‫بررسی پشتیبانی از Passkey (WebAuthn/FIDO2) در ASP.NET Core Identity در NET 10.

چکیده: رمزهای عبور همواره یکی از ضعیف‌ترین حلقه‌های زنجیره امنیت در برنامه‌های وب بوده‌اند. انتخاب رمزهای ضعیف، استفاده مجدد از آن‌ها، آسیب‌پذیری در برابر حملات فیشینگ (Phishing) و سرقت اطلاعات، هزینه‌های سنگینی را به کاربران و سازمان‌ها تحمیل می‌کند. در پاسخ به این چالش، NET 10. پشتیبانی بومی و درون‌برنامه‌ای (Built-in) از Passkey را بر پایه استانداردهای WebAuthn و FIDO2 به ASP.NET Core Identity اضافه کرده‌است. این قابلیت به توسعه‌دهندگان اکوسیستم دات‌نت اجازه می‌دهد تا امکان احراز هویت بدون رمز عبور (Passwordless) را با استفاده از حسگرهای بیومتریک (مانند Touch ID و Windows Hello)، نرم‌افزارهای مدیریت رمز عبور (مانند 1Password، Bitwarden و Microsoft Authenticator) و کلیدهای سخت‌افزاری امنیتی (مانند YubiKey) پیاده‌سازی کنند. این مقاله به بررسی دقیق معماری فنی، فرآیندهای ثبت و ورود، نحوه پیکربندی کد #C، مدیریت چالش‌های امنیتی و عملیاتی، و استراتژی‌های پیاده‌سازی در محیط‌های عملیاتی می‌پردازد.

• کلید خصوصی: هرگز از دستگاه کاربر یا سخت‌افزار امنیتی خارج نمی‌شود.
• کلید عمومی (Public Key): روی سرور و در دیتابیس ASP.NET Core Identity ذخیره می‌گردد.

• سرور یک چالش تصادفی (Challenge) تولید کرده و به مرورگر می‌فرستد.
• دستگاه کاربر، زوج‌کلید را تولید کرده، چالش را با کلید خصوصی امضا می‌کند و کلید عمومی را همراه با داده‌های امضاشده به سرور برمی‌گرداند.
• سرور کلید عمومی و شناسه اعتبار (Credential ID) را به حساب کاربر متصل و ذخیره می‌کند.

• سرور یک چالش یک‌بارمصرف جدید تولید می‌کند.
• دستگاه کاربر با تأیید بیومتریک یا PIN، چالش را توسط کلید خصوصی ذخیره‌شده امضا می‌کند.
• سرور امضا را با کلید عمومی ذخیره‌شده اعتبارسنجی کرده و در صورت صحت، نشست (Session) کاربر را فعال می‌کند.

[ دستگاه / احرازکننده کاربر ]                             [ سرور ASP.NET Core 10 ]
   (حاوی کلید خصوصی)                                      (ذخیره‌کننده کلید عمومی)
          |                                                       |
          |----------- ۱. درخواست چالش ورود (Request Options) --->|
          |<---------- ۲. ارسال چالش تصادفی (Challenge) ----------|
          |                                                       |
 (تأیید بیومتریک / PIN و)                                        |
 (امضای چالش با کلید خصوصی)                                      |
          |                                                       |
          |----------- ۳. ارسال چالش امضاشده (Credential JSON) -->|
          |                                                       |
                                                             (اعتبارسنجی امضا با)
                                                            (کلید عمومی در دیتابیس)

• Google Password Manager: همگام‌سازی بین دستگاه‌های اندروید و مرورگر Chrome.
• Apple iCloud Keychain: همگام‌سازی بین آیفون، مک‌بوک و مرورگر Safari.
• Microsoft Account: همگام‌سازی روی ویندوز و حساب‌های مایکروسافت.

• ابزارهایی مانند Bitwarden، 1Password و Dashlane که امکان استفاده از Passkey را به‌صورت چندپلتفرمی (Cross-Platform) فراهم می‌سازند.

• تامین‌کننده مستقیم: مدیریت و ذخیره کلیدها روی سیستم‌عامل‌های iOS و Android.
• ورود میان‌دستگاهی (Cross-Device Authentication): اسکن QR Code روی لپ‌تاپ توسط اپلیکیشن Authenticator گوشی و تأیید اثر انگشت روی گوشی برای ورود به وب‌سایت روی لپ‌تاپ (از طریق ارتباط امن کوتاه‌برد بلوتوث).
• حساب‌های سازمانی (Entra ID): ذخیره‌سازی به‌صورت Device-bound (بدون همگام‌سازی ابری برای حفظ حداکثر امنیت سازمانی).
• کلیدهای سخت‌افزاری امنیتی (Hardware Security Keys):
• کلیدهای متصل‌شونده از طریق USB ،NFC یا بلوتوث مانند YubiKey، Google Titan و Feitian.

// در فایل Program.cs
builder.Services.AddIdentityCore<ApplicationUser>(options =>
{
    options.SignIn.RequireConfirmedAccount = true;
    options.User.RequireUniqueEmail = true;
    options.Lockout.MaxFailedAccessAttempts = 5;
    options.Lockout.DefaultLockoutTimeSpan = TimeSpan.FromMinutes(15);
    
    // فعال‌سازی اسکیمای نسخه ۳ برای پشتیبانی از جداول Passkey
    options.Stores.SchemaVersion = IdentitySchemaVersions.Version3;
})
.AddEntityFrameworkStores<ApplicationDbContext>()
.AddSignInManager()
.AddPasskeys() // متد افزوده شده در .NET 10
.AddDefaultTokenProviders();

builder.Services.Configure<IdentityPasskeyOptions>(options =>
{
    options.ServerDomain = "contoso.com"; // Relying Party ID
    options.AuthenticatorTimeout = TimeSpan.FromMinutes(3);
    options.ChallengeSize = 64; // حجم چالش به بایت (پیش‌فرض: 32)
    options.UserVerificationRequirement = "required"; // الزام تأیید بیومتریک یا PIN
    options.ResidentKeyRequirement = "preferred";
});

نکته امنیتی در مورد ServerDomain: اگر مقدار ServerDomain تعیین نشود، Identity آن را از هدر Host درخواست استخراج می‌کند. در محیط عملیاتی (Production)، حتماً این مقدار را به‌صورت صریح تنظیم کنید تا از حملات Credential-Scoping جلوگیری شود.

app.MapPost("/account/passkey-options", async (
    HttpContext context,
    UserManager<ApplicationUser> userManager,
    SignInManager<ApplicationUser> signInManager) =>
{
    var user = await userManager.GetUserAsync(context.User);
    if (user is null)
        return Results.NotFound();

    var userId = await userManager.GetUserIdAsync(user);
    var userName = await userManager.GetUserNameAsync(user) ?? "User";

    // تولید گزینه‌های WebAuthn و ذخیره وضعیت چالش در کوکی موقت
    var optionsJson = await signInManager.MakePasskeyCreationOptionsAsync(new()
    {
        Id = userId,
        Name = userName,
        DisplayName = userName
    });

    return TypedResults.Content(optionsJson, contentType: "application/json");
}).RequireRateLimiting("authentication");

async function createPasskey(headers) {
  const response = await fetch('/account/passkey-options', {
    method: 'POST',
    headers,
    credentials: 'include' // ارسال کوکی چالش
  });
  
  const optionsJson = await response.json();
  const options = PublicKeyCredential.parseCreationOptionsFromJSON(optionsJson);

  try {
    // نمایش پنجره بیومتریک/سخت‌افزار توسط مرورگر
    const credential = await navigator.credentials.create({ publicKey: options });
    return credential;
  } catch (err) {
    console.error('تأیید پاس‌کی ناموفق بود:', err.name, err.message);
    throw err;
  }
}

app.MapPost("/account/passkey-register", async (
    HttpContext context,
    UserManager<ApplicationUser> userManager,
    SignInManager<ApplicationUser> signInManager,
    [FromBody] string credentialJson) =>
{
    var user = await userManager.GetUserAsync(context.User);

    // اعتبارسنجی امضا، چالش و مبدأ (Origin) درخواست
    var attestationResult = await signInManager.PerformPasskeyAttestationAsync(credentialJson);
    if (!attestationResult.Succeeded)
        return Results.BadRequest(attestationResult.Failure.Message);

    // ذخیره کلید عمومی در جدول AspNetUserPasskeys
    var addResult = await userManager.AddOrUpdatePasskeyAsync(user!, attestationResult.Passkey);
    return addResult.Succeeded ? Results.Ok() : Results.BadRequest("خطا در ذخیره‌سازی Passkey");
});

app.MapPost("/account/passkey-request-options", async (
    SignInManager<ApplicationUser> signInManager,
    UserManager<ApplicationUser> userManager,
    string? username) =>
{
    var user = string.IsNullOrEmpty(username) 
        ? null 
        : await userManager.FindByNameAsync(username);

    // ارسال null امکان ورود بدون نام کاربری (Conditional UI) را فراهم می‌سازد
    var optionsJson = await signInManager.MakePasskeyRequestOptionsAsync(user);
    return TypedResults.Content(optionsJson, contentType: "application/json");
});

app.MapPost("/account/passkey-signin", async (
    SignInManager<ApplicationUser> signInManager,
    [FromBody] string credentialJson) =>
{
    // اعتبارسنجی امضا با کلید عمومی، بررسی چالش و فعال‌سازی کوکی نشست
    var result = await signInManager.PasskeySignInAsync(credentialJson);
    return result.Succeeded ? Results.Ok() : Results.Unauthorized();
});

async function enableConditionalSignIn() {
  const response = await fetch('/account/passkey-request-options');
  const optionsJson = await response.json();
  const options = PublicKeyCredential.parseRequestOptionsFromJSON(optionsJson);

  const credential = await navigator.credentials.get({
    publicKey: options,
    mediation: 'conditional' // فعال‌سازی حالت پیشنهاد خودکار
  });

  // ارسال credential به سرور برای متد PasskeySignInAsync
}

• عدم اعتبارسنجی بیانیه Attestation به صورت پیش‌فرض: سرور هر نوع Attestation ارائه شده را بدون بررسی لیست سفید سخت‌افزاری می‌پذیرد. اگر در محیط‌های سازمانی نیاز دارید ثبت فقط به مدل‌های خاصی (مانند YubiKey 5 Series) محدود شود، باید از Hook سفارشی استفاده کنید یا به سراغ کتابخانه‌هایی نظیر fido2-net-lib بروید:

builder.Services.Configure<IdentityPasskeyOptions>(options =>
{
    options.VerifyAttestationStatement = async context =>
    {
        // بررسی AAGUID سخت‌افزار در برابر لیست مجاز
        return true; // یا false در صورت عدم تایید
    };
});

• احراز هویت عاملی (Primary Factor): در ASP.NET Core Identity، استفاده از Passkey به عنوان عامل اصلی ورود تلقی می‌شود و نه عامل دوم (2FA).

• راهکار: سیستم باید همواره یک کانال بازیابی تاییدشده مانند ایمیل تاییدشده، کدهای بازیابی یک‌بارمصرف (Recovery Codes)، یا برنامه‌های TOTP را به عنوان پشتیبان نگه دارد.

public sealed class SecurityAuditService(
    IAuthenticationAuditRepository repository,
    IPrivacyHasher privacyHasher,
    IClock clock)
{
    public Task RecordAsync(SecurityAuditRequest request, CancellationToken cancellationToken = default)
    {
        var auditEvent = AuthenticationAuditEvent.Create(
            request.UserId,
            request.EventType,
            request.Succeeded,
            privacyHasher.Hash(request.IpAddress), // هش کردن IP جهت حفظ حریم خصوصی
            request.UserAgent,
            request.FailureCode,
            clock.UtcNow);

        return repository.AddAsync(auditEvent, cancellationToken);
    }
}

builder.Services.ConfigureApplicationCookie(options =>
{
    options.Cookie.Name = "__Host-PasskeyApp";
    options.Cookie.HttpOnly = true;
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    options.Cookie.SameSite = SameSiteMode.Lax;
    options.Cookie.Path = "/";
    options.ExpireTimeSpan = TimeSpan.FromMinutes(30);
    options.SlidingExpiration = true;
});

// اشتراک‌گذاری کلیدهای Data Protection در صورت وجود چند Instance (Replicas)
builder.Services.AddDataProtection()
    .SetApplicationName("PasskeyApp")
    .PersistKeysToFileSystem(new DirectoryInfo(@"/app/keys"));