Autenticación silenciosa avanzada para navegadores web [Alpha]

Nota: La Autenticación Silenciosa Avanzada está actualmente en fase alfa. La incorporación de suministros en vivo está en curso, lo que significa que aún no es posible realizar pruebas de extremo a extremo. Esta guía es principalmente informativa. Puede utilizar la Operador virtual para fines de desarrollo y pruebas.

Esta guía explica cómo implementar la Autenticación Silenciosa Avanzada en un entorno de navegador web utilizando la aplicación API de credenciales digitales. En este flujo, el navegador web / de escritorio muestra un código QR que el usuario escanea con un monedero móvil. La billetera realiza el intercambio criptográfico TS.43 y devuelve una credencial encriptada a tu backend. Tu backend luego enviará esta credencial a la API de Vonage Verify para su verificación.

Flujo del navegador de sobremesa/portátil: El navegador muestra un código QR y el monedero utiliza la proximidad Bluetooth como parte del flujo de verificación mediada por el usuario.

Flujo del navegador móvil: No hay escáner de código QR ni comprobación de proximidad por Bluetooth. En su lugar:

  • El navegador inicia el monedero digital y el usuario selecciona las credenciales que desea compartir.
  • El monedero móvil devuelve una credencial digital TS.43 cifrada (JWE) directamente al navegador.
  • El navegador reenvía la credencial al backend ASP.
  • El backend ASP envía el token TS.43 a la API Verify de Vonage, que devuelve match=true o match=false.

Para aplicar la flujo de navegadores para ordenadores de sobremesa y portátiles que se describe a continuación, debe gestionar la integración completa de la API de credenciales digitales en su aplicación web. Esto incluye la gestión de la visualización del código QR, la comunicación con el monedero y el envío de la credencial cifrada a tu backend.

Para implementar la Autenticación Silenciosa Avanzada en Android, consulte la sección Autenticación silenciosa Implementación asíncrona avanzada guía. Para obtener más información sobre la Autenticación silenciosa avanzada, consulte la guía conceptual en Autenticación silenciosa avanzada.

Flujo de aplicación

Esta sección describe el flujo de la API de credenciales digitales para un navegador para ordenadores de sobremesa y portátiles Autenticación silenciosa Sesión avanzada.

Mobile WalletVerify APIASP BackendWeb BrowserEnd UserMobile WalletVerify APIASP BackendWeb BrowserEnd User1. Click Verify2. Start verification (customer phone number)2. Retrieve SIM-based auth and transform to OpenID4VP (via webhook)2. Return OpenID4VP digital credential request3. Return digital credential request to device4. navigator.credentials.get (digital credential request)5. Show QR code5. Scan QR code with mobile wallet6. Check Bluetooth proximity6. Return TS.43 encrypted digital credential (JWE)7. Check TS.43 token via Verify API7. Return match = true/false

Pasos

  1. El usuario final pulsa Verify en el navegador web.
  2. El backend ASP (Application Service Provider) llama a la API Verify para iniciar la verificación utilizando el número de teléfono del cliente, luego recupera la solicitud de autenticación basada en SIM y la transforma en un formato OpenID4VP (OpenID para presentaciones verificables) a través de un webhook.
  3. El backend ASP devuelve la solicitud de credencial digital al navegador.
  4. El navegador web realiza una solicitud de credencial digital llamando a navigator.credentials.get().
  5. El navegador muestra un código QR, que el usuario escanea con su monedero móvil.
  6. El monedero móvil utiliza Bluetooth para verificar que el dispositivo está físicamente cerca del navegador y confirma que sus claves coinciden con las del código QR. A continuación, devuelve una credencial digital TS.43 cifrada (JWE - JSON Web Encryption) al backend ASP.
  7. El backend ASP envía el token TS.43 a la API Verify. El token confirma que el número de teléfono está verificado, independientemente de la comprobación de proximidad Bluetooth. La API Verify devuelve un código match=true o match=false resultado.

Riesgos potenciales y mitigaciones

En la siguiente tabla se describen los riesgos potenciales al implementar la Autenticación silenciosa avanzada para navegadores web y las estrategias de mitigación recomendadas:

Riesgo Mitigación
El navegador no es compatible con la API de credenciales digitales Volver a la entrada manual o a un enlace profundo de la aplicación nativa
El monedero móvil no admite TS.43 Limitar a los monederos certificados y ofrecer un aviso de actualización
Fallo de Bluetooth Volver a NFC o confirmación manual de proximidad

Lecturas complementarias