Chrome 93で実装されたCross Device WebOTPフローを試してみた - r-weblife

おはようございます ritou です。 8月ですよ。お仕事の進捗大丈夫ですか？ 最近、Google方面からDecoupled AuthNの香りがしたので追ってみました。 何の話? この話です。 developer.chrome.com WebOTPとは? Webアプリケーションがモバイル端末でSMS経由のOTP認証をしようと思った時、画面に「認証コードを送信しました」なんて出た後にSMSを確認できるアプリを起動して確認してまたブラウザに...とかをやったことがある人は多いでしょう。 WebOTPとは、モバイル端末上のブラウザであればアプリの切り替えをせずにワンタップでSMSで受け取ったOTPの値を読み込んで検証リクエストに繋げられる、しかもSMSを発信したWebアプリを特定できるフォーマットになっていることでフィッシングサイトからはこのフローを使えなくするような仕組みのことです。 web.

[ritou]

Y!Jのように既にWebOTPを導入しているサービスではこの機能を試せますし、動作しない環境では今まで通り手動での入力になります。SMSによるOTP送信を利用しているサービスはWebOTPを是非導入してもらいたいですね。

[tkawa]

Chromeの内部チャネルを使うのであればSMS使わずにOTPもそこを通せばいいんじゃないかと思うのだけど、既存の実装に寄せたってところか