December 9th, 2022

前情提要:

我曾經在 WWDC 結束後有寫了一篇關於 Passkeys 的整理文章。結果前幾天就看到一個有趣的 tweet ，讓我重新的檢視自己熟悉的程度如何？到底真正 Passkeys 的流程（第一次與之後的）有什麼不同？這一篇文章將對這個部分做一個整理。

(2022/12/10更新)如果是第一次創建帳號，需要幾次手續？為什麼？

之前看到的 tweet ，裡面有提到為什麼看到 Yubico/java-webauthn-server 有接近 21 個步驟？這也讓我好奇地去檢查了一下相關流程的原意：

WebAuthn ceremony sequence diagram

根據這個元件的說明圖，大家會很好奇。這裡需要合併跟另外一張圖一起來看：

Step: 1 ~ 4:
- 帳號建立的時候，由於需要支援比較舊型的瀏覽設備（瀏覽器/OS) ，所以這裡還是要帳號跟密碼。整個流程跟以往的資料庫一樣，但是接下來流程有一些不同。
- 如果是有支援 Passkeys 的 User-Agent 並且沒有要 Backward Compatability 的話，其實不需要 1 ~ 4 (不過應該都要有)。
Step: 5:
- 這裡是參考 PKCE 的方式來生成Challenge ，也就事某個 AES 加密過後的數值。
Step 6 ~ 9:
- 這時候可以產生 credential ID (optional) 回傳給 client 端作為 client agent 產生的數值。
  - User-Agent 可能傳過來 Challenge + credential command + credential ID
Step 9 ~ 18:
- 這裡就是會啟動 Cliet Agent 去開啟 Passkeys 的支援登入流程。
- 透過 private 加密的加密的 credential 傳給伺服器端。
- 透過之前存取過的 Public key 解開後，確認是否為同樣的 credential ID。
Step 18 ~ 21:
- Auth 完成後完成註冊。