WebAuthn y Passkeys: Autenticación sin contraseñas

Tue, 02 Apr 2024 00:00:00 +0900

WebAuthn es un estándar del W3C para autenticación sin contraseñas usando criptografía de clave pública. Passkeys son la implementación práctica.

Cómo funciona

El navegador genera un par de claves (pública/privada). La clave privada nunca sale del dispositivo. La autenticación usa desafíos firmados.

Passkeys

Sincronización entre dispositivos via iCloud Keychain, Google Password Manager, 1Password. Reemplazan contraseñas tradicionales. Soporte en iOS, Android, Windows, macOS.

Registro y autenticación

navigator.credentials.create() para registro. navigator.credentials.get() para autenticación. Biometría (TouchID, FaceID) o PIN como verificación local.

OAuth 2.0 y OpenID Connect: Autenticación y autorización modernas

Mon, 29 Jan 2024 00:00:00 +0900

OAuth 2.0 es un protocolo de autorización delegada. OpenID Connect (OIDC) añade una capa de autenticación sobre OAuth 2.0.

Roles en OAuth 2.0

Resource Owner (usuario), Client (app), Authorization Server (Auth0, Cognito), Resource Server (API). Flujo: consentimiento → token → acceso.

Grant Types

Authorization Code: el más seguro, con PKCE. Client Credentials: servidor a servidor. Implicit: obsoleto. Device Code: dispositivos sin navegador.

OpenID Connect

Añade id_token (JWT) con información del usuario. /userinfo endpoint. Scope openid. Claims: sub, name, email, picture.

Authentication on Commentary of Takao