安全 - W3C中国

W3C 发布 Web 身份验证 API 第二版规范的候选推荐标准

20202212月

2020年12月22日，W3C Web 身份验证工作组（Web Authentication Working Group）发布 Web 身份验证 API 第二版（Web Authentication: An API for accessing Public Key Credentials Level 2）规范的候选推荐标准（Candidate Recommendation）。该规范定义了一个 API，允许通过 Web 应用创建并使用强大的、经过认证的、作用域内的、基于公钥的凭证，从而对用户进行强身份认证。从概念上讲，每个作用于给定 WebAuthn 依赖方的一个或多个公钥凭证，由 Web 应用程序请求创建并绑定到身份验证器（authenticator）。用户代理（如浏览器等）调节对身份验证器及其公钥凭证的访问，以保护用户隐私。验证器有责任确保在未经用户许可的情况下不进行任何操作。验证器可以通过认证证书（attestation）向信任（依赖）方提供其属性的加密证明。该规范还描述了 WebAuthn 符合验证器的功能模型，包括其签名和认证证书功能。

欢迎公众于2021年1月19日前反馈对文档的意见与建议。更多内容，请参阅消息原文。

W3C 启动为商户提升 Web 能力的计划

20202810月

megaphone 2020年10月21日消息：W3C 宣布启动商户业务组（Merchant Business Group）。这将是一个开放平台，旨在利用 Web 技术解决客户体验与业务需求方面的挑战。商家、集成商、平台提供方等将在此探讨新兴 Web 技术如何协助解决用户体验方面的挑战，以及还需要哪些其他的 Web 功能。小组为参与者提供了可以直接从建设 Web 体验的组织了解关于 Web 标准趋势如何影响（和改善）电子商务的机会。Worldpay、Fiserv、Coles Supermarket Group、Connexus 是最先一批加入小组的成员。

W3C 业务组为希望对 Web 近期发展产生影响的创新者提供了一个中立的平台，志同道合的利益相关方都可以在这里开展交流与协作，这不仅包括 W3C 会员同时也包括非会员（非会员单位亦可参与业务组的讨论）。更多内容，参见消息原文，或官方新闻稿（中文、英文）。

W3C 发布分散式标识符（DID）的用例与需求文档

20192811月

2019年11月28日，W3C 分散式标识符工作组（Decentralized Identifier Working Group）发布分散式标识符用例与需求文档（Use Cases and Requirements for Decentralized Identifiers）的首个公开工作草案（First Public Working Draft）。该文档阐释了一种新型标识符的用例和需求，这种标识符具有以下四个基本特征：

分散性：不应有中央注册机构
持久性：标识符应具备固有的持久性，不需要底层组织的连续操作
可加密验证：能够以加密方式验证标识符的所有权
可解析性：应该可以发现关于标识符的元数据

尽管现有的标识符可能展现出以上某些特征，但都无法展现以上全部特征。

更多内容，请参阅消息原文。

W3C 发布分散式标识符（DID）规范的首个公开工作草案

2019811月

2019年11月7日，W3C 分散式标识符工作组（Decentralized Identifier Working Group）发布分散式标识符：核心数据模型和语法（Decentralized Identifiers (DIDs) v1.0）规范的首个公开工作草案（First Public Working Draft）。分散式标识符（DIDs）是用于可验证的去中心化数字身份的一种新型标识符。这些新的标识符旨在使 DID 的控制器能够证明对它的控制，并且可以独立于任何集中注册表、身份提供者或证书认证机构而实施。 DIDs 是通过 DID 文档的方式将 DID 主题（DID subject）和与之进行可信交互的方法联系起来的 URLs。DID 文档（DID document）是描述如何使用特定 DID 的简单文档。每个 DID 文档都可以表示加密材料、验证方法和/或服务端点（service endpoint）。这些提供了一组使 DID 控制器（DID controller）能够证明对 DID 控制的机制。服务端点实现了与 DID 主题的可信交互。

这份规范为 DIDs、DID 文档以及 DID 方法指定了一个通用数据模型、一个 URL 格式以及一组操作。

W3C 发布可验证凭证数据模型提案推荐标准征集审阅意见

201959月

2019年9月5日，W3C 可验证声明工作组（Verifiable Claims Working Group）发布可验证凭证数据模型（Verifiable Credentials Data Model 1.0）提案推荐标准（Proposed Recommendation）并征集审阅意见（Call for Review）。凭证（credential）是我们日常生活的一部分；驾照用于证明我们可以驾驶机动车辆，学位证书表明我们的受教育程度，由政府签发的护照则用于证明持有者的身份。这份规范以一种加密安全的、尊重隐私且机器可验证的方式，提供了一种在 Web 上表现这些凭证的机制。

欢迎公众于2019年10月3日前，提交对该文档的审阅意见。更多内容，请参阅消息原文。

W3C 更新追踪上下文候选推荐标准征集参考实现

2019138月

2019年8月13日，W3C 分布式追踪工作组（Distributed Tracing Working Group）更新追踪上下文（Trace Context）候选推荐标准（Candidate Recommendation），并征集参考实现（Call for Implementations）。该规范定义了标准的 HTTP 标头和值格式，以传送支持分布式追踪场景的上下文信息。该规范对如何在服务之间发送和修改上下文信息进行了标准化。上下文信息对分布式系统中的各个请求进行唯一标识，并且还定义了一种添加和传送特定上下文信息的方法。

欢迎于2019年9月9日之前，反馈对该规范文档的意见或建议。更多内容，请参阅消息原文。

W3C 更新可验证凭证数据模型候选推荐标准

2019257月

2019年7月25日，W3C 可验证声明工作组（Verifiable Claims Working Group）更新可验证凭证数据模型（Verifiable Credentials Data Model 1.0）候选推荐标准（Candidate Recommendation）并征集参考实现（Call for Implementations）。凭证（credential）是我们日常生活的一部分；驾照用于证明我们可以驾驶机动车辆，学位证书表明我们的受教育程度，由政府签发的护照则用于证明持有者的身份。这份规范以一种加密安全的、尊重隐私且机器可验证的方式，提供了一种在 Web 上表现这些凭证的机制。

更多内容，请参阅消息原文。

W3C 发布 Fetch Metadata Request Headers 规范的首个公开工作草案

2019276月

2019年6月27日，W3C Web 应用安全工作组（Web Application Security Working Group）发布 Fetch Metadata Request Headers 规范的首个公开工作草案（First Public Working Draft）。该文档定义了一组 Fetch 元数据请求头，目的是为服务器提供足够的信息，以便根据请求的生成方式以及使用的上下文预先决定是否为请求提供服务。欢迎通过 GitHub 或小组公开邮件列表关注并参与相关话题讨论。

更多内容，请参阅消息原文。

W3C 发布 Web 认证 API 第二版规范的首个公开工作草案

201946月

2019年6月4日，W3C Web 认证工作组（Web Authentication Working Group）发布 Web 认证 API 第二版（Web Authentication: An API for accessing Public Key Credentials Level 2）规范的首个公开工作草案（First Public Working Draft）。该规范定义了一个 API，允许通过 Web 应用创建并使用强大的、经过认证的、作用域内的、基于公钥的凭证，从而对用户进行强认证。从概念上讲，每个作用于给定 WebAuthn 依赖方的一个或多个公钥凭证，由 Web 应用程序请求创建并绑定到身份验证器（authenticator）。用户代理（如浏览器等）调节对身份验证器及其公钥凭证的访问，以保护用户隐私。验证器有责任确保在未经用户许可的情况下不进行任何操作。验证器可以通过认证证书（attestation）向信任（依赖）方提供其属性的加密证明。该规范还描述了 WebAuthn 符合验证器的功能模型，包括其签名和认证证书功能。

更多内容，请参阅消息原文。

EMVCo、FIDO 联盟与 W3C 联合成立 Web 支付安全兴趣组提升 Web 支付的安全性与互操作性

2019174月

2019年4月17日，FIDO 联盟、EMVCo 与 W3C 共同宣布联合成立 Web 支付安全兴趣组（Web Payment Security Interest Group），提升 Web 支付的安全性与互操作性。该兴趣组的参与成员将定义潜在合作领域、识别现有技术规范间的差距，以增强不同技术之间的兼容性。Web 支付安全兴趣组的小组 [章程] 定义了该组的工作范围，包括构建 Web 支付安全的愿景、开发用例、分析差距、与其他组织的沟通合作、以及进一步探索各组织的标准化机会。兴趣组不会交付正式规范（标准）文档。具体的技术工作将在各组织的相关标准化小组内进行，具体涉及 FIDO2 技术工作组、W3C Web 支付工作组、EMVCo 的工作小组等。

更多内容，请参阅消息原文，及 W3C、FIDO、EMVCo 联合发布的官方新闻通稿（中文、英文）。

W3C 发布 Feature Policy 规范的首个公开工作草案

2019164月

2019年4月16日，W3C Web 应用安全工作组（Web Application Security Working Group）发布特性策略（Feature Policy）规范的首个公开工作草案（First Public Working Draft）。该规范定义了一种机制，允许开发人员选择性地启用和禁止各种浏览器特性和 API，来更好地确保站点的安全性和隐私性。

W3C 发布可验证凭证数据模型1.0 候选推荐标准征集参考实现

2019283月

2019年3月28日，W3C 可验证声明工作组（Verifiable Claims Working Group）发布可验证凭证数据模型（Verifiable Credentials Data Model 1.0）候选推荐标准（Candidate Recommendation）并征集参考实现（Call for Implementations）。凭证是我们日常生活的一部分；驾照用于证明我们可以驾驶机动车辆，学位证书表明我们的受教育程度，由政府签发的护照则用于证明持有者的身份。这份规范以一种加密的、安全的、尊重隐私且可机器验证的方式，提供了一种在 Web 上表现这些凭证的机制。