- Shipped
- 15 listopada 2026 04:50 UTC
- Author
- Kamo
- Commit
- f04e606
Klucze dostępu (Yubico java-webauthn-server 2.6.0): register/options|verify (***), auth/options|verify (publiczne, tylko odkrywalne - allowCredentials zawsze puste), GET/PATCH/DELETE /api/security/passkeys. RP ID = rodzic hosta ceremonii (login.acme.com -> acme.com), zapisany w user_passkeys.rp_id; residentKey + userVerification WYMAGANE, więc hasło JEST drugim czynnikiem; wyzwania jednorazowego użytku (PKREG/PKAUTH GETDEL, 5 min); licznik podpisów cofający się do tyłu = PASSKEY_SUSPECT (audytowany HIGH, PASSKEY_ADDED/REMOVED + litery, LOGIN_PASSKEY - dodanie/usunięcie klucza. Kod wysłany pocztą elektroniczną (org email_code_enabled): signin/email-code/send|verify - ta sama odpowiedź dla każdego identyfikator, list wysyłany asynchronicznie tylko dla prawdziwego konta, które może przyjąć zezwalająca organizacja, 6 cyfr, 10 min, 5 prób, odłożyć na własną winę. Jeden czynnik; LOGIN_EMAIL_CODE. Zaufana przeglądarka (org trusted_device_days): mfa/challenge rememberDevice -> trustedDeviceToken; Nagłówek X-Kamo-Trusted-Device pomija TYLKO krok uwierzytelniania (logowanie hasłem + SignInCompletion); Zapomnij o każdej zmianie hasła i wyloguj się wszędzie. KamoMobile zatwierdzenie: **************** numer pasujący (2 cyfry na 3 wybory na komputerze, 3 wybory na telefonie, jeden błędny wybór zaprzecza), 2 min, wciśnięty jako SIGNIN_APPROVAL przez MediaService; QR: signin/qr/start|status + urządzenie qr-preview|qr-approve, sesja ląduje w serwisie Punkty końcowe urządzeń uwierzytelnione za pomocą X-Kamo-Device-Token (zatwierdzone, nie obracane). Signin / metody teraz odpowiada **************** z polityki + przełączniki zabijania. **************** uruchamia każdą bramę (konto, przestrzeń roboczą, Ścieżka hasła pozostaje niezmienna, chyba że nastąpi zmiana przełącznika org metody, reguł dostępu, SignInCompletionService) Nagłówek trusted-device jest wysyłany.