Openkey PoC ④ — WebAuthn PRF で保管庫鍵(VK)をラップする

1. 環境チェック

チェック

—

2. パスキーを登録（PRF 拡張を要求）

仕様 7.1：residentKey: required, userVerification: required, PRF 拡張。 PRF 非対応なら仕様どおり登録拒否と判断します。

パスキーを登録

—

3. VK を生成して PRF でラップ

ブラウザ内で VK（32B）を生成 → PRF 出力を HKDF に通して AES-256-GCM 鍵を作り、VK を暗号化。 暗号文だけを localStorage に置きます（＝サーバーへ送るのはこれだけ）。

VK を生成してラップ

—

4. 別セッションを模して VK を復元

VK をメモリから破棄し、パスキー認証をやり直して暗号文から復元します。

VK を復元

—

5. 別 salt では復元できないこと（鍵分離の確認）

別 salt で試す

—

6. PoC ⑤ 照合 — ネイティブアプリと同じ PRF 出力になるか

ネイティブ（AuthenticationServices）で登録した同じパスキーに、同じ salt を渡します。 ここが一致すれば、ブラウザで作った保管庫をアプリだけで開けることになり、 VK を JavaScript に触れさせない設計が成立します。

生の PRF 出力を表示

—