Ranljivosti pri implementaciji standarda WebAuthn

Ulčar, Sven (author), Pesek, Matevž (author)

Standard WebAuthn omogoča overjanje brez gesel z asimetrično kriptografijo in odpravlja več znanih ranljivosti tradicionalnega overjanja z gesli. Kljub formalno dokazani varnosti samega standarda, praktične implementacije pogosto vsebujejo strežniške napake, ki omogočijo obhod overjanja. Članek obravnava ranljivost nepravilne vezave poverilnice na uporabniški račun, ki napadalcu omogoča prevzem tujega računa z lastno veljavno poverilnico. Pregled štirih ranljivosti CVE iz let 2025 in 2026 pokaže, da se strežniške napake ponavljajo pri vezavi poverilnic, obravnavi kriptografskih izzivov in validaciji izvora. Razvita je bila namerno ranljiva demonstracijska aplikacija in njena popravljena različica: napad obide overjanje na ranljivi izvedbi, na popravljeni pa je zavrnjen. Primerjava štirih razširjenih knjižnic pokaže, da tri vezavo poverilnic prepuščajo aplikaciji, ena pa jo zahteva v vmesniku. Iz analize izhajajo smernice za razvijalce, med njimi stroga vezava poverilnice na uporabnika. Varnost sistemov WebAuthn ni samodejna posledica izbire knjižnice ali jezika, temveč zahteva eksplicitno strežniško preverjanje pripadnosti poverilnic.

• Language: Slovenian
• Keywords: WebAuthn, FIDO2, vezava poverilnic, ranljivost overjanja, demonstracijska implementacija
• Work type: Article
• Typology: 1.01 - Original Scientific Article
• Organization: FRI - Faculty of Computer and Information Science
• Publication status: Published
• Publication version: Version of Record
• Year: 2026
• Number of pages: 12 str.
• Numbering: Letn. , št.
• PID: 20.500.12556/RUL-188023
• UDC: 004.056.53
• ISSN on article: 1318-1882
• DOI: 10.31449/upinf.293
• COBISS.SI-ID: 291382275
• Publication date in RUL: 17.09.2026

Record is a part of a journal

• Title: Uporabna informatika
• Shortened title: Uporab. inform.
• Publisher: Slovensko društvo Informatika
• ISSN: 1318-1882
• COBISS.SI-ID: 36338688

Licences

• License: CC BY 4.0, Creative Commons Attribution 4.0 International
• Link: http://creativecommons.org/licenses/by/4.0/
• Description: This is the standard Creative Commons license that gives others maximum freedom to do what they want with the work as long as they credit the author.

Secondary language

• Language: English
• Title: Vulnerabilities in WebAuthn standard implementations
• Keywords: WebAuthn, FIDO2, credential binding, authentication vulnerability, demonstration implementation