- Verschickt
- 15. November 2026 um 04:50 UTC
- Autor
- Kamo
- Commit
- f04e606
Passkeys (Yubico java-webauthn-server 2.6.0): register/options|verify (***), auth/options|verify (öffentlich, nur entdeckbar - allowCredentials immer leer), GET/PATCH/DELETE /api/security/passkeys. RP ID = Eltern des Zeremonienhosts (login.acme.com -> acme.com), gespeichert in user_passkeys.rp_id; residentKey + userVerification ERFORDERLICH, so dass ein Passkey der zweite Faktor IST; Herausforderungen für die Einmalverwendung (PKREG/PKAUTH GETDEL, 5 min); ein Signaturzähler geht rückwärts = PASSKEY_SUSPECT (audited HIGH, Die Zeile bleibt erhalten). PASSKEY_ADDED/REMOVED + Buchstaben, LOGIN_PASSKEY. E-Mail-Code (org email_code_enabled): signin/email-code/send|verify - gleiche Antwort für alle Identifikator, Brief asynchron nur für einen echten Account gesendet, den eine zulassende Organisation zulassen kann, 6-stellig, 10 min, 5 Versuche, zurück auf unsere eigene Schuld. Ein Faktor; LOGIN_EMAIL_CODE. Trusted Browser (org trusted_device_days): mfa/challenge rememberDevice -> trustedDeviceToken; der X-Kamo-Trusted-Device Header überspringt NUR den Authentifizierungsschritt (Passwort-Login + SignInCompletion); Vergessen Sie bei jeder Passwortänderung und Abmeldung überall. KamoMobile Genehmigung: **************** Nummer übereinstimmen (2 Ziffern auf der Computer, 3 Wahlmöglichkeiten am Telefon, eine falsche Wahl verneint), 2 min, gepusht als SIGNIN_APPROVAL via MediaService; QR: signin/qr/start|status + device qr-preview|qr-approve, Sitzung landet im MediaService Geräteendpunkte, die durch X-Kamo-Device-Token authentifiziert sind (validiert, nicht gedreht). Signin / Methoden beantwortet jetzt **************** von Richtlinien + Kill Switches. **************** betreibt jedes nachgelagerte Gateway (Account, Workspace, Der Kennwortpfad bleibt unverändert, es sei denn, es wird ein neuer Kennwortpfad erstellt Der trusted-device-Header wird gesendet.