Chiavi di sicurezza hardware FIDO2: cosa proteggono e quale ruolo svolgono

Una chiave FIDO2 può offrire un accesso resistente al phishing per gli account compatibili, ma è solo una parte di un piano di sicurezza delle identità, non una soluzione per ogni possibile via di accesso a un’organizzazione.

Cosa fa una chiave FIDO2

Una chiave di sicurezza hardware FIDO2 è un piccolo dispositivo usato per dimostrare il possesso di un autenticatore registrato al momento dell’accesso. FIDO2 combina lo standard Web Authentication (WebAuthn), utilizzato da siti web e applicazioni, con il Client to Authenticator Protocol (CTAP), che consente a un browser o a un dispositivo di comunicare con un autenticatore. A seconda del modello, la chiave può collegarsi tramite USB, NFC o Bluetooth.

Durante la registrazione, la chiave crea una coppia di chiavi pubblica e privata per uno specifico servizio. Il servizio memorizza la chiave pubblica; quella privata rimane sull’autenticatore. Al momento dell’accesso, il servizio invia una richiesta di autenticazione e la chiave la firma dopo che l’utente compie l’azione richiesta, ad esempio toccare il dispositivo o inserire un PIN. Un PIN o una verifica biometrica possono verificare l’utente localmente senza inviare quel segreto al servizio.

Perché il metodo di accesso è importante

Le credenziali FIDO2 sono associate al sito web o all’applicazione che le ha registrate. Questo aiuta a contrastare i comuni tentativi di phishing: un sito web contraffatto non dovrebbe ricevere una risposta valida per il dominio del servizio reale. È diverso da un codice monouso, che una persona può essere indotta a inserire in un sito falso.

Questa protezione si applica solo nei casi in cui FIDO2 è supportato e configurato correttamente. Non dimostra che un servizio, un endpoint o una rete siano sicuri sotto ogni altro aspetto. Un cookie di sessione rubato, un dispositivo compromesso, una procedura debole di recupero dell’account o un aggressore che utilizza un account già autorizzato possono comportare rischi distinti. Nell’analisi di un incidente, i registri degli accessi con chiave hardware possono essere un elemento utile per verificare le attività relative alle identità, ma da soli non confermano né escludono l’accesso ai dati o la compromissione dei sistemi.

Specifiche e compatibilità da verificare

Iniziate dai servizi e dai dispositivi che devono supportare la chiave. Verificate se ciascun sistema di accesso accetta FIDO2/WebAuthn e se consente l’uso di chiavi di sicurezza per i tipi di account pertinenti. Controllate le opzioni di connettore: USB-A e USB-C sono adatti a dispositivi diversi, mentre NFC può essere utile con i telefoni compatibili. Il Bluetooth non è universale e può essere limitato dalle politiche dell’organizzazione.

Verificate anche che la chiave supporti il metodo di autenticazione richiesto, ad esempio un PIN del dispositivo, e se l’organizzazione necessita di amministrazione centralizzata o di attestazioni sulle caratteristiche delle chiavi. Il supporto degli standard non garantisce che ogni applicazione supporti tutte le funzionalità. Prima di una distribuzione più ampia, testate la registrazione, gli accessi quotidiani e il recupero sugli effettivi browser, sistemi operativi e provider di identità.

Registrazione, recupero e uso quotidiano

Registrate le chiavi tramite le impostazioni dell’account approvate dall’organizzazione o la procedura di gestione delle identità. Se le politiche lo consentono, registrate almeno una chiave di riserva e conservatela separatamente in un luogo sicuro. Documentate chi può autorizzare la sostituzione, come revocare una chiave smarrita e come ripristinare l’accesso se la chiave e il dispositivo principale non sono disponibili. Le modalità di recupero meritano particolare attenzione: una chiave robusta può essere vanificata se un aggressore può aggirarla attraverso una procedura debole del servizio di assistenza o un metodo alternativo non protetto.

Gli utenti dovrebbero tenere la chiave sotto il proprio controllo, evitare di condividerla e seguire le istruzioni solo sul servizio previsto. Un tocco conferma un’azione, ma non consente di verificare se l’azione sia legittima. Gli amministratori dovrebbero riesaminare le politiche di registrazione e di accesso, proteggere i canali di recupero degli account e conservare registri di autenticazione adeguati.

Limiti e manutenzione

Le chiavi possono essere smarrite, danneggiate o dimenticate, e i sistemi meno recenti potrebbero non accettarle. Mantenete una procedura di sostituzione verificata, rimuovete tempestivamente le credenziali delle chiavi smarrite e controllate periodicamente che le chiavi di riserva e le procedure di recupero funzionino ancora. Non date per scontato che la sola distribuzione delle chiavi protegga l’accesso remoto o gli account di terze parti: questi percorsi richiedono controlli degli accessi, monitoraggio e verifiche dedicati. Il valore pratico di FIDO2 deriva dalla combinazione di servizi compatibili, registrazione attenta, procedure di recupero affidabili e una solida gestione delle identità.