Отладчик Passkey / WebAuthn
Тестируйте ключи доступа в браузере и декодируйте ответы WebAuthn офлайн
Церемония
Эта страница выступает проверяющей стороной, поэтому учётные данные создаются только для …. Браузеры блокируют другие RP ID; для ответов из вашего приложения используйте режим «Декодировать ответ».
Алгоритмы
Дополнительно
Тестовые учётные данные
Хранятся в памяти и забываются, когда вы покидаете страницу. Ключи доступа остаются в аутентификаторе; удалите их в менеджере ключей доступа, когда закончите.
Сводка
Подробности
Связанные инструменты
Что делает отладчик WebAuthn
Тестируйте ключи доступа и ключи безопасности в своём браузере, декодируйте ответы WebAuthn, полученные из любого приложения, и проверяйте, что поддерживает этот браузер. Режим «Живая церемония» создаёт и использует тестовые учётные данные, где проверяющей стороной выступает этот сайт. Режим «Декодировать ответ» превращает clientDataJSON, данные аутентификатора, объекты аттестации и ключи COSE в читаемые поля и выполняет проверки проверяющей стороны, которые вы бы выполняли на сервере.
Как пользоваться
- 1.Выберите «Живая церемония», чтобы зарегистрировать тестовый ключ доступа и затем пройти с ним аутентификацию, или «Декодировать ответ», чтобы вставить JSON ответа из своего приложения.
- 2.В режиме «Декодировать ответ» добавьте ожидаемый challenge, источник, RP ID, сохранённый открытый ключ и предыдущий счётчик, если они у вас есть.
- 3.Изучите проверки: сначала ошибки, затем предупреждения, заметки и пройденные проверки.
- 4.Откройте «Подробности», чтобы увидеть декодированное дерево, таблицу флагов, JWK и необработанные байты, затем скопируйте сводку в Markdown или экспортируйте декодированный JSON.
Почему живые тесты работают только для этого сайта
Браузеры привязывают каждые учётные данные к RP ID, который должен совпадать с доменом страницы. Эта страница может создавать и использовать учётные данные только для своего домена, поэтому она тестирует ваш браузер, операционную систему, аутентификатор и менеджер ключей доступа, а не ваше приложение. Для своего приложения перехватите JSON ответа, который фронтенд отправляет на сервер, и декодируйте его здесь; декодирование работает офлайн для любого RP ID.
Проверки и проверка подписи
Проверки охватывают тип учётных данных, тип clientDataJSON, challenge, источник, межсайтовое использование, хеш RP ID, флаги UP, UV, BE, BS, AT и ED, счётчик подписей, формат аттестации и открытый ключ учётных данных. Подписи аутентификации проверяются через Web Crypto по сохранённому открытому ключу в формате JWK, COSE или SPKI PEM; поддерживаются ES256, ES384, ES512, RS256, PS256 и Ed25519, если их поддерживает браузер.
Конфиденциальность и ограничения
Всё работает в вашем браузере. Тестовые учётные данные и вставленные ответы остаются в памяти и не отправляются на серверы CodingTool. Заявления аттестации и цепочки сертификатов не проверяются, запросы к FIDO Metadata Service (MDS) не выполняются, поэтому AAGUID показывается как есть. Это вспомогательное средство отладки, а не замена проверки WebAuthn на сервере.
