KAYAK がパスキーでログインにかかる時間を 50% 短縮し、セキュリティを改善した方法を紹介

override fun createCredential(request: CreateCredentialRequest, activity: Activity): Single<CreateCredentialResponse> {
   return Single.create { emitter ->
       // 認証情報作成フローを起動
       credentialManager.createCredentialAsync(
           request = request,
           activity = activity,
           cancellationSignal = null,
           executor = Executors.newSingleThreadExecutor(),
           callback = object : CredentialManagerCallback<CreateCredentialResponse, CreateCredentialException> {
               override fun onResult(result: CreateCredentialResponse) {
                   emitter.onSuccess(result)
               }
 
               override fun onError(e: CreateCredentialException) {
                   emitter.tryOnError(e)
               }
           }
       )
   }
}

webAuthnRetrofitService
  .getClientParams(username = /** email address **/)
  .flatMap { response ->
      // ワンタイム チャレンジを含むクライアント パラメータからパスキー リクエストを生成する
      CreatePublicKeyCredentialOption(/** レスポンスから JSON を生成する **/)
  }
  .subscribeOn(schedulers.io())
  .flatMap { request ->
      // 認証情報マネージャー UI を起動する定義済みラッパーを呼び出し、
      // 新しいパスキー認証情報を登録する
      credentialManagerRepository
      .createCredential(
           request = request,
           activity = activity
       )
  }
  .flatMap {
     // 認証情報を認証サーバーに送信する
  }
  .observeOn(schedulers.main())
  .subscribe(
      { /** ログイン成功処理、UI の更新など **/ },
      { /** エラー処理、ロガーへの送信 **/ }
  )

Single.fromSupplier<GetPublicKeyCredentialOption> {
  GetPublicKeyCredentialOption(/** フェッチ済みのチャレンジと RP ID を挿入する **/)
}
  .flatMap { response ->
      // パスキー リクエストを生成する
      GetPublicKeyCredentialOption(response.toGetPublicKeyCredentialOptionRequest())
  }
  .subscribeOn(schedulers.io())
  .map {  publicKeyCredentialOption ->
    // パスキー リクエストとその他の必要なオプションをマージする。
    // Google ログインや保存済みパスワードなど。
  }
  .flatMap { request ->
    // 認証マネージャー システム UI をトリガーする
    credentialManagerRepository.getCredential(
      request = request,
      activity = activity
    )
  }
  .onErrorResumeNext { throwable ->
      // 「Google でログイン」を提供する場合、まずアプリで既に使用されている
      //  Google アカウントのみを探すことが推奨される。Google アカウント、パスキー、
      // 保存済みパスワードがない場合は、もう一度 Google ログインを探す。
      if (throwable is NoCredentialException) {
        return@onErrorResumeNext credentialManagerRepository.getCredential(
          request = GetCredentialRequest(/* filterByAuthorizedOnly = false の Google ID */),
          activity = activity
        )
      }
    Single.error(throwable)
  }
  .flatMapCompletable {
    // ステップ 1: Retrofit サービスを使って認証情報をサーバーに送信して検証する。
    // サーバーを待機する処理は、subscribeOn(schedulers.io()) を使って IO スレッドで行う。
    // ステップ 2: UI に結果を表示する。この処理には、プロフィール写真の読み込み、
    // パーソナライズされたメッセージの更新、メンバー専用エリアの有効化、
    // ログイン ダイアログの非表示などの変更が含まれる。ステップ 2 の処理はメインスレッドで実行する。
  }
  .observeOn(schedulers.main())
  .subscribe(
    // ログ収集サービスへの送信などのエラー処理。 
    // ユーザーに表示する例外のサブセットも有用な可能性がある。
    // たとえば、ユーザーの設定の問題など。 
    // よくあるエラーのトラブルシューティングは以下を参照。
    // https://developer.android.com/training/sign-in/passkeys#troubleshoot
  )

fun WebAuthnClientParamsResponse.toCreateCredentialRequest(): String {
        val credentialRequest = WebAuthnCreateCredentialRequest(
            challenge = this.challenge!!.asSafeBase64,
            relayingParty = this.relayingParty!!,
            pubKeyCredParams = this.pubKeyCredParams!!,
            userEntity = WebAuthnUserEntity(
              id = this.userEntity!!.id.asSafeBase64,
                   name = this.userEntity.name,
                   displayName = this.userEntity.displayName
            ),
            authenticatorSelection = WebAuthnAuthenticatorSelection(
                  authenticatorAttachment = "platform",
                  residentKey = "preferred"
             ),
            // ここで既存の認証情報を設定することで、同じキーチェーンや
            // パスワード マネージャーで複数のパスキーが作成されることを防ぐ
            excludeCredentials = this.allowedCredentials!!.map { it.copy(id = it.id.asSafeBase64) },
        )
        return GsonBuilder().disableHtmlEscaping().create().toJson(credentialRequest)
}

var registrationOptions = {
   'publicKey': {
       'challenge': self.base64ToArrayBuffer(data.challenge),
       'rp': data.rp,
       'user': {
           'id': new TextEncoder().encode(data.user.id),
           'name': data.user.name,
           'displayName': data.user.displayName
       },
       'pubKeyCredParams': data.pubKeyCredParams,
       'authenticatorSelection': {
           'residentKey': 'required'
       }
   }
};
 
if (data.allowCredentials && data.allowCredentials.length > 0) {
   var excludeCredentials = [];
   for (var i = 0; i < data.allowCredentials.length; i++) {
       excludeCredentials.push({
           'id': self.base64ToArrayBuffer(data.allowCredentials[i].id),
           'type': data.allowCredentials[i].type
       });
   }
   registrationOptions.publicKey.excludeCredentials = excludeCredentials;
}
 
navigator.credentials.create(registrationOptions);