CTAP, il Client to Authenticator Protocol, è il canale di messaggistica che consente a browser, app e sistemi operativi di comunicare con autenticatore hardware come chiavi di sicurezza e credenziali di piattaforma integrate. Fa parte dell'ecosistema FIDO ed è comunemente usato insieme a WebAuthn, che definisce come i siti web richiedono l'autenticazione mentre CTAP definisce come il client comunica con l'autenticatore.
In ambito sicurezza, CTAP è importante perché aiuta a imporre accessi resistenti al phishing e flussi di consenso dell'utente. Un browser può richiedere una sfida crittografica, e la chiave può richiedere un tocco, un PIN o un'altra conferma locale prima di firmare. Gli aggressori possono provare a sfruttare integrazioni client deboli, furto di sessione o una progettazione scadente dell'approvazione, ma i flussi basati su CTAP rendono molto più difficile il riutilizzo delle credenziali rispetto alle password o ai codici monouso. I difensori lo usano per l'accesso forte, l'autenticazione step-up e le approvazioni con supporto hardware quando un'azione richiede un consenso esplicito dell'utente.