用于服务器端指纹验证的 WebAuthn

Question

对于我现有的 Java Web 应用程序，我想启用指纹身份验证。以下是身份验证的要求：

• 服务器应存储指纹的生物特征，指纹应与服务器上存储的生物特征进行匹配

• 这允许用户从任何具有支持的指纹扫描仪的系统登录

• 另外我希望 WebAuthn 的使用不会限制支持的指纹扫描仪，因为它是一个标准协议

我知道我可以将 WebAuthn 框架与 Mac OS TouchID 或 Windows Hello 一起使用。这允许使用存储在本地系统而不是服务器上的生物识别来完成指纹注册和验证。

我想知道是否可以使用 WebAuthn 框架来验证服务器端存储的指纹。任何相关示例或教程的链接都会对我的 POC 有帮助。

Answer 1

WebAuthn 和 FIDO2 的重点是在某些服务器上不要有生物识别数据，因为它最终可能会被泄露。此外，智能手机操作系统（iOS、Android...）和 WebAuthn（浏览器）实现不会为应用程序提供来自 FIDO 身份验证器传感器的生物识别数据，仍然出于相同的原因（隐私）和设计。你想做的事情是不可能的。我建议你重新考虑你的要求。