verification: authenticatorSelection in BeginRegistration output: {}

• Резидентный ключ по умолчанию

  discouraged

  Если в параметрах нет residentKey, действует значение WebAuthn по умолчанию — discouraged.

  Что записала проверка

  fact webauthn-resident-key = discouraged

• Обязательная проверка пользователя по умолчанию

  no

  Когда в сессии для проверки пользователя задано preferred, регистрация и assertion, в которых установлен только флаг UP, прошли проверку; с required assertion отклонён с ошибкой User verification required but flag not set by authenticator.

  Что записала проверка

  fact webauthn-uv-enforced-by-default = no
  evidence webauthn-uv-enforced-by-default: registration with the UV flag clear, session UV preferred: verified

• Кодировка подписи assertion

  der

  Проверка корректного assertion ES256 с подписью в DER прошла успешно.

  Что записала проверка

  fact webauthn-assertion-encoding = der

• Подпись assertion в формате raw r‖s

  rejected

  Подпись в формате raw r‖s длиной 64 байта отклонена с ошибкой Error validating the assertion signature: Signature invalid or not provided.

  Что записала проверка

  fact webauthn-raw-signature = rejected

• Подпись assertion с high-S

  accepted

  Подпись в DER, в которой s заменили на n − s, прошла проверку.

  Что записала проверка

  fact webauthn-high-s = accepted

• Уменьшение счётчика подписей

  flagged

  Значение счётчика 3 при сохранённом 5 не привело к ошибке входа: у возвращённых учётных данных CloneWarning равен true, а SignCount по-прежнему равен 5.

  Что записала проверка

  fact webauthn-counter-regression = flagged
  evidence webauthn-counter-regression: counter 3 after a stored 5: login succeeded, CloneWarning true, SignCount now 5
  evidence webauthn-counter-regression: counter 0 after a stored 0: verified, CloneWarning false

• Учётные данные Ed25519

  supported

  Учётные данные Ed25519 (COSE -8) успешно прошли регистрацию и аутентификацию.

  Что записала проверка

  fact webauthn-ed25519 = supported
  evidence webauthn-ed25519: verified

Использование

package main

import (
	"fmt"

	"github.com/go-webauthn/webauthn/protocol"
	"github.com/go-webauthn/webauthn/webauthn"
)

type user struct{}

func (user) WebAuthnID() []byte                         { return []byte("user-1") }
func (user) WebAuthnName() string                       { return "user@example.com" }
func (user) WebAuthnDisplayName() string                { return "User" }
func (user) WebAuthnCredentials() []webauthn.Credential { return nil }

func main() {
	w, _ := webauthn.New(&webauthn.Config{
		RPID: "example.com", RPDisplayName: "Example", RPOrigins: []string{"https://example.com"},
		// Without this, options say nothing about UV or discoverable credentials.
		AuthenticatorSelection: protocol.AuthenticatorSelection{
			ResidentKey: protocol.ResidentKeyRequirementRequired, UserVerification: protocol.VerificationRequired,
		},
	})
	creation, session, _ := w.BeginRegistration(user{})
	// The session carries the requirement into FinishRegistration/FinishLogin.
	fmt.Println("uv:", creation.Response.AuthenticatorSelection.UserVerification, session.UserVerification)
	fmt.Println("resident key:", creation.Response.AuthenticatorSelection.ResidentKey)
}