نام (NAME)

fido2-token — مدیریت و تعامل با توکن‌های امنیتی FIDO 2.0 / CTAP 2.0

خلاصه دستور (SYNOPSIS)

fido2-token -C [-d] device fido2-token -D [-d] -i cred_id device fido2-token -D -b [-d] -k key_path device fido2-token -D -b [-d] -n rp_id [-i cred_id] device fido2-token -D -e [-d] -i template_id device fido2-token -D -u [-d] device fido2-token -G -b [-d] -k key_path blob_path device fido2-token -G -b [-d] -n rp_id [-i cred_id] blob_path device fido2-token -G -t ppuat_path device fido2-token -I [-cd] [-k rp_id -i cred_id] [-t ppuat_path] device fido2-token -L [-bder] [-k rp_id] [device] fido2-token -R [-d] device fido2-token -S [-adefu] device fido2-token -S [-d] -i template_id -n template_name device fido2-token -S [-d] -l pin_length device fido2-token -S -b [-d] -k key_path blob_path device fido2-token -S -b [-d] -n rp_id [-i cred_id] blob_path device fido2-token -S -c [-d] -i cred_id -k user_id -n name -p display_name device fido2-token -S -m rp_id device fido2-token -V

توضیحات (DESCRIPTION)

fido2-token یک احرازکننده‌ی هویت FIDO2 را مدیریت می‌کند.

گزینه‌ها به شرح زیر هستند:

-C device

پین (PIN) device را تغییر می‌دهد. از کاربر برای وارد کردن پین فعلی و جدید درخواست خواهد شد.

-D -i id device

گواهی‌نامه کاربری ذخیره‌شده (resident credential) مشخص‌شده توسط id را از device حذف می‌کند، که در آن id شناسه گواهی‌نامه با کدگذاری base64 است. از کاربر برای وارد کردن پین درخواست خواهد شد.

-D -b -k key_path device

یک “largeBlob” رمزگذاری‌شده با key_path را از device حذف می‌کند، که در آن key_path حاوی کلید رمزنگاری ۳۲ بایتی AES-256 GCM با کدگذاری base64 برای blob است. پین یا ژست معادل تایید هویت کاربر الزامی است.

-D -b -n rp_id [-i cred_id] device

یک “largeBlob” مربوط به rp_id را از device حذف می‌کند. اگر rp_id دارای چندین گواهی‌نامه ثبت‌شده روی device باشد، شناسه گواهی‌نامه باید با استفاده از -i cred_id مشخص شود، که در آن cred_id یک blob با کدگذاری base64 است. پین یا ژست معادل تایید هویت کاربر الزامی است.

-D -e -i id device

ثبت‌نام بیومتریک مشخص‌شده توسط id را از device حذف می‌کند، که در آن id شناسه قالب ثبت‌نام با کدگذاری base64 است. از کاربر برای وارد کردن پین درخواست خواهد شد.

-D -u device

ویژگی CTAP 2.1 “تایید هویت همیشگی کاربر (user verification always)” را روی device غیرفعال می‌کند.

-G -t ppuat_path device

یک توکن احراز هویت دائمی PIN/UV از نسخه CTAP 2.2 با دسترسی‌های فقط‌خواندنی مدیریت گواهی‌نامه را از device دریافت کرده و آن را در ppuat_path می‌نویسد.

-G -b -k key_path blob_path device

یک “largeBlob” از نسخه CTAP 2.1 که با key_path رمزگذاری شده است را از device دریافت می‌کند، که در آن key_path حاوی کلید رمزنگاری ۳۲ بایتی AES-256 GCM با کدگذاری base64 برای blob است. داده blob در blob_path نوشته می‌شود.

-G -b -n rp_id [-i cred_id] blob_path device

یک “largeBlob” از نسخه CTAP 2.1 مرتبط با rp_id را از device دریافت می‌کند. اگر rp_id دارای چندین گواهی‌نامه ثبت‌شده روی device باشد، شناسه گواهی‌نامه باید با استفاده از -i cred_id مشخص شود، که در آن cred_id یک blob با کدگذاری base64 است. داده blob در blob_path نوشته می‌شود. پین یا ژست معادل تایید هویت کاربر الزامی است.

-I device [-t ppuat_path]

اطلاعات مربوط به device را دریافت می‌کند. اگر -t ppuat_path داده شده باشد، fido2-token تلاش می‌کند از توکن احراز هویت دائمی PIN/UV مربوط به CTAP 2.2 ذخیره‌شده در فایل برای رمزگشایی اطلاعات رمزگذاری‌شده دستگاه استفاده کند.

-I -c device

متادیتای گواهی‌نامه‌های کاربری ذخیره‌شده (resident credential) را از device دریافت می‌کند. از کاربر برای وارد کردن پین درخواست خواهد شد.

-I -k rp_id -i cred_id device

شناسه گواهی‌نامه (با کدگذاری base64) و کلید عمومی (با کدگذاری PEM) مربوط به گواهی‌نامه کاربری ذخیره‌شده مشخص‌شده توسط rp_id و cred_id را چاپ می‌کند، که در آن rp_id یک شناسه طرف اعتماد (relying party id) به صورت UTF-8 و cred_id یک شناسه گواهی‌نامه با کدگذاری base64 است. از کاربر برای وارد کردن پین درخواست خواهد شد.

-L

فهرستی از احرازکننده‌های هویت شناسایی‌شده توسط سیستم‌عامل را نمایش می‌دهد.

-L -b device

فهرستی از “largeBlobs” مربوط به CTAP 2.1 را روی device نمایش می‌دهد. پین یا ژست معادل تایید هویت کاربر الزامی است.

-L -e device

فهرستی از ثبت‌نام‌های بیومتریک روی device را نمایش می‌دهد. از کاربر برای وارد کردن پین درخواست خواهد شد.

-L -r device

فهرستی از طرف‌های اعتماد (relying parties) دارای گواهی‌نامه‌های کاربری ذخیره‌شده روی device را نمایش می‌دهد. از کاربر برای وارد کردن پین درخواست خواهد شد.

-L -k rp_id device

فهرستی از گواهی‌نامه‌های کاربری ذخیره‌شده متناظر با طرف اعتماد rp_id را روی device نمایش می‌دهد. از کاربر برای وارد کردن پین درخواست خواهد شد.

-R

یک بازنشانی (reset) را روی device انجام می‌دهد. fido2-token برای تایید از کاربر درخواست نخواهد کرد.

-S

پین device را تنظیم می‌کند. از کاربر برای وارد کردن پین درخواست خواهد شد.

-S -a device

ویژگی تصدیق سازمانی (Enterprise Attestation) مربوط به CTAP 2.1 را روی device فعال می‌کند.

-S -b -k key_path blob_path device

یک “largeBlob” از نسخه CTAP 2.1 رمزگذاری‌شده با key_path را روی device تنظیم می‌کند، که در آن key_path حاوی کلید رمزنگاری ۳۲ بایتی AES-256 GCM با کدگذاری base64 برای blob است. داده blob از blob_path خوانده می‌شود. پین یا ژست معادل تایید هویت کاربر الزامی است.

-S -b -n rp_id [-i cred_id] blob_path device

یک “largeBlob” از نسخه CTAP 2.1 مرتبط با rp_id را روی device تنظیم می‌کند. داده blob از blob_path خوانده می‌شود. اگر rp_id دارای چندین گواهی‌نامه ثبت‌شده روی device باشد، شناسه گواهی‌نامه باید با استفاده از -i cred_id مشخص شود، که در آن cred_id یک blob با کدگذاری base64 است. پین یا ژست معادل تایید هویت کاربر الزامی است.

-S -c -i cred_id -k user_id -n name -p display_name device

ویژگی‌های name و display_name مربوط به گواهی‌نامه کاربری ذخیره‌شده شناسایی‌شده توسط cred_id و user_id را تنظیم می‌کند، که در آن name و display_name رشته‌های UTF-8 و cred_id و user_id داده‌های blob با کدگذاری base64 هستند. پین یا ژست معادل تایید هویت کاربر الزامی است.

-S -e device

یک ثبت‌نام بیومتریک جدید را روی device انجام می‌دهد. از کاربر برای وارد کردن پین درخواست خواهد شد.

-S -e -i template_id -n template_name device

نام نمایشی (friendly name) ثبت‌نام بیومتریک مشخص‌شده توسط template_id را روی device به template_name تغییر می‌دهد، که در آن template_id با base64 کدگذاری شده و template_name یک رشته UTF-8 است. از کاربر برای وارد کردن پین درخواست خواهد شد.

-S -f device

تغییر اجباری پین (PIN) را روی device اعمال می‌کند. از کاربر برای وارد کردن پین درخواست خواهد شد.

-S -l pin_length device

حداقل طول پین device را روی pin_length تنظیم می‌کند. از کاربر برای وارد کردن پین درخواست خواهد شد.

-S -m rp_id device

فهرست شناسه‌های طرف اعتماد مجاز برای دریافت حداقل طول پین device را تنظیم می‌کند. شناسه‌های متعدد را می‌توان با کاما جدا کرد. از کاربر برای وارد کردن پین درخواست خواهد شد.

-S -u device

ویژگی CTAP 2.1 “تایید هویت همیشگی کاربر (user verification always)” را روی device فعال می‌کند.

-V

اطلاعات نسخه را چاپ می‌کند.

-d

باعث می‌شود fido2-token خروجی اشکال‌زدایی (debugging) را روی stderr ارسال کند.

اگر یک tty در دسترس باشد، fido2-token از آن برای درخواست پین‌ها استفاده خواهد کرد. در غیر این صورت، از stdin استفاده می‌شود.

fido2-token در صورت موفقیت با کد 0 و در صورت بروز خطا با کد 1 خارج می‌شود.

همچنین ببینید (SEE ALSO)

fido2-assert(1), fido2-cred(1)

هشدارها (CAVEATS)

فرآیند واقعی کاربر برای انجام بازنشانی (reset) خارج از محدوده مشخصات FIDO2 است و بنابراین ممکن است بسته به احرازکننده هویت متفاوت باشد. احرازکننده‌های هویت Yubico بعد از گذشت ۵ ثانیه از زمان اتصال اجازه بازنشانی نمی‌دهند، و انتظار دارند بازنشانی توسط کاربر از طریق لمس فیزیکی ظرف مدت ۳۰ ثانیه تایید شود.

مسیر احرازکننده هویت ممکن است حاوی فاصله باشد.

گواهی‌نامه‌های کاربری ذخیره‌شده (resident credentials) در نسخه CTAP 2.1 به عنوان “discoverable credentials” (گواهی‌نامه‌های قابل کشف) نامیده می‌شوند.

فعال یا غیرفعال بودن ویژگی CTAP 2.1 “user verification always” (تایید هویت همیشگی کاربر) پس از بازنشانی احرازکننده هویت، به سازنده سخت‌افزار بستگی دارد.