← Cloudflare Fundamentals / fundamentals / reference
Cryptographic Attestation of Personhood
Cloudflare vyvinul alternativa ↗ na ověřování CAPTCHA, Cryptographic Attestation of Personhood (CAP).
CAP vám umožňuje prokázat, že jste oprávněným návštěvníkem webu, a to dotykem hardwarového klíče, místo řešení hádanky CAPTCHA.
Tento článek odpovídá na časté otázky týkající se použitelnosti a ochrany soukromí.
CAP můžete otestovat také tak, že přejdete do demo web ↗.
Otázky týkající se ochrany soukromí
Odpověď na většinu otázek týkajících se soukromí najdete shrnutou v této tabulce:
| Vlastnost | Cloudflare by mohl | Cloudflare dělá |
|---|---|---|
| Shromažďovat biometrické údaje (otisky prstů nebo snímky obličeje) | Ne | N/A |
| Shromažďovat informace o vašem hardwarovém autentizátoru | Ano, omezeno na počet klíčů ve vaší dávce | Ano, pokud je k dispozici |
Ne, Cloudflare nemůže shromažďovat biometrické údaje. Náš proces CAP používá WebAuthn API, které brání shromažďování biometrika ve výchozím nastavení ↗. Když si zařízení vyžádá biometrické ověření, například pomocí čtečky otisků prstů, vše probíhá lokálně.
Vaše biometrická data proto nikdy nevidíme, zůstávají ve vašem zařízení. Jakmile zařízení potvrdí shodu, odešle pouze základní zprávu o atestaci. Zařízení tak fakticky odesílá zprávu, která dokazuje, že „někdo na tomto důvěryhodném zařízení správně zadal otisk prstu“, ale samotný otisk prstu nikdy neodesílá.
Ano, Cloudflare shromažďuje omezené množství údajů o vašem klíči. Ukládáme výrobce klíče a identifikátor dávky (minimálně 100,000 ↗ klíčů na dávku) pro účely ověření. Z naší perspektivy váš klíč vypadá stejně jako všechny ostatní klíče v dávce.
U některých self-signed klíčů a klíčů od vybraných výrobců bylo zjištěno, že nesplňuje tento požadavek ↗ a měli byste se mu vyhnout, pokud chcete minimalizovat riziko ohrožení soukromí online.
Podrobnosti o tom, jak nastavujeme Cryptographic Attestation of Personhood, najdete v úvodní příspěvek na blogu ↗.
Která zařízení jsou povolena a která ne?
Povolená zařízení
CAP podporuje širokou škálu hardwarových autentizátorů:
- Přenosné (cross-platform) autentizátory:
- Podporováno: Všechny bezpečnostní klíče nalezené v FIDO Metadata Service 3.0 ↗, pokud nebyly z bezpečnostních důvodů odvolány.
- Příklady: klíče YubiKey, HyperFIDO, Thetis FIDO U2F
- Platformní autentizátory:
- Příklady: Apple Touch ID a Face ID na mobilních zařízeních s iOS a noteboocích macOS; mobilní zařízení Android se čtečkou otisků prstů; Windows Hello
Známá omezení
Většina kombinací webových prohlížečů a autentizátorů podporujících WebAuthn funguje bez problémů, existují ale některé známé problémy s kompatibilitou u atestace WebAuthn, které mohou bránit správnému fungování CAP:
- Basic CAP:
- počítač macOS: Pro TouchID musí být prohlížeč Safari
- Android: Prohlížeč musí být Chrome
- CAP with Zero-Knowledge Proof:
- Autentizátory platformy Apple (např. iPhone s Touch ID/Face ID) nejsou kompatibilní s systém důkazů s nulovou znalostí ↗. Pokud se to nezdaří, budete okamžitě přesměrováni na základní cestu CAP, aniž byste museli podniknout jakékoli další kroky. Jelikož Apple používá Apple Anonymous Attestation ↗ k prokázání toho, že je ověřovatel platný, a zároveň blokuje sledování, tato metoda udržuje vysoký standard soukromí.
Tento seznam průběžně aktualizujeme podle vývoje ekosystému a dalšího testování různých kombinací.
Dokážou hackeři obejít Cryptographic Attestation of Personhood?
CAP je jednou z mnoha technik pro identifikaci a blokování botů. Dosud jsme zaznamenali několik pokusů o otestování bezpečnostního systému CAP, například jeden promyšleně provedený a dobře zdokumentovaný test ↗. Blogový příspěvek popisující tento test výslovně uvádí, že tato metoda nenarušuje bezpečnostní model Cloudflare.
Neznamená to, že je CAP nefunkční, ale spíše to ukazuje, že zvyšuje náklady na útok oproti současnému modelu CAPTCHA.
Co se stane, když ztratím svůj klíč?
Pokud nemáte potřebný hardware (například Yubikey), můžete i tak vyřešit běžnou výzvu CAPTCHA (například výběrem obrázků).
Jaké jsou běžné chybové kódy a co znamenají?
- Unsupported_att_fmt:
- Příčina: Váš autentizátor používá nepodporovaný formát atestace (kombinace prohlížeče a klíče). K tomu dochází také v případě, že používáte Firefox a vyberte možnost "anonymise your key".
- Řešení: Pokud k této chybě dojde během verze CAP s nulovou znalostí ↗, budete automaticky přesměrováni na základní proces CAP. Pokud základní CAP selže, zkuste jinou kombinaci podporovaného hardwarového zařízení a prohlížeče, nebo zvolte CAPTCHA.
- Unsupported_issuer:
- Příčina: Váš klíč momentálně není podporován.
- Řešení: Použijte podporovaný klíč.