GitHub wprowadził WebAuthn – autoryzację kluczem sprzętowym i biometryczną

Przy dwustopniowej autoryzacji na GitHubie można było używać fizycznych kluczy, ale wiązało się to z ograniczeniami. GitHub korzystał z eksperymentalnego API U2F w przeglądarce Chrome.

Wprowadzenie nowoczesnego, uniwersalnego WebAuthn daje szersze możliwości. Obecnie można skorzystać z klucza fizycznego w Chromie i Firefoxie na desktopach i na Androidzie, w Microsoft Edge na Windowsie, w testowej wersji Safari na Macu oraz w Brave na urządzeniach z iOS (działa tylko klucz YubiKey 5Ci).

Ponadto zastosowanie WebAuthn otwiera drogę do używania innych urządzeń przy fizycznej autoryzacji. Takim kluczem może być drugi laptop albo smartfon.

WebAuthn wprowadza także możliwość logowania z użyciem biometrii. GitHub z tego też skorzysta. Odciskiem palca będzie można się zalogować w przeglądarce Microsoft Edge, o ile na komputerze będzie skonfigurowana autoryzacja Windows Hello. W Chromie na Androidzie można korzystać z czytnika linii papilarnych smartfona. Na Macach zaś Chrome skorzysta z czytnika Touch ID.

W miarę rozwoju WebAuthn dodawane będą kolejne sposoby logowania. Ponieważ na razie nie ma metody, która zadziała wszędzie, GitHub wykorzystuje WebAuthn jako jeden ze składników autoryzacji dwuetapowej. To jednak kwestia czasu.

GitHub dopuszcza możliwość logowania bez haseł. WebAuthn umożliwia logowanie z użyciem kombinacji innych składników, na przykład klucza fizycznego i odcisku palca. Jeśli tylko będzie to równie wygodne co bezpieczne, GitHub pójdzie w tym kierunku. Google też do tego dąży.