Supporto U2F senza l'estensione U2F Chrome

Question

Ho iniziato a trafficare con U2F e sembra davvero promettente. Mi sono procurato alcune chiavi di sicurezza e ho iniziato a scavare dentro. Sono riuscito a creare un sito web demo/login demo funzionante che funziona bene usando i token U2F e l'estensione U2F Chrome.

Tuttavia ... ed è qui che nasce la mia domanda: ho anche iscritta una chiave di sicurezza per il mio account Google e subito si colpiti dal fatto che funziona senza utilizzare l'estensione U2F Chrome. In effetti, ho eseguito tutte le iscrizioni e i login di Google senza nemmeno aver installato l'estensione. Com'è possibile? Ho letto (alcune delle) specifiche FIDO e ho visto che potrebbero esserci due livelli API: alto - che è lo spazio dei nomi u2f esposto dall'estensione e - e basso - che implica l'utilizzo dell'API MessagePort. Forse è così che lo fa Google? (anche provato a fare un chrome.runtime.connect (...) me stesso, ma l'oggetto chrome.runtime non è definito nella mia pagina web)

Qualsiasi puntatore nella direzione corretta sarebbe apprezzato e di grande valore in questo momento , poiché non ci sono molte risorse disponibili su questo giovane progetto chiamato U2F.

Answer 1

Chrome è un elenco bianco dei domini di Google. I domini diversi da Google devono utilizzare l'estensione per ora. Tuttavia, questo cambierà "molto presto" secondo Google - questo è documentato here e citato da uno sviluppatore Google in this webinar.

Edit: L'estensione non è più necessario con Chrome 41. È possibile verificare il lavoro svolto here (Nota: quando si accede da e vecchia versione di Chrome, o no tramite HTTPS, il sito ricadrà utilizzando l'estensione).