...
eduID stödjer inloggning via användarnamn och lösenord i kombination med FIDO2-tokens (via WebAuth-API:et) där förhöjd säkerhet krävs. Inloggning med förhöjd säkerhet (sk MFA) sker på begäran från en ansluten tjänst via protokollelement (tex AuthenticationContextClassRef för SAML eller ACR för OpenID Connect). Kontroll av MFA sker mot FIDO Alliance register över godkända intyg (attestations). Exakt vilka protokollelement som resulterar i inloggning med MFA finns beskrivet i respektive implementationsprofil som eduID stödjer.
eduID förväntar sig att FIDO2-token är någon av följande "key protection":
- "faceprint_internal",
- "passcode_external",
- "passcode_internal",
- "handprint_internal",
- "pattern_internal",
- "voiceprint_internal",
- "fingerprint_internal",
- "eyeprint_internal",
Samt kräver att protection uppfylls med någon av följande "user verification":
- "remote_handle",
- "hardware",
- "secure_element",
- "tee",
Och att FIDO2-token skickas med en attestation.
Autentisering
Vid skapande av konto genereras ett lösenord som är svårt att gissa. Användaren loggar in genom att ange detta. Efter inloggning kan användaren byta till ett annat säkert lösenord. Användaren måste också lägga till ytterligare säkerhetsnyckel för att kunna verifiera sitt konto på Digg LoA2. Eventuell verifiering av kontot nollställs om lösenordet till kontot återställs.
...