WebAuthn中Android SafetyNet Attestation弃用后的替代方案咨询

核心替代方案 #

• Android Key Attestation 是官方指定的SafetyNet Attestation在WebAuthn场景下的替代方案
  • 随着SafetyNet API的弃用，Android平台的WebAuthn实现（涵盖浏览器API与Android端FIDO2 API）已逐步切换至Android Key Attestation，用于提供设备及密钥的可信证明。
  • 该格式基于Android Keystore实现，能够直接验证密钥的生成与运行环境，完全符合WebAuthn规范对平台认证器attestation的要求。
  • 相比SafetyNet，Android Key Attestation是本地验证机制，无需依赖云端服务，更轻量化且隐私性更优。

关于WebAuthn中Android Key Attestation的定位澄清 #

• WebAuthn规范文档明确将Android Key Attestation列为Android平台的官方attestation格式，它正是为替代SafetyNet Attestation而设计的。
• 服务端在验证WebAuthn凭证时，只需遵循Android Key Attestation的验证流程解析、校验attestation数据即可，无需再依赖SafetyNet的云端验证服务。
• 当前主流Android浏览器（如Chrome）及系统内置的FIDO2框架均已支持返回Android Key Attestation格式的attestation数据。

内容的提问来源于stack exchange，提问作者Archiman