Tổng quan về Federated Credential Management API

API web để liên kết thông tin nhận dạng bảo đảm quyền riêng tư.

FedCM là gì?

FedCM (Quản lý thông tin xác thực liên kết) là một phương pháp bảo đảm quyền riêng tư cho các dịch vụ nhận dạng được liên kết (chẳng hạn như "Đăng nhập bằng...") mà không dựa vào cookie của bên thứ ba hoặc lệnh chuyển hướng điều hướng.

Trạng thái triển khai

Từ giờ trở đi, chúng tôi dự định ra mắt một số tính năng mới dựa trên ý kiến phản hồi mà chúng tôi nhận được từ nhà cung cấp danh tính (IdP), bên phụ thuộc (RP) và nhà cung cấp trình duyệt. Mặc dù chúng tôi hy vọng các nhà cung cấp danh tính sẽ sử dụng FedCM, nhưng xin lưu ý rằng FedCM vẫn là một API đang trong quá trình phát triển.

Để giảm thiểu các thách thức khi triển khai các thay đổi không tương thích ngược, chúng tôi có hai đề xuất dành cho nhà cung cấp danh tính:

  • Hãy đăng ký nhận bản tin của chúng tôi để nhận thông tin cập nhật khi API phát triển.
  • Các IdP nên phân phối API FedCM bằng cách sử dụng SDK JavaScript trong khi API này đang phát triển và không nên khuyến khích RP tự lưu trữ SDK. Điều này sẽ đảm bảo rằng các IdP có thể thực hiện thay đổi khi API phát triển mà không cần yêu cầu tất cả các bên phụ thuộc triển khai lại.

Vì sao chúng ta cần FedCM?

Trong thập kỷ qua, liên minh nhận dạng đã đóng vai trò trung tâm trong việc nâng cao tiêu chuẩn xác thực trên web, xét về độ tin cậy, dễ sử dụng (ví dụ: đăng nhập một lần không cần mật khẩu) và bảo mật (ví dụ: tăng khả năng chống lại các cuộc tấn công giả mạo và tấn công bằng thông tin xác thực) so với tên người dùng và mật khẩu trên mỗi trang web.

Với tính năng liên kết danh tính, RP (bên phụ thuộc) dựa vào IdP (nhà cung cấp danh tính) để cung cấp cho người dùng một tài khoản mà không yêu cầu tên người dùng và mật khẩu mới.

Rất tiếc, các cơ chế mà liên minh nhận dạng dựa vào (iframe, lệnh chuyển hướng và cookie) đang bị lợi dụng để theo dõi người dùng trên web. Vì tác nhân người dùng không thể phân biệt giữa việc liên kết danh tính và việc theo dõi, nên các biện pháp giảm thiểu cho nhiều loại hành vi sai trái khiến việc triển khai liên kết danh tính trở nên khó khăn hơn.

API Quản lý thông tin xác thực liên kết (FedCM) cung cấp một bản tóm tắt dành riêng cho trường hợp sử dụng cho các luồng danh tính liên kết trên web, bằng cách hiển thị hộp thoại do trình duyệt dàn xếp cho phép người dùng chọn tài khoản từ IdP để đăng nhập vào trang web.

FedCM là một hành trình gồm nhiều bước để cải thiện thông tin nhận dạng trên web. Trong bước đầu tiên, chúng tôi tập trung vào việc giảm tác động của các quy định hạn chế về cookie của bên thứ ba đối với danh tính liên kết (xem phần Lộ trình để biết thêm một số bước).

Người dùng đang đăng nhập vào một RP bằng FedCM.

Chúng tôi dự kiến điều gì sẽ bị ảnh hưởng?

Thông qua nỗ lực của cộng đồng và nghiên cứu của chúng tôi, chúng tôi nhận thấy có một số hoạt động tích hợp liên quan đến liên minh danh tính bị ảnh hưởng bởi các quy định hạn chế về cookie của bên thứ ba:

Mục tiêu đầu tiên của FedCM là giảm tác động của các quy định hạn chế về cookie của bên thứ ba đối với việc liên kết danh tính. Dưới đây là những lĩnh vực mà chúng tôi dự kiến sẽ chịu ảnh hưởng. Nếu có trường hợp sử dụng khác chưa được liệt kê, bạn có thể tham gia và chia sẻ ý kiến phản hồi.

Ai nên sử dụng FedCM?

Chúng tôi cho rằng FedCM chỉ hữu ích cho bạn nếu tất cả các điều kiện sau đây đều áp dụng:

  1. Bạn là một nhà cung cấp danh tính (IdP).
  2. Bạn bị ảnh hưởng bởi các quy định hạn chế về cookie của bên thứ ba.
  3. RP là các trang web của bên thứ ba. Nếu các trang web được đề xuất là những trang web có liên quan một cách có ý nghĩa, thì bạn có thể được phân phát hiệu quả hơn bằng Nhóm trang web liên quan.

Bạn là một IdP

FedCM yêu cầu nhà cung cấp danh tính hỗ trợ. Bên phụ thuộc không thể sử dụng FedCM một cách độc lập. Nếu là một bên bị hạn chế (RP), bạn có thể yêu cầu IdP cung cấp hướng dẫn.

Bạn bị ảnh hưởng bởi các quy định hạn chế về cookie của bên thứ ba

Bạn chỉ nên sử dụng FedCM nếu hoạt động tích hợp hiện tại của bạn bị ảnh hưởng bởi các quy định hạn chế về cookie của bên thứ ba.

Nếu không chắc liệu liên kết danh tính của bạn có tiếp tục hoạt động khi không có cookie của bên thứ ba hay không, bạn có thể kiểm tra mức độ ảnh hưởng trên trang web bằng cách chặn cookie của bên thứ ba trên Chrome.

Nếu không có tác động nào có thể phát hiện được đến việc liên kết danh tính của bạn khi không sử dụng cookie của bên thứ ba, thì bạn có thể tiếp tục sử dụng tính năng tích hợp hiện tại mà không cần FedCM.

Nếu bạn không chắc mình cần kiểm tra điều gì, hãy đọc thêm về các tính năng đã biết mà các quy định hạn chế về cookie của bên thứ ba có thể ảnh hưởng.

Các bên bị hạn chế của bạn là bên thứ ba

Nếu bạn là một nhà cung cấp danh tính có RP có mối quan hệ bên thứ nhất với IdP, thì Nhóm trang web có liên quan có thể là lựa chọn phù hợp hơn. Nhóm trang web có liên quan (RWS) là một cách để tổ chức khai báo mối quan hệ giữa các trang web, nhờ đó, trình duyệt cho phép cookie của bên thứ ba truy cập một cách hạn chế cho những mục đích cụ thể. Điều này cho phép cookie của bên thứ ba hoạt động giữa các nhóm trang web có liên quan một cách có ý nghĩa, ngay cả khi cookie của bên thứ ba bị hạn chế.

Người dùng sẽ tương tác với FedCM như thế nào?

Trọng tâm chính của FedCM là giảm thiểu tác động của các quy định hạn chế về cookie của bên thứ ba. Người dùng có thể bật hoặc tắt FedCM trong phần cài đặt người dùng của Chrome.

FedCM được thiết kế để không phụ thuộc vào giao thức và cung cấp các chức năng liên quan đến xác thực sau đây.

Xem bản minh hoạ của chúng tôi để biết cách hoạt động.

Đăng nhập vào một bên phụ thuộc

Người dùng đăng nhập vào bên bị hạn chế bằng FedCM.

Khi người dùng truy cập vào trang web của bên phụ thuộc (RP), một hộp thoại đăng nhập bằng FedCM sẽ xuất hiện nếu người dùng đã đăng nhập vào IdP.

Nếu người dùng không có tài khoản trên RP với IdP, thì một hộp thoại đăng ký sẽ xuất hiện với văn bản công bố bổ sung, chẳng hạn như điều khoản dịch vụ của RP và chính sách quyền riêng tư nếu có.

Người dùng có thể hoàn tất quy trình đăng nhập bằng cách nhấn vào Tiếp tục với tư cách.... Nếu thành công, trình duyệt sẽ lưu trữ thực tế là người dùng đã tạo một tài khoản liên kết trên RP với IdP.

RP dự kiến sẽ hoạt động trên các trình duyệt không hỗ trợ FedCM. Người dùng phải sử dụng được quy trình đăng nhập hiện có, không phải FedCM. Tìm hiểu thêm về cách hoạt động của tính năng đăng nhập trong FedCM.

Chế độ cài đặt để bật hoặc tắt FedCM

Người dùng có thể bật hoặc tắt FedCM trong phần cài đặt trên Chrome cho Android. Chuyển đến phần Cài đặt > Cài đặt trang web > Đăng nhập bằng bên thứ ba, sau đó thay đổi nút bật/tắt.

Bật FedCM trong phần Cài đặt Chrome trên thiết bị di động bằng cách bật/tắt tính năng Đăng nhập qua bên thứ ba

Người dùng cũng có thể làm tương tự cho Chrome trên máy tính bằng cách chuyển đến chrome://settings/content/federatedIdentityApi.

Bật FedCM trong phần Cài đặt Chrome trên máy tính bằng cách bật chế độ Đăng nhập qua bên thứ ba

Thời gian chờ của lời nhắc

Nếu người dùng đóng giao diện người dùng theo cách thủ công, một mục sẽ tạm thời được thêm vào giao diện người dùng cài đặt và giao diện người dùng sẽ không hiển thị trong cùng một trang web trong một khoảng thời gian. Giao diện người dùng sẽ được bật lại sau khoảng thời gian này, nhưng thời lượng sẽ được mở rộng theo cấp số nhân vào các lần đóng liên tiếp. Ví dụ: trong Chrome:

Số lần liên tiếp bị đóng Khoảng thời gian mà lời nhắc FedCM bị chặn
1 2 giờ
2 Một ngày
3 Một tuần
4+ 4 tuần

Các trình duyệt khác có thể xác định khoảng thời gian chờ riêng.

Người dùng có thể bật lại FedCM trên RP theo cách thủ công bằng cách chuyển đến trang cài đặt hoặc nhấp vào giao diện người dùng PageInfo (biểu tượng khoá bên cạnh thanh URL) rồi đặt lại quyền.

Lộ trình

Chúng tôi đang nỗ lực triển khai một số thay đổi đối với FedCM. Hãy xem phần Nội dung cập nhật để biết thêm thông tin chi tiết.

Chúng tôi vẫn cần làm một số việc, bao gồm cả các vấn đề mà chúng tôi nhận được từ các nhà cung cấp dịch vụ nhận dạng (IdP), nhà cung cấp dịch vụ xác thực (RP) và nhà cung cấp trình duyệt. Chúng tôi tin rằng mình biết cách giải quyết những vấn đề này:

  • Hỗ trợ iframe trên nhiều nguồn gốc: Các IdP có thể gọi FedCM từ trong một khung hiển thị nội dung trên nhiều nguồn gốc (cập nhật).
  • Nút được cá nhân hoá: IdP có thể hiển thị danh tính của người dùng cũ trên nút đăng nhập từ trong iframe trên nhiều nguồn gốc do IdP sở hữu (cập nhật).
  • Điểm cuối của chỉ số: Cung cấp các chỉ số hiệu suất cho IdP.

Ngoài ra, chúng tôi đang tích cực tìm hiểu một số vấn đề chưa được giải quyết, bao gồm cả các đề xuất cụ thể mà chúng tôi đang đánh giá hoặc tạo bản nguyên mẫu:

Cuối cùng, chúng tôi vẫn cần làm một số việc dựa trên ý kiến phản hồi của Mozilla, Apple và các nhân viên đánh giá của TAG. Chúng tôi đang nỗ lực đánh giá các giải pháp tốt nhất cho những câu hỏi mở này:

  • Cải thiện khả năng hiểu của người dùng và khớp ý định: Như Mozilla đã lưu ý, chúng tôi muốn tiếp tục khám phá các công thức và khu vực hiển thị khác nhau về trải nghiệm người dùng, cũng như các tiêu chí kích hoạt.
  • Thuộc tính nhận dạng và việc tiết lộ có chọn lọc: Như Nhóm đánh giá TAG đã lưu ý, chúng tôi muốn cung cấp một cơ chế để chia sẻ có chọn lọc nhiều hoặc ít thuộc tính nhận dạng (chẳng hạn như email, độ tuổi, số điện thoại, v.v.).
  • Nâng cao các thuộc tính về quyền riêng tư: Như Mozilla đề xuất trong vị trí tiêu chuẩn của mình, chúng tôi muốn tiếp tục khám phá các cơ chế để đảm bảo quyền riêng tư tốt hơn, chẳng hạn như tính năng làm mù IdP, giá trị nhận dạng được chỉ định.
  • Mối quan hệ với WebAuthn: Theo đề xuất của Apple, chúng tôi rất vui khi thấy tiến trình về khoá truy cập và nỗ lực cung cấp trải nghiệm nhất quán và gắn kết giữa FedCM, Mật khẩu, WebAuthn và WebOTP.
  • Trạng thái đăng nhập: Như Apple đề xuất với API Trạng thái đăng nhập của Privacy CG, chúng tôi chia sẻ trực giác rằng trạng thái đăng nhập của người dùng là một thông tin hữu ích có thể giúp trình duyệt đưa ra quyết định sáng suốt và chúng tôi rất vui khi thấy những cơ hội phát sinh từ đó. (cập nhật)
  • Doanh nghiệp và giáo dục: Như đã thấy rõ tại FedID CG, vẫn còn nhiều trường hợp sử dụng mà FedCM chưa phục vụ tốt, chẳng hạn như đăng xuất qua kênh trước (khả năng IdP gửi tín hiệu đến RP để đăng xuất) và hỗ trợ SAML.
  • Mối quan hệ với mDL/VC/v.v.: tiếp tục tìm hiểu cách các mối quan hệ này phù hợp với FedCM, ví dụ: với API Yêu cầu tài liệu di động.

Sử dụng API FedCM

Bạn cần có ngữ cảnh bảo mật (HTTPS hoặc localhost) trên cả IdP và RP trong Chrome để sử dụng FedCM.

Để tích hợp với FedCM, bạn cần tạo một tệp đã biết, tệp cấu hình và các điểm cuối cho danh sách tài khoản, phát hành câu nhận định và (không bắt buộc) siêu dữ liệu ứng dụng. Từ đó, FedCM hiển thị các API JavaScript mà RP có thể sử dụng để đăng nhập bằng IdP.

Để tìm hiểu cách sử dụng API FedCM, hãy xem hướng dẫn dành cho nhà phát triển FedCM.

Tham gia và chia sẻ ý kiến phản hồi

Tuân thủ luật về quyền riêng tư trên mạng

Việc sử dụng FedCM, với tư cách là một IdP hoặc RP, liên quan đến việc lưu trữ thông tin trên thiết bị đầu cuối của người dùng hoặc quyền truy cập vào thông tin đã được lưu trữ trong thiết bị đó. Do đó, đây là một hoạt động tuân theo luật về quyền riêng tư điện tử ở Khu vực kinh tế Châu Âu (EEA) và Vương quốc Anh, thường yêu cầu sự đồng ý của người dùng. Bạn có trách nhiệm xác định xem việc sử dụng FedCM có thực sự cần thiết để cung cấp dịch vụ trực tuyến mà người dùng yêu cầu rõ ràng hay không và do đó, được miễn trách nhiệm đáp ứng yêu cầu về sự đồng ý. Để biết thêm thông tin, bạn nên đọc bài viết Câu hỏi thường gặp về việc tuân thủ liên quan đến quyền riêng tư của Hộp cát về quyền riêng tư.