API de criptografía web

Actualmente , la autenticación multifactor se considera uno de los métodos más fiables para verificar la identidad de un usuario en una aplicación web, como la banca en línea . Muchas aplicaciones web dependen de este método de autenticación para proteger tanto al usuario como al agente de usuario . Con la API de criptografía web, una aplicación web podría proporcionar autenticación internamente, en lugar de depender de la autenticación de la capa de transporte para el acceso mediante claves secretas. Este proceso ofrecería una experiencia más completa para el usuario.

La API de criptografía web permitiría a la aplicación localizar claves de cliente adecuadas que hayan sido creadas previamente por el agente de usuario o que hayan sido preaprovisionadas por la aplicación web. La aplicación podría otorgar al agente de usuario la capacidad de generar una nueva clave o reutilizar una existente en caso de que el usuario no tenga una clave asociada a su cuenta. Al vincular este proceso con la Seguridad de la capa de transporte (TLS) mediante la cual el usuario se autentica, el proceso de autenticación multifactor se puede reforzar aún más mediante la derivación de una clave basada en el transporte subyacente. ^{[ 1 ] [ 2 ]}

La API se puede utilizar para proteger documentos sensibles o confidenciales del acceso no autorizado desde una aplicación web, incluso si se han recibido previamente de forma segura. La aplicación web utilizaría la API de criptografía web para cifrar el documento con una clave secreta y, a continuación, lo encapsularía con claves públicas asociadas a los usuarios autorizados a verlo. Al acceder a la aplicación web, el usuario autorizado recibiría el documento cifrado y se le indicaría que utilizara su clave privada para iniciar el proceso de desencriptación, lo que le permitiría descifrarlo y visualizarlo. ^{[ 2 ]}

Muchas empresas y particulares dependen del almacenamiento en la nube . Para mayor protección, los proveedores de servicios remotos podrían querer que su aplicación web permita a los usuarios proteger sus documentos confidenciales antes de subirlos, así como otros datos. La API de criptografía web permitiría a los usuarios:

• Seleccione una clave privada o secreta.
• Si lo desean, pueden derivar una clave de cifrado a partir de su clave.
• Encriptar su documento/datos
• Cargar su documento/datos cifrados utilizando las API existentes del proveedor de servicios ^{[ 2 ]}

La posibilidad de firmar documentos electrónicamente ahorra tiempo, mejora la seguridad de los documentos importantes y puede servir como prueba legal de la aceptación del documento por parte del usuario. Muchas aplicaciones web optan por aceptar firmas electrónicas en lugar de requerir firmas manuscritas. Con la API de criptografía web, se le solicitaría al usuario que eligiera una clave que podría generarse o preconfigurarse específicamente para la aplicación web. Esta clave se utilizaría durante el proceso de firma.

Las aplicaciones web suelen almacenar datos en caché localmente, lo que expone dichos datos al riesgo de ser vulnerados en caso de un ataque sin conexión. La API de criptografía web permite que la aplicación web utilice una clave pública desplegada internamente para verificar la integridad de la caché de datos. ^{[ 2 ]}

La API de criptografía web puede mejorar la seguridad de la mensajería para su uso en esquemas de firma de mensajes fuera de registro (OTR) y otros tipos de esquemas mediante el uso de un acuerdo de claves. El remitente y el destinatario del mensaje negociarían claves compartidas de cifrado y código de autenticación de mensajes (MAC) para cifrar y descifrar los mensajes y evitar el acceso no autorizado. ^{[ 2 ]}

La API de criptografía web puede ser utilizada por aplicaciones web para interactuar con formatos y estructuras de mensajes definidos por el Grupo de Trabajo JOSE. ^{[ 4 ]} La aplicación puede leer e importar claves de firma web JSON (JWK), validar mensajes protegidos mediante firma electrónica o claves MAC y descifrar mensajes JWE.