---

Συνοπτικά:

• Η δομή authenticatorData είναι μια δυαδική ακολουθία τουλάχιστον 37 bytes που περιέχει κρίσιμες πληροφορίες για κάθε αυθεντικοποίηση. Περιλαμβάνει το rpIdHash, τα flags και τον μετρητή signCount, που διασφαλίζουν την ασφάλεια και την ακεραιότητα της σύνδεσης.

---

Η δομή δεδομένων authenticator, γνωστή στα πρότυπα WebAuthn και FIDO2 ως authenticatorData, ορίζεται ως μια δυαδική ακολουθία τουλάχιστον 37 bytes που αποθηκεύει κρίσιμες πληροφορίες για κάθε αυθεντικοποίηση χρήστη. Περιλαμβάνει το hashed αναγνωριστικό του διακομιστή, σημαίες κατάστασης και έναν μετρητή υπογραφής. Αυτή η δομή δεν είναι απλώς τεχνική λεπτομέρεια: είναι το θεμέλιο πάνω στο οποίο χτίζεται η ασφάλεια κάθε σύνδεσης χωρίς κωδικό πρόσβασης. Η κατανόηση του τι σημαίνει authenticator data δομή είναι απαραίτητη για κάθε επαγγελματία που διαχειρίζεται συστήματα ελέγχου ταυτότητας πολλαπλών παραγόντων (MFA) ή αξιολογεί λύσεις ασφάλειας για τον οργανισμό του.

Τι περιλαμβάνει η δομή δεδομένων authenticator;

Η δομή authenticatorData είναι δυαδική με τουλάχιστον 37 bytes και αποτελείται από τρία βασικά πεδία: το rpIdHash, τα flags και το signCount. Κάθε πεδίο έχει συγκεκριμένο μέγεθος και ρόλο στη διαδικασία επαλήθευσης.

Τα τρία θεμελιώδη πεδία

Το rpIdHash καταλαμβάνει τα πρώτα 32 bytes της δομής. Αποτελεί το SHA-256 hash του αναγνωριστικού του Relying Party, δηλαδή του διακομιστή ή της εφαρμογής που ζητά την αυθεντικοποίηση. Ο server ελέγχει αυτό το hash σε κάθε σύνδεση για να επιβεβαιώσει ότι το αίτημα προέρχεται από τη σωστή πηγή. Αν το hash δεν ταιριάζει, η σύνδεση απορρίπτεται αυτόματα.

Το flags καταλαμβάνει ακριβώς 1 byte και λειτουργεί ως σύνολο δυαδικών σημαιών. Κάθε bit αντιστοιχεί σε μια κατάσταση ή ιδιότητα της αυθεντικοποίησης. Το bit 0 δηλώνει User Presence, το bit 2 δηλώνει User Verification, και το bit 6 σχετίζεται με Resident Key ή Attested Credential. Αυτά τα bits πρέπει να ελέγχονται αυστηρά από τον server κατά την επικύρωση κάθε αίτησης.

Το signCount καταλαμβάνει τα τελευταία 4 bytes της βασικής δομής. Είναι ένας μετρητής που αυξάνεται κατά 1 σε κάθε χρήση του authenticator. Ο server αποθηκεύει την τελευταία γνωστή τιμή και συγκρίνει κάθε νέα τιμή μαζί της.

Πίνακας πεδίων και λειτουργιών

Πέρα από τα βασικά 37 bytes, η δομή μπορεί να περιλαμβάνει επιπλέον δεδομένα κατά την αρχική εγγραφή (attestation). Σε αυτή την περίπτωση προστίθεται το AAGUID, το Credential ID και το δημόσιο κλειδί. Κατά τη σύνδεση (assertion), η δομή παραμένει συνήθως στα βασικά 37 bytes.

Επαγγελματική συμβουλή: Κατά την υλοποίηση server-side επαλήθευσης, ελέγξτε πάντα τα bits 0 και 2 των flags πριν αποδεχθείτε οποιαδήποτε αίτηση αυθεντικοποίησης. Η παράλειψη αυτού του ελέγχου αποτελεί κοινό σφάλμα που ανοίγει κενά ασφάλειας.

Τα flags σε βάθος

Η ανάλυση του byte των flags αποκαλύπτει την πολυπλοκότητα της δομής. Το bit 0 (User Present, UP) επιβεβαιώνει ότι ο χρήστης αλληλεπίδρασε φυσικά με τη συσκευή, για παράδειγμα πατώντας ένα κουμπί σε ένα hardware key. Το bit 2 (User Verified, UV) επιβεβαιώνει ότι ο χρήστης ταυτοποιήθηκε τοπικά, είτε με PIN είτε με βιομετρικά. Η διαφορά μεταξύ UP και UV είναι κρίσιμη: ένας χρήστης μπορεί να είναι παρών χωρίς να έχει επαληθευτεί η ταυτότητά του.

Τα νεότερα flags BE (Backup Eligible) και BS (Backup State) εισήχθησαν με το WebAuthn Level 3 για τα synced passkeys. Σύμφωνα με τη FIDO Alliance, αυτά τα flags διαφοροποιούν καταστάσεις και πρέπει να αντιμετωπίζονται διαφορετικά από τα παραδοσιακά hardware-bound credentials. Αυτό σημαίνει ότι ο server-side κώδικας επαλήθευσης πρέπει να ενημερωθεί για να χειριστεί σωστά τα νέα σενάρια.

Πώς η δομή authenticatorData ενισχύει την ασφάλεια λογαριασμών;

Η δομή authenticatorData δεν αποθηκεύει απλώς δεδομένα. Λειτουργεί ως μηχανισμός ελέγχου ακεραιότητας σε κάθε αίτηση σύνδεσης. Κάθε πεδίο της δομής συμβάλλει σε διαφορετικό επίπεδο προστασίας.

Ο ρόλος του signCount στην ανίχνευση κλωνοποίησης

Το signCount είναι κρίσιμο για τον εντοπισμό κλωνοποιημένων authenticators. Ο μετρητής αυξάνεται κατά 1 σε κάθε χρήση. Αν ο server λάβει αίτηση με signCount μικρότερο ή ίσο με την αποθηκευμένη τιμή, αυτό σηματοδοτεί πιθανή κλωνοποίηση.

Ένα πρακτικό παράδειγμα: ο χρήστης χρησιμοποιεί το YubiKey του 50 φορές. Ο server αποθηκεύει signCount = 50. Αν κάποιος κλωνοποίησε το κλειδί στο παρελθόν και προσπαθεί να συνδεθεί με signCount = 30, ο server αναγνωρίζει την ανωμαλία και μπορεί να αρνηθεί την πρόσβαση ή να ειδοποιήσει τον διαχειριστή. Αυτός ο μηχανισμός δεν υπάρχει σε παραδοσιακά συστήματα κωδικών πρόσβασης.

Ωστόσο, υπάρχει μια σημαντική επιφύλαξη. Σύμφωνα με τις εξελίξεις του WebAuthn Level 3, ο signCount δεν είναι πάντα αξιόπιστος για synced credentials, καθώς ο συγχρονισμός μεταξύ συσκευών μπορεί να δημιουργήσει ασυνέπειες στον μετρητή. Αυτό σημαίνει ότι οι διαχειριστές πρέπει να αντιμετωπίζουν τον signCount ως ένδειξη και όχι ως απόλυτο κριτήριο για synced passkeys.

Πώς η δομή συνδέεται με την υπογραφή δεδομένων

Κατά την αυθεντικοποίηση, ο authenticator υπογράφει ψηφιακά τη συνένωση του authenticatorData με το clientDataHash. Η υπογραφή αυτή επαληθεύεται από τον server χρησιμοποιώντας το δημόσιο κλειδί που αποθηκεύτηκε κατά την εγγραφή. Αν οποιοδήποτε byte της δομής τροποποιηθεί κατά τη μεταφορά, η υπογραφή αποτυγχάνει και η σύνδεση απορρίπτεται.

Αυτός ο μηχανισμός καθιστά τα FIDO2/WebAuthn credentials ανθεκτικά σε επιθέσεις phishing. Ακόμα και αν ένας επιτιθέμενος υποκλέψει την επικοινωνία, δεν μπορεί να τροποποιήσει το rpIdHash για να ανακατευθύνει την αυθεντικοποίηση σε διαφορετικό server. Αυτή η ιδιότητα είναι θεμελιώδης για την ασφαλή αυθεντικοποίηση επιχειρήσεων.

Διαφορά ασφάλειας μεταξύ TOTP και WebAuthn

Τα TOTP authenticators παράγουν κωδικούς 6 ψηφίων που ανανεώνονται κάθε 30–60 δευτερόλεπτα. Αυτοί οι κωδικοί βασίζονται σε ένα κοινό μυστικό κλειδί (secret key) που αποθηκεύεται και στον server και στη συσκευή του χρήστη. Αν αυτό το κλειδί διαρρεύσει, ο επιτιθέμενος μπορεί να παράγει έγκυρους κωδικούς χωρίς φυσική πρόσβαση στη συσκευή.

Αντίθετα, στο WebAuthn το ιδιωτικό κλειδί δεν εγκαταλείπει ποτέ τη συσκευή. Ο server γνωρίζει μόνο το δημόσιο κλειδί, το οποίο από μόνο του δεν αρκεί για αυθεντικοποίηση. Αυτή η αρχιτεκτονική εξαλείφει μια ολόκληρη κατηγορία επιθέσεων που βασίζονται στην κλοπή διαπιστευτηρίων από τον server.

Επαγγελματική συμβουλή: Αν ο οργανισμός σας χρησιμοποιεί ακόμα TOTP ως μοναδικό παράγοντα MFA, αξιολογήστε τη μετάβαση σε FIDO2. Η διαφορά στο επίπεδο προστασίας έναντι phishing είναι ουσιαστική και μετρήσιμη.

Ποιες είναι οι διαφορές μεταξύ TOTP και FIDO2/WebAuthn;

Η επιλογή μεταξύ TOTP και FIDO2/WebAuthn επηρεάζει άμεσα τη δομή των δεδομένων που αποθηκεύονται και τον τρόπο διαχείρισής τους. Κάθε προσέγγιση έχει διαφορετικές απαιτήσεις backup, ανάκτησης και ασφάλειας.

Δομή δεδομένων TOTP

Σε μια εφαρμογή TOTP, τα κεντρικά δεδομένα είναι το secret key. Αυτό το κλειδί αποθηκεύεται κρυπτογραφημένο συνήθως με AES-256-GCM σε τοπικές βάσεις δεδομένων, συχνά σε μορφή SQLite. Η κρυπτογράφηση προστατεύει τα δεδομένα σε ηρεμία, αλλά δεν αρκεί αν η συσκευή παραβιαστεί φυσικά.

Τα TOTP secrets αποθηκεύονται σε κρυπτογραφημένες βάσεις SQLite, με δυνατότητα εξαγωγής μέσω root access σε ορισμένες πλατφόρμες. Αυτό σημαίνει ότι ένας επιτιθέμενος με φυσική πρόσβαση σε μια συσκευή με root δικαιώματα μπορεί θεωρητικά να εξαγάγει τα secrets και να τα χρησιμοποιήσει σε άλλη συσκευή. Η μεταφορά TOTP δεδομένων μεταξύ συσκευών απαιτεί ειδικές διαδικασίες και φέρει ρίσκο αν δεν εκτελεστεί σωστά.

Δομή δεδομένων FIDO2/WebAuthn

Στο FIDO2, η δομή δεδομένων είναι πιο σύνθετη και πιο ασφαλής. Το ζεύγος δημοσίου/ιδιωτικού κλειδιού δημιουργείται τοπικά στη συσκευή. Το ιδιωτικό κλειδί παραμένει στο hardware security element και δεν εξάγεται ποτέ. Ο server αποθηκεύει μόνο το δημόσιο κλειδί, το Credential ID και τον signCount.

Τα resident keys (ή discoverable credentials) αποθηκεύονται εξ ολοκλήρου στη συσκευή, επιτρέποντας σύνδεση χωρίς να χρειαστεί ο χρήστης να εισάγει πρώτα το username. Αυτή η δυνατότητα είναι η βάση για τα passkeys. Για τεχνικές λεπτομέρειες του πρωτοκόλλου FIDO2, η κατανόηση της δομής authenticatorData είναι προαπαιτούμενο.

Συγκριτικός πίνακας TOTP έναντι FIDO2/WebAuthn

 

Για τον τεχνικό οδηγό FIDO authenticator, η κατανόηση αυτών των διαφορών είναι απαραίτητη για τη σωστή επιλογή λύσης αυθεντικοποίησης.

Το AAGUID αξίζει ιδιαίτερης αναφοράς. Σε ένα hardware key όπως το YubiKey 5 NFC, το AAGUID προσδιορίζει το μοντέλο της συσκευής. Αντίθετα, σε synced passkeys που αποθηκεύονται στο cloud, το AAGUID είναι συχνά μηδενικό. Αυτό περιορίζει τη δυνατότητα hardware-gating, δηλαδή την πολιτική που επιτρέπει πρόσβαση μόνο από συγκεκριμένα μοντέλα hardware.

Πρακτικές επιπτώσεις για χρήστες και διαχειριστές συστημάτων

Η κατανόηση της δομής authenticatorData έχει άμεσες πρακτικές συνέπειες για τη διαχείριση λογαριασμών και συστημάτων. Η απώλεια πρόσβασης σε έναν authenticator χωρίς backup είναι ένα από τα πιο συχνά και σοβαρά προβλήματα που αντιμετωπίζουν χρήστες και διαχειριστές.

Backup και ανάκτηση δεδομένων

Η απώλεια δεδομένων authenticator χωρίς backup σημαίνει μόνιμη απώλεια πρόσβασης. Αυτό δεν είναι θεωρητικό σενάριο: χρήστες που χάνουν ή σπάνε τη συσκευή τους χωρίς εφεδρικούς κωδικούς βρίσκονται αποκλεισμένοι από τους λογαριασμούς τους. Κατά την αρχική ρύθμιση 2FA παρέχονται συνήθως 10 εφεδρικοί κωδικοί. Αυτοί οι κωδικοί πρέπει να αποθηκευτούν σε ασφαλές, εκτός σύνδεσης μέρος.

Για τα εφεδρικά μέτρα 2FA, η βέλτιστη πρακτική είναι η χρήση δύο hardware keys: ένα κύριο και ένα εφεδρικό. Αν το κύριο χαθεί ή καταστραφεί, το εφεδρικό εξασφαλίζει άμεση πρόσβαση χωρίς εξάρτηση από κωδικούς μιας χρήσης.

Βήματα για ασφαλή διαχείριση authenticatorData

1. Καταγράψτε τους εφεδρικούς κωδικούς κατά την αρχική ρύθμιση και αποθηκεύστε τους εκτός ψηφιακού περιβάλλοντος, για παράδειγμα σε εκτυπωμένη μορφή σε ασφαλές μέρος.
2. Εγγράψτε δεύτερο hardware key ως εφεδρικό authenticator για κρίσιμους λογαριασμούς, ειδικά σε εταιρικά περιβάλλοντα.
3. Ελέγξτε τακτικά τον signCount στα αρχεία καταγραφής του server για ανωμαλίες που μπορεί να υποδηλώνουν κλωνοποίηση.
4. Ενημερώστε τον server-side κώδικα για να χειρίζεται σωστά τα BE και BS flags των synced passkeys, ειδικά αν η εφαρμογή σας υποστηρίζει passkeys.
5. Αξιολογήστε το AAGUID κατά την εγγραφή νέων credentials αν εφαρμόζετε πολιτική hardware-gating στον οργανισμό σας.
6. Τεκμηριώστε τις διαδικασίες ανάκτησης και εκπαιδεύστε τους χρήστες πριν συμβεί κάποιο πρόβλημα, όχι μετά.

Προκλήσεις με synced passkeys και hardware keys

Τα synced passkeys προσφέρουν ευκολία αλλά εισάγουν νέες προκλήσεις. Ο συγχρονισμός μέσω cloud σημαίνει ότι τα credentials είναι διαθέσιμα σε πολλές συσκευές, αλλά αυτό επηρεάζει την αξιοπιστία του signCount. Ο server δεν μπορεί να βασιστεί στον μετρητή για ανίχνευση κλωνοποίησης όταν το ίδιο credential χρησιμοποιείται νόμιμα από πολλές συσκευές.

Τα hardware keys, όπως αυτά της σειράς YubiKey, δεν επιτρέπουν εξαγωγή του ιδιωτικού κλειδιού. Αυτό σημαίνει ότι ο signCount παραμένει αξιόπιστος δείκτης. Αν ο server λάβει αίτηση με μειωμένο signCount από ένα hardware-bound credential, η ανωμαλία είναι σχεδόν βέβαιο σημάδι παραβίασης. Για αυτό τα hardware authenticators παραμένουν η πιο αξιόπιστη επιλογή για περιβάλλοντα υψηλής ασφάλειας.

Η εξέλιξη των προτύπων FIDO2 επηρεάζει άμεσα τον τρόπο που οι διαχειριστές πρέπει να αντιμετωπίζουν τη δομή authenticatorData. Οι αλλαγές στο WebAuthn Level 3 απαιτούν ενημέρωση του κώδικα επαλήθευσης για να αντιμετωπίζονται σωστά τα νέα flags και τα synced credentials.

Επαγγελματική συμβουλή: Μην αντιμετωπίζετε τον signCount ως απόλυτο κριτήριο απόρριψης για synced passkeys. Χρησιμοποιήστε τον ως σήμα για περαιτέρω έρευνα και ειδοποίηση, όχι ως αυτόματο αποκλεισμό, για να αποφύγετε ψευδώς αρνητικά αποτελέσματα που κλειδώνουν νόμιμους χρήστες.

Ασφάλεια λογαριασμών με hardware authenticators YubiKey

Η Smartmanagement, ως εξουσιοδοτημένος διανομέας Yubico στην Ελλάδα, παρέχει hardware authenticators που υλοποιούν πλήρως τη δομή authenticatorData σύμφωνα με τα πρότυπα FIDO2 και WebAuthn. Τα YubiKey βιομετρικά κλειδιά αποθηκεύουν το ιδιωτικό κλειδί σε ασφαλές hardware element, χωρίς δυνατότητα εξαγωγής, εξαλείφοντας τον κίνδυνο κλοπής credentials από τον server. Η σειρά YubiKey 5 υποστηρίζει πολλαπλά πρωτόκολλα, συμπεριλαμβανομένων FIDO2, TOTP και PIV, καλύπτοντας ανάγκες τόσο ατόμων όσο και επιχειρήσεων. Με υποστήριξη σε περισσότερες από 5.000 οργανώσεις παγκοσμίως, η Smartmanagement προσφέρει τεχνική καθοδήγηση για την ενσωμάτωση hardware keys σε υπάρχουσες υποδομές, μειώνοντας τις κλήσεις υποστήριξης κατά 92% σε σχέση με παραδοσιακές μεθόδους αυθεντικοποίησης.

Συχνές ερωτήσεις

Τι είναι το authenticatorData στο WebAuthn;

Το authenticatorData είναι μια δυαδική δομή τουλάχιστον 37 bytes που περιλαμβάνει το rpIdHash, τα flags και τον signCount. Παράγεται από τον authenticator σε κάθε αυθεντικοποίηση και επαληθεύεται από τον server.

Πώς λειτουργεί ο signCount για ασφάλεια;

Ο signCount αυξάνεται κατά 1 σε κάθε χρήση του authenticator. Αν ο server λάβει τιμή μικρότερη από την αποθηκευμένη, αυτό υποδηλώνει πιθανή κλωνοποίηση του authenticator.

Ποια είναι η διαφορά μεταξύ User Presence και User Verification;

Το User Presence (bit 0) επιβεβαιώνει φυσική αλληλεπίδραση με τη συσκευή, ενώ το User Verification (bit 2) επιβεβαιώνει ταυτοποίηση μέσω PIN ή βιομετρικών. Το δεύτερο παρέχει υψηλότερο επίπεδο εγγύησης.

Τι συμβαίνει αν χάσω τον authenticator χωρίς backup;

Η απώλεια authenticator χωρίς εφεδρικούς κωδικούς οδηγεί σε μόνιμη απώλεια πρόσβασης στους λογαριασμούς. Η λύση είναι η χρήση των 10 εφεδρικών κωδικών που παρέχονται κατά την αρχική ρύθμιση 2FA.

Είναι τα synced passkeys εξίσου ασφαλή με τα hardware keys;

Τα synced passkeys προσφέρουν υψηλή ασφάλεια αλλά ο signCount δεν είναι πάντα αξιόπιστος λόγω συγχρονισμού. Τα hardware keys παραμένουν η πιο αξιόπιστη επιλογή για περιβάλλοντα υψηλών απαιτήσεων ασφάλειας.

Βασικά συμπεράσματα

Η δομή authenticatorData αποτελεί τον πυρήνα κάθε FIDO2/WebAuthn αυθεντικοποίησης, και η σωστή κατανόηση και επαλήθευση των πεδίων της καθορίζει το πραγματικό επίπεδο ασφάλειας ενός συστήματος.

 

Προτεινόμενα

• Blog Κυβερνοασφάλειας- YubiKey, MFA & Passwordless Security
• Ρόλος client-side authenticator εφαρμογές: οδηγός 2026
• Τι σημαίνει multi-factor authentication: οδηγός 2026