Chiavi di sicurezza FIDO2: a cosa servono e cosa verificare

Una chiave FIDO2 può dimostrare che una richiesta di accesso proviene dal sito web o dal servizio autentico, utilizzando credenziali crittografiche anziché un codice password riutilizzabile. La protezione dipende dal supporto dell’account, da una registrazione accurata e da un piano di recupero praticabile.

Che cos’è una chiave FIDO2

FIDO2 è un insieme di standard per l’accesso senza password e l’autenticazione a più fattori. Una chiave di sicurezza è un piccolo dispositivo di autenticazione hardware che può creare e conservare credenziali crittografiche. Durante la configurazione dell’account, crea una coppia di chiavi per quel servizio: una chiave privata, conservata dal dispositivo di autenticazione, e una chiave pubblica, registrata presso il servizio. Al momento dell’accesso, il servizio invia una sfida e la chiave la firma. Il servizio verifica la firma con la chiave pubblica.

La chiave privata non viene inviata al sito web. FIDO2 utilizza comunemente WebAuthn in un browser o in un’app compatibile, mentre il dispositivo di autenticazione comunica tramite standard come CTAP. È diverso da una chiave che mostra soltanto un codice monouso: il codice potrebbe essere inserito in un sito contraffatto ma convincente, mentre una credenziale WebAuthn è associata all’origine del sito web legittimo.

Come funziona l’accesso

L’utente collega o tocca la chiave quando richiesto. A seconda della sua progettazione e dei requisiti dell’account, la chiave può richiedere anche un PIN locale o un tocco. Questi passaggi possono dimostrare che il dispositivo di autenticazione è presente e, quando richiesto, che l’utente ha approvato l’operazione. Il PIN viene verificato localmente dal dispositivo di autenticazione; non è la password dell’account.

Il supporto FIDO2 non è universale. Il servizio deve offrire l’accesso compatibile con le chiavi di sicurezza e il browser, il dispositivo e il metodo di connessione della chiave devono funzionare insieme. Alcuni account usano la chiave come secondo fattore dopo una password; altri consentono l’accesso senza password. Verifica i metodi supportati dal servizio prima di scegliere una chiave.

Specifiche e compatibilità da verificare

• Standard: Cerca il supporto FIDO2/WebAuthn e, se necessario, la compatibilità con i servizi più datati basati su U2F.
• Connessioni: USB-A, USB-C, NFC o altre interfacce supportate determinano il funzionamento della chiave con computer e telefoni. Verifica i dispositivi e le porte specifici che usi.
• Verifica locale: Alcune chiavi supportano la verifica dell’utente tramite PIN; altre offrono opzioni aggiuntive. Verifica i requisiti del servizio e le funzionalità della chiave.
• Resistenza e formato: Valuta se il connettore, il rivestimento e il punto di aggancio sono adatti al trasporto quotidiano. Una chiave che si perde spesso non è una scelta adatta, indipendentemente dalla sua crittografia.

Le funzionalità variano da un prodotto all’altro, quindi confronta le capacità documentate anziché presumere che tutte le chiavi FIDO2 funzionino allo stesso modo.

Configurazione, backup e recupero

Registra la chiave nelle impostazioni di sicurezza dell’account, seguendo le istruzioni del servizio. Se possibile, registra una seconda chiave e conservala separatamente in un luogo sicuro. Una chiave di riserva può essere utile se quella principale viene persa o danneggiata, ma deve essere registrata prima di un’emergenza. Configura anche le opzioni di recupero del servizio e comprendine i rischi: il recupero dell’account potrebbe essere meno sicuro dell’accesso basato sulla chiave.

Tieni traccia degli account presso i quali è registrata ciascuna chiave, senza annotare i PIN segreti insieme alla chiave. Se una chiave scompare, usa un dispositivo attendibile per rimuoverla dagli account pertinenti, quindi controlla le opzioni di recupero e l’attività di accesso.

Limiti ed errori comuni

Una chiave di sicurezza non protegge un account presso il quale non è stata registrata e non può correggere un recupero dell’account debole, dispositivi compromessi o pratiche amministrative non sicure. Inoltre, non dimostra che un utente sia in grado di riconoscere ogni messaggio ingannevole. Il suo principale vantaggio è rendere molto più difficile un particolare tipo di riutilizzo delle credenziali o di accesso tramite un sito contraffatto, quando il servizio e il browser applicano correttamente i controlli sull’origine, non eliminare in generale il phishing o i rischi per gli account.

Tra gli errori comuni rientrano acquistare una chiave senza prima verificarne la compatibilità con i dispositivi, registrare una sola chiave, dimenticare di provare quella di riserva e presumere che tutti i servizi accettino chiavi hardware. Prova l’accesso e il recupero sui dispositivi da cui dipendi e mantieni il firmware e l’uso della chiave conformi alle istruzioni del produttore.