ตัวถอดรหัสข้อมูล WebAuthn
ถอดรหัส clientDataJSON, attestationObject (CBOR), flags ของ authenticator data, AAGUID, credential ID และ COSE public key จาก response ของ WebAuthn ทั้ง
Loading tool...
ตัวถอดรหัสข้อมูล WebAuthn คืออะไร?
WebAuthn Data Decoder เป็นเครื่องมือสำหรับ developer ใช้ตรวจสอบ payload ที่ได้จาก Web Authentication API เมื่อผู้ใช้ลงทะเบียน passkey หรือ security key หรือ login ด้วยตัวใดตัวหนึ่ง เบราว์เซอร์จะคืน object ที่เต็มไปด้วยโครงสร้าง binary แบบ base64url เครื่องมือนี้จะถอดรหัส clientDataJSON, attestation object แบบ CBOR, flags ของ authenticator data, attested credential และ COSE public key ออกมาเป็น field ที่อ่านได้ โดยทำงานฝั่ง client ทั้งหมด
ประโยชน์หลัก
- เปลี่ยน blob แบบ base64url และ CBOR ที่อ่านไม่ออก ให้เป็น field ที่จัดโครงสร้างดีและคัดลอกได้
- debug พิธี registration และ authentication โดยไม่ต้องมี backend
- ตรวจสอบค่า type, challenge, origin, RP ID hash และ crossOrigin
- สำรวจ flags และ signCount เพื่อดู user presence, การ verify ตัวตน และการตรวจจับ clone
- เป็นส่วนตัวโดยการออกแบบ - ถอดรหัสในเครื่อง ไม่มีการ upload
กรณีการใช้งาน
- •debug การลงทะเบียน passkey ที่ฝั่ง server verify signature ไม่ผ่าน
- •เช็คว่า authenticator ตั้ง flag อะไรบ้างระหว่าง login จริง
- •ดึง credential ID และ public key เพื่อบันทึกลง database
- •เทียบ challenge ที่ server ส่งกับ challenge ใน clientDataJSON
- •สร้าง test fixture และ bug report สำหรับงาน integrate FIDO2
วิธีใช้ WebAuthn Data Decoder
- เก็บ response: เรียก navigator.credentials.create() หรือ navigator.credentials.get() ในแอปของคุณ แล้วแปลงผลลัพธ์เป็น JSON โดยคง field แบบ binary เช่น clientDataJSON และ attestationObject ไว้เป็น base64url
- วาง JSON: วาง response object ทั้งก้อนลงในช่องข้อความ รองรับทั้งแบบมี response ซ้อนอยู่ข้างในและแบบ field ราบเรียบ
- กดถอดรหัส: เครื่องมือจะตรวจจับชนิดของพิธีโดยอัตโนมัติ แล้วถอดรหัส clientDataJSON, attestation data แบบ CBOR, flags ของ authenticator และ COSE key ในเบราว์เซอร์ของคุณ
- ตรวจสอบและ export: ตรวจดู field ที่ถอดรหัสแล้ว คัดลอกค่าทีละรายการด้วยคลิกเดียว หรือดาวน์โหลดผลลัพธ์ทั้งหมดเป็น JSON สำหรับ bug report และ test fixture
คุณสมบัติหลัก
- ถอดรหัส clientDataJSON: type, challenge, origin และ crossOrigin
- แยกวิเคราะห์ attestationObject แบบ CBOR รวมถึง fmt และ attStmt
- อธิบาย flag ทุกตัวของ authenticator data: UP, UV, BE, BS, AT และ ED
- ดึงค่า AAGUID, credential ID และ COSE public key (ES256, RS256, EdDSA)
- แสดง userHandle และ signCount สำหรับ debug การ authenticate
- ทำงานฝั่ง client และ offline 100% - payload ไม่ออกจากเบราว์เซอร์ของคุณ
คำถามที่พบบ่อย
response ของ registration กับ authentication ต่างกันอย่างไร?
response ของ registration มาจาก navigator.credentials.create() และมี attestationObject ที่บรรจุ credential ใหม่พร้อม public key ส่วน response ของ authentication มาจาก navigator.credentials.get() และมี authenticatorData พร้อม signature เครื่องมือจะตรวจจับอัตโนมัติว่าคุณวางแบบใด
ปลอดภัยไหมที่จะวาง payload ของ passkey จริงลงในเครื่องมือนี้?
ปลอดภัย การถอดรหัสทั้งหมดทำในเบราว์เซอร์ของคุณด้วย JavaScript ล้วน ๆ ไม่มี network request และไม่มีการ upload อะไรเลย อย่างไรก็ตาม payload อาจมีค่า origin และ challenge อยู่ จึงควรเบลดข้อมูลที่อ่อนไหวก่อนแชร์ผลลัพธ์ใน bug report สาธารณะ
flag UP, UV, BE และ BS หมายความว่าอะไร?
UP หมายถึงผู้ใช้อยู่ต่อหน้าอุปกรณ์จริง, UV หมายถึง verify ตัวตนสำเร็จ (biometric หรือ PIN), BE หมายถึง credential นี้สำรองหรือ sync ข้ามอุปกรณ์ได้ และ BS หมายถึงมี backup ใช้อยู่ เช่น passkey ที่ sync ผ่าน iCloud Keychain
ทำไม attestation format ถึงขึ้นว่า none?
format none แปลว่า authenticator ไม่ได้ส่ง attestation statement มา ซึ่งเป็นเรื่องปกติของ synced passkey จาก iCloud Keychain หรือ Google Password Manager และในกรณีที่ RP ระบุ attestation: none ตอน register
challenge ใน clientDataJSON เกี่ยวข้องกับอะไร?
challenge คือ random bytes แบบ base64url ที่ server ของคุณส่งมาใน PublicKeyCredentialRequestOptions หรือ CreationOptions ตอน verify เซิร์ฟเวอร์ต้องเทียบค่านี้แบบ byte-for-byte กับ challenge ใน clientDataJSON เพื่อป้องกัน replay attack