关于Google Password Manager指定aaguid未在FIDO MDS V3公开元数据中的疑问

1. 为何该AAGUID未出现在公开MDS列表中 #

Google Password Manager是与Chrome浏览器/Android系统深度绑定的平台内置FIDO凭证管理器，属于FIDO定义的「平台验证器」范畴。这类验证器不会被收录到FIDO联盟公开元数据服务的核心原因有两个：

• 它并非独立硬件密钥或第三方软件验证器，无需通过FIDO联盟的认证流程来获取公开元数据收录资格；
• Google选择自行管理这类平台验证器的元数据，不依赖公开MDS进行分发。

2. 是否有线上渠道获取该元数据 #

目前没有公开的官方线上渠道可以直接获取这个AAGUID对应的元数据。Google通常会通过浏览器或系统更新的方式，将这类平台验证器的根证书等元数据推送给依赖它的服务，不会对外提供单独的获取入口。

3. 无法获取根证书时，Direct类型验证如何工作 #

Direct attestation（直接验证）在该场景下的工作逻辑如下：

• 客户端（如Chrome）会直接向依赖方（RP）提供验证器的证书链，其中根证书是Google预置于浏览器/系统中的可信证书；
• 依赖方可通过两种方式完成验证：
  • 预先将Google这类平台验证器的根证书加入自身可信证书列表，直接校验证书链的有效性；
  • 跳过根证书的官方元数据校验，转而依赖客户端来源的可信度（如确认请求来自经过验证的Chrome环境），但这种方式安全性较低，仅适合对安全要求不高的场景；
• 此外，FIDO规范允许依赖方对平台验证器采用「self-attestation（自验证）」作为替代方案，不过这需要依赖方自行评估风险。

内容的提问来源于stack exchange，提问作者Ioan M