Níveis de garantia
São dois, e a distância entre eles é grande. Escolher o nível errado para uma ação sensível é o tipo de engano que só aparece depois de um incidente, então cada nível está descrito aqui pelo que prova e pelo que não prova.
Declarado
Continuidade de uma chave nao exportavel no navegador.
O que prova
Que as requisicoes de hoje vem do mesmo navegador, no mesmo perfil, que registrou a chave. A chave privada e gerada como nao exportavel e nao sai dali.
O que não prova
Nao prova hardware. Nao prova que o aparelho e o mesmo aparelho fisico, nem que a pessoa e a mesma pessoa. Limpar o perfil do navegador descarta a chave, e o dispositivo vira outro. Um navegador comprometido pode usar a chave sem exporta-la.
Atestado
Atestacao verificada contra uma raiz, credencial presa ao aparelho.
O que prova
Que a credencial foi criada dentro de um autenticador reconhecido e verificado contra uma raiz (FIDO MDS3 na web, App Attest no iOS, Key Attestation no Android), e que ela esta presa aquele aparelho.
O que não prova
Nao prova quem esta usando o aparelho. Credencial sincronizavel nao e atestada, porque a chave privada pode existir em outro aparelho: se o backup passar a valer, a garantia cai. E depende de o aparelho e o navegador do usuario suportarem atestacao.
Como o nível entra na sua decisão
No painel você define, por action, um piso de garantia e se a verificação de usuário é exigida. O piso é comparado com o nível real do dispositivo no momento do veredito.
O que rebaixa a garantia
- Credencial sincronizável. Se a chave privada pode existir em outro aparelho, ela não prende ninguém a um aparelho. Credencial elegível a backup nunca é atestada, e uma credencial que passa a estar em backup rebaixa a garantia e gera evento.
- Perfil de navegador descartado. No nível declarado, a chave vai junto. O próximo acesso é um dispositivo novo, e não o mesmo dispositivo reconhecido.
- Aparelho sem suporte a atestação. Exigir
attestedrecusa quem não tem aparelho compatível. Isso é uma decisão de produto sua, não um detalhe técnico.