パスキー / WebAuthn デバッガー

自分のブラウザーでパスキーやセキュリティキーをテストし、任意のアプリケーションから取得した WebAuthn レスポンスをデコードし、このブラウザーの対応状況を確認できます。ライブセレモニーでは、このサイトをリライングパーティーとしてテスト用認証情報を作成・使用します。「レスポンスをデコード」では clientDataJSON、認証器データ、アテステーションオブジェクト、COSE 鍵を読みやすいフィールドに変換し、サーバーで行うリライングパーティーのチェックを実行します。

1. 1.テスト用パスキーを登録して認証するには「ライブセレモニー」を、アプリのレスポンス JSON を貼り付けるには「レスポンスをデコード」を選びます。
2. 2.「レスポンスをデコード」では、期待するチャレンジ、オリジン、RP ID、保存済みの公開鍵、前回のカウンターがあれば入力します。
3. 3.チェックを確認します。エラー、警告、メモ、合格の順に表示されます。
4. 4.「詳細」でデコード結果のツリー、フラグ表、JWK、生バイトを確認し、Markdown の概要をコピーするか、デコードした JSON をエクスポートします。

ブラウザーはすべての認証情報を、ページのドメインと一致する必要がある RP ID に紐づけます。このページは自身のドメイン用の認証情報しか作成・使用できないため、テストされるのはアプリではなく、ブラウザー、OS、認証器、パスキーマネージャーです。アプリについては、フロントエンドがサーバーに送信するレスポンス JSON を取得してここでデコードしてください。デコードは任意の RP ID に対してオフラインで動作します。

チェック対象は、認証情報の type、clientDataJSON の type、チャレンジ、オリジン、クロスオリジンでの利用、RP ID ハッシュ、UP・UV・BE・BS・AT・ED フラグ、署名カウンター、アテステーション形式、認証情報の公開鍵です。認証の署名は、JWK、COSE または SPKI PEM 形式の保存済み公開鍵に対して Web Crypto で検証され、ブラウザーが対応していれば ES256、ES384、ES512、RS256、PS256、Ed25519 をサポートします。

すべての処理はブラウザー内で実行されます。テスト用認証情報と貼り付けたレスポンスはメモリ上にのみ保持され、CodingTool のサーバーには送信されません。アテステーションステートメントと証明書チェーンは検証されず、FIDO Metadata Service（MDS）の照会も行わないため、AAGUID はそのまま表示されます。これはデバッグ用の補助ツールであり、サーバー側の WebAuthn 検証の代わりにはなりません。