SimpleWebAuthn

Факты и проверки, на которых они основаны

Ничего из приведённого ниже не скопировано из документации. 20 октября 2026 г. проверка content/libraries/verify/simplewebauthn/run.sh запустила SimpleWebAuthn 14.0.3 в среде Node.js 24.22.0 в образе контейнера node:24.22.0-bookworm-slim; содержимое страницы должно совпадать с выводом проверки, а у каждого факта приведены соответствующие строки вывода.

• Алгоритмы COSE по умолчанию

  -48-8-7-257

  generateRegistrationOptions() перечисляет алгоритмы COSE -48 (ML-DSA-44), -8 (Ed25519), -7 (ES256) и -257 (RS256) именно в таком порядке.

  Что записала проверка

  fact webauthn-default-algorithms = -48, -8, -7, -257

• Аттестация по умолчанию

  none

  Параметр передачи аттестации по умолчанию равен none.

  Что записала проверка

  fact webauthn-attestation = none

• Проверка пользователя по умолчанию

  preferred

  authenticatorSelection.userVerification по умолчанию равен preferred.

  Что записала проверка

  fact webauthn-user-verification = preferred

• Резидентный ключ по умолчанию

  preferred

  authenticatorSelection.residentKey по умолчанию равен preferred.

  Что записала проверка

  fact webauthn-resident-key = preferred

• Обязательная проверка пользователя по умолчанию

  yes

  Обе функции проверки требуют флаг UV, если не передать requireUserVerification: false: регистрация и assertion, в которых установлен только флаг UP, отклонены с ошибками User verification was required, but user could not be verified и User verification required, but user could not be verified.

  Что записала проверка

  fact webauthn-uv-enforced-by-default = yes
  evidence webauthn-uv-enforced-by-default: registration with the UV flag clear: throws User verification was required, but user could not be verified

• Кодировка подписи assertion

  der

  Корректный assertion ES256 с подписью в ASN.1 DER прошёл проверку.

  Что записала проверка

  fact webauthn-assertion-encoding = der

• Подпись assertion в формате raw r‖s

  rejected

  Тот же assertion с 64-байтовой подписью raw r‖s вызвал ошибку разбора ASN.1, текст которой зависит от байтов подписи.

  Что записала проверка

  fact webauthn-raw-signature = rejected

• Подпись assertion с high-S

  accepted

  Подпись в DER, в которой s заменили на n − s, прошла проверку.

  Что записала проверка

  fact webauthn-high-s = accepted

• Уменьшение счётчика подписей

  rejected

  Счётчик меньше сохранённого значения вызвал ошибку Response counter value 3 was lower than expected 5; значение 0 при сохранённом 5 тоже отклонено, а 0 при сохранённом 0 прошло проверку.

  Что записала проверка

  fact webauthn-counter-regression = rejected
  evidence webauthn-counter-regression: counter 0 after a stored 5: throws Response counter value 0 was lower than expected 5; counter 0 after a stored 0: verified

• Учётные данные Ed25519

  supported

  Учётные данные Ed25519 (COSE -8) успешно прошли регистрацию и аутентификацию.

  Что записала проверка

  fact webauthn-ed25519 = supported
  evidence webauthn-ed25519: verified

Использование

import { generateAuthenticationOptions, generateRegistrationOptions } from "@simplewebauthn/server";

const rpID = "example.com";

// Registration: the options ask for UV only as "preferred"...
const registration = await generateRegistrationOptions({
  rpName: "Example",
  rpID,
  userName: "user@example.com",
  authenticatorSelection: { residentKey: "required", userVerification: "required" },
});

// ...while verifyRegistrationResponse() and verifyAuthenticationResponse()
// require the UV flag by default. Ask for "required" up front (as here), or pass
// requireUserVerification: false when a security key without a PIN is acceptable.
const authentication = await generateAuthenticationOptions({ rpID, userVerification: "required" });

console.log("algorithms:", registration.pubKeyCredParams.map((param) => param.alg).join(", "));
console.log("uv:", registration.authenticatorSelection?.userVerification, authentication.userVerification);
console.log("challenge bytes:", Buffer.from(authentication.challenge, "base64url").length);