如何禁止通过虚拟身份验证器浏览器扩展程序进行FIDO Webauthn密钥注册

如何解决如何禁止通过虚拟身份验证器浏览器扩展程序进行FIDO Webauthn密钥注册

Chrome（virtual authenticators tab）中提供的虚拟身份验证扩展程序用于测试/调试FIDO2 Webauthn身份验证机制，而无需使用物理身份验证器密钥。这在自动测试中很有用，例如通过硒。

1. 是否应在IAM提供程序的生产环境中允许使用它？
2. 在生产环境中是否有任何方法可以禁用/禁止此注册？

我尝试使用虚拟的Authenticator标签扩展程序设置Google帐户两步验证。但是Google不允许我们从虚拟的Authenticators标签扩展名中注册FIDO密钥。

解决方法

在生产环境中是否有任何方法可以禁用/禁用此注册？

简短的回答：您不必这样做。

长答案：虚拟身份验证器实现是专门设计用来阻止其在生产系统中使用的。凭据绑定到一个框架（在大多数情况下，这意味着一个选项卡），并且在禁用虚拟环境或关闭选项卡后会立即将其清除。

最糟糕的情况是用户将自己锁定，但他们必须足够精明才能找到扩展名（或chrome 87上的新devtools面板）并设置身份验证器，而又没有意识到他们可以被锁定出来。我们认为这不是重大风险。

我尝试使用虚拟的Authenticator标签扩展程序设置Google帐户两步验证。但是Google不允许我们从虚拟的Authenticators标签扩展名中注册FIDO密钥。

目前，Google正在使用旧的U2F javascript API来注册凭据，虚拟身份验证器不支持该凭据。这就是注册失败的原因。