Passkeys: Sono pronti per l'uso aziendale?

Questo blog è stato pubblicato per la prima volta nel 2024 ed è stato aggiornato. 

Le passkey stanno diventando sempre più diffuse grazie a servizi rivolti ai consumatori come Google, Apple, Facebook, Meta e altri. L'uso delle passkey aumenta notevolmente la sicurezza rispetto agli accessi tradizionali basati su password o all'autenticazione a più fattori (MFA) senza password.

È normale che alcune soluzioni per i consumatori si riversino nell'uso professionale: basti pensare alla possibilità di inviare reazioni emoji alle e-mail. Ma solo perché Instagram mi permette di accedere usando una chiave d'accesso, significa che le aziende dovrebbero farlo?

In breve: i passkeys sono pronti per l'uso aziendale?

Il Alleanza FIDO è stato fondato nel 2013 da diverse aziende per sviluppare uno standard di autenticazione che fungesse da secondo fattore; oggi, FIDO può servire come metodo di autenticazione forte senza password.

Dal 2013, FIDO è diventato uno dei metodi di accesso senza password più diffusi, in gran parte perché mantiene la promessa insita nell’acronimo che ne costituisce il nome: garantisce un’identificazione online rapida. L’Alleanza FIDO è fortemente orientata al settore consumer. Non c’è da stupirsi, dato che i suoi membri più importanti operano proprio in questo settore: Apple, Google, PayPal e Microsoft. RSA è membro dell'Alleanza FIDO e ne è copresidente del gruppo di lavoro sull'implementazione aziendale.

Le credenziali FIDO utilizzano coppie di chiavi asimmetriche per autenticarsi in un servizio. Quando una credenziale FIDO viene registrata con un servizio, viene generata una nuova coppia di chiavi sull'autenticatore FIDO e il servizio si affida a quella coppia di chiavi, e solo a quella. La coppia di chiavi è collegata all'esatto nome di dominio del servizio.

È proprio questa stretta corrispondenza tra un servizio e una credenziale FIDO a garantire un elevato livello di resistenza al phishing: se un utente tentasse di accedere a un sito di phishing fasullo utilizzando la passkey creata per il sito autentico, l'operazione fallirebbe perché il dominio indicato non corrisponderebbe alla credenziale.

Nel 2022, Apple, Google e Microsoft hanno lanciato il supporto per un nuovo tipo di credenziale FIDO, che hanno chiamato "credenziale FIDO". passkey. Nel 2023, la FIDO Alliance ha adottato il termine "passkey" per qualsiasi tipo di credenziale FIDO, il che porta a una potenziale confusione su ciò che un'organizzazione intende esattamente quando parla di "passkey".

Questa possibile ambiguità è stata affrontata da FIDO Alliance (vedi sotto), ma potrebbe ancora esistere nelle organizzazioni. È importante affrontare questa ambiguità, perché non tutti i passepartout sono uguali o adatti all'uso aziendale.

Tipi di passepartout

Esistono ora due tipi di chiavi d'accesso, come definito da FIDO Alliance: legate al dispositivo e sincronizzate.

Chiavi d'accesso legate al dispositivo e chiavi d'accesso sincronizzate

Le passkey legate al dispositivo sono generalmente ospitate su specifici dispositivi denominati “chiavi di sicurezza”. Questo tipo di passkey è generalmente considerato più sicuro poiché la chiave privata non esce mai dal dispositivo, rendendola resistente all’estrazione o alla compromissione da remoto.

Tuttavia, ciò significa anche che, in caso di smarrimento o danneggiamento del dispositivo, l’utente dovrebbe registrare una nuova passkey su un nuovo dispositivo. Le passkey legate al dispositivo sono particolarmente apprezzate in ambienti ad alta sicurezza e in contesti aziendali, dove spesso si ricorre a dispositivi hardware quali chiavi di sicurezza o Trusted Platform Module (TPM).

Le passkey associate al dispositivo sono ora supportate anche in alcune applicazioni mobili, come l'app RSA Authenticator per iOS e Android.

Tasti di accesso sincronizzati

Con le passkey sincronizzate, il materiale della chiave viene salvato tramite una cosiddetta “struttura di sincronizzazione remota” e può quindi essere ripristinato su qualsiasi altro dispositivo di proprietà dello stesso utente. Le principali strutture di sincronizzazione attualmente disponibili sono Microsoft, Google e Apple. Ciò significa che, se registrassi il tuo telefono Android come passkey, il materiale delle chiavi corrispondente verrebbe archiviato da Google e sarebbe quindi disponibile su tutti i tuoi altri dispositivi Android poco dopo.

Le chiavi di accesso sincronizzate, oltre ad avere il supporto di servizi molto diffusi come WhatsApp o Facebook, sono il motivo principale del forte aumento dell'uso generale delle chiavi di accesso. È facile capire perché: un utente con molti account e molti dispositivi può utilizzare la stessa passkey sincronizzata tra tutti.

Le passkey sostituiscono le password tradizionali con coppie di chiavi crittografiche, garantendo un’autenticazione sicura e resistente al phishing. Quando un utente si registra a un servizio, il suo dispositivo genera una coppia unica di chiavi pubblica-privata. La chiave privata rimane archiviata in modo sicuro sul dispositivo dell’utente, mentre la chiave pubblica viene condivisa con il servizio. Durante l’autenticazione, il dispositivo dimostra di essere in possesso della chiave privata firmando una richiesta di verifica inviata dal servizio; la firma viene poi verificata utilizzando la chiave pubblica memorizzata. Non vengono trasmessi segreti condivisi, né vengono create o memorizzate password, riducendo drasticamente il rischio di furto delle credenziali o di attacchi di replay.

Le password tradizionali si basano su segreti condivisi che possono essere indovinati, rubati o falsificati, il che le rende un punto di ingresso comune per gli aggressori. Spesso vengono riutilizzate tra i vari account, sono archiviate in modo insicuro e sono vulnerabili agli attacchi di tipo brute-force o credential stuffing.

Le passkey eliminano questi rischi sostituendo le password con la crittografia a chiave pubblica-privata. L'autenticazione avviene dimostrando il possesso di quella chiave, senza trasmetterla. Questo approccio rende obsoleti i vettori di attacco più comuni, tra cui il phishing, il furto di credenziali e il riutilizzo delle password. Per le organizzazioni, le passkey rappresentano un passo avanti nell'autenticazione sicura, riducendo al contempo l'onere legato alla reimpostazione delle password e alle richieste di assistenza.

• Resistente al phishing: I Passkey sono progettati per prevenire gli attacchi di phishing tradizionali. Non essendoci una password, non c'è nulla da rubare o riutilizzare.
• Veloce e conveniente: L'accesso con una chiave d'accesso è spesso semplice come l'uso della biometria (come Face ID o l'impronta digitale), rendendo l'esperienza più fluida per gli utenti.
• Esperienza utente familiare: I login Passkey assomigliano ai comuni modelli di autenticazione mobile, quindi la curva di apprendimento è minima.
• Sicurezza della corrispondenza dei domini: I passkeys offrono un ulteriore livello di protezione, garantendo che la chiave materiale funzioni solo con il dominio di servizio originale, un vantaggio che non tutti i metodi MFA offrono.
• Approvato dal governo: Negli Stati Uniti, la resistenza al phishing è uno dei principali fattori alla base dei mandati federali. Ordine esecutivo 14028 richiede un'autenticazione senza password e resistente al phishing per proteggere le infrastrutture critiche.

Se da un lato i passkeys offrono notevoli vantaggi, dall'altro comportano alcune sfide e problemi significativi.

• Esperienza utente: Le richieste relative alla chiave di sicurezza, come ad esempio quelle che invitano a inserire la chiave di sicurezza nella porta USB o a digitare il PIN, possono presentarsi in modo diverso a seconda del sistema operativo e del browser. Tali richieste potrebbero rendere più difficile la formazione degli utenti e aumentare il numero di richieste di assistenza.
• Distrazione causata da altri attacchi: Chiunque pensi che l’uso delle passkey lo renda improvvisamente immune al bypass dell’autenticazione a più fattori (MFA), come gli attacchi di ingegneria sociale, si sbaglia di grosso. Le passkey sono utili contro un solo tipo di attacco di ingegneria sociale: il phishing. Purtroppo, esistono altre varianti. Gli attacchi ai danni di MGM Resorts e Caesars Palace a Las Vegas presentavano una componente di ingegneria sociale: lo sfruttamento dell’help desk per consentire all’autore dell’attacco di registrare autonomamente un autenticatore MFA.
• Problemi legati alla perdita o all'aggiornamento dei dispositivi: Se gli utenti perdono l'accesso a un dispositivo che supporta le chiavi di accesso associate al dispositivo, queste non possono essere recuperate.
• Assistenza limitata su tutti i servizi: Sebbene l'adozione sia in crescita, non tutti i siti web o i sistemi aziendali supportano ancora le passkey, il che può limitarne l'usabilità nella pratica quotidiana.
• Confusione o mancanza di consapevolezza da parte degli utenti: Il concetto di passkey è ancora nuovo per molti utenti, il che può creare confusione riguardo alla configurazione, alla sincronizzazione o a ciò che avviene dietro le quinte. Le differenze terminologiche (passkey, chiavi di sicurezza, chiavi FIDO) e l’evoluzione degli standard nel settore possono accrescere questa confusione e rendere difficile per gli utenti e le organizzazioni comprendere chiaramente le migliori pratiche e implementare e adottare le passkey in modo coerente. Ciò può anche portare a errori durante la configurazione e l’utilizzo, a un aumento delle richieste di assistenza e a potenziali lacune nella sicurezza.
• Stato di preparazione delle infrastrutture: L'implementazione delle passkey potrebbe richiedere alle organizzazioni di apportare aggiornamenti alle piattaforme di gestione delle identità, alle politiche di gestione dei dispositivi e alle iniziative di formazione, specialmente quando si abbandona l'autenticazione legacy. Le organizzazioni potrebbero riscontrare che le risorse legacy o on-premises potrebbero non essere compatibili con le passkey a causa dell'autenticazione esclusivamente web. In tali casi, le organizzazioni dovrebbero modernizzare la propria autenticazione a più fattori (MFA) con senza password funzionalità in grado di operare in diversi ambienti e di gestire le infrastrutture legacy.

Viste le sfide che i passepartout di oggi pongono quando si tratta di offrire flussi di lavoro uniformi su vari browser, dispositivi e sistemi operativi, cosa può fare l'industria per garantire un'esperienza multipiattaforma davvero senza soluzione di continuità? Come possiamo determinare il percorso migliore per risolvere le incongruenze che possono confondere gli utenti e bloccare l'adozione diffusa?

In RSA, la nostra leadership UX partecipa attivamente ai gruppi di lavoro della FIDO Alliance per sostenere esperienze utente coerenti. Contribuendo con le nostre intuizioni, ci proponiamo di contribuire alla definizione di standard che comportino meno distrazioni, meno attriti e più uniformità per gli utenti finali.

La mobilità è un altro aspetto della creazione di un'esperienza passepartout senza soluzione di continuità tra gli ambienti. Gli utenti della forza lavoro si aspettano sempre più la comodità di flussi di lavoro mobile-first. Se l'accesso alle risorse aziendali su uno smartphone è intuitivo come lo sblocco dello stesso dispositivo, l'adozione di nuovi metodi di autenticazione, come i passkey, diventa molto più semplice. Un'esperienza mobile priva di attriti aiuta ad abbattere le resistenze degli utenti, riducendo al minimo la curva di apprendimento e rendendo la transizione dalle password molto più agevole. Offrendo un'interfaccia familiare, trasparente sulle autorizzazioni e coerente indipendentemente dal dispositivo o dalla piattaforma dell'utente, le organizzazioni possono ridurre la confusione e migliorare la fiducia. La soluzione mobile FIDO di RSA è un esempio di come implementare una passkey in modo indipendente dal dispositivo.

Per strutture sicure e ambienti ad alta sicurezza in cui l'autenticazione mobile non è consentita, il Serie RSA iShield Key 2 fornisce un autenticatore hardware certificato FIPS 140-3 Livello 3, FIDO2 che garantisce una sicurezza multipiattaforma senza password e resistente al phishing.

Si dice che quando si ha un martello, tutto può sembrare un chiodo. Trasformare in applicazione aziendale una soluzione, anche ottima, originariamente destinata all'uso da parte dei consumatori, può comportare rischi significativi.

Durante la lettura di questo articolo, potreste aver avuto una sensazione di nausea alla menzione di "tessuto di sincronizzazione". Il vostro istinto aveva ragione.

Il fatto che le passkey sincronizzate compaiano come per magia su tutti i dispositivi su cui l'utente ha effettuato l'accesso tramite Apple o Google rappresenta un grave campanello d'allarme in ambito aziendale e dovrebbe sollevare alcune importanti questioni:

• Gli utenti dovrebbero essere autorizzati a utilizzare più dispositivi (eventualmente anche privati) per l'autenticazione? Se sì, quanti?
• Le chiavi di accesso sincronizzate rendono possibile il ripristino di una chiave di accesso "persa" con i processi di recupero dell'account, ad esempio, di Google o Apple. È fantastico... ma questi processi sono abbastanza sicuri per voi?
• La funzione di Apple che consente agli utenti di condividere le chiavi d'accesso con amici o familiari è molto bella... ma si applica anche alle chiavi d'accesso utilizzate per le applicazioni aziendali?

Quando si utilizzano chiavi di accesso sincronizzate, la sicurezza della vostra azienda dipende improvvisamente in larga misura dalla sicurezza tecnica e organizzativa di Apple e Google. Certo, c'è comunque una certa dipendenza dovuta all'uso di iOS e Android-Ma i passepartout sincronizzati aumentano notevolmente questa dipendenza.

Non si tratta di una vulnerabilità teorica. Ripristino ha discusso di come gli attori delle minacce lo abbiano utilizzato per accedere ai suoi sistemi, osservando che la funzionalità significa che “se il vostro account Google è compromesso, lo sono anche i vostri codici MFA”.”

Non si può rispondere in modo generico se i passepartout debbano essere utilizzati in azienda. Ogni organizzazione è diversa e deve bilanciare le proprie priorità operative e di sicurezza.

Inoltre, l'utilizzo o meno dei passkeys non dovrebbe essere una questione di sì/no. L'introduzione dei passkeys o dei login senza password in generale dovrebbe servire a rivedere radicalmente l'intero processo MFA di un'organizzazione. Ciò che è stato valido per i token OTP hardware per 15 anni, probabilmente oggi non è più del tutto vero per i passkeys o altri metodi MFA.

RSA ritiene che le passkey possano essere implementate in ambito aziendale se sono in linea con la strategia organizzativa e se le organizzazioni riflettono attentamente sulle risposte alle seguenti domande. Abbiamo visto organizzazioni utilizzare con successo le passkey con RSA^® ID Plus, La nostra piattaforma completa di gestione dell'identità e dell'accesso (IAM) offre una serie di opzioni senza password.

Poiché siamo un'organizzazione orientata alla sicurezza e utilizziamo i principi Secure by Design / Secure by Default, impediamo l'uso di passkey sincronizzati per impostazione predefinita. Negli ambienti RSA sono disponibili per impostazione predefinita solo le chiavi di accesso legate al dispositivo, per garantire il massimo livello di sicurezza già pronto e senza alcun lavoro aggiuntivo da parte degli amministratori.

Quando si valuta se introdurre i passkey, le organizzazioni devono chiedersi: come vengono registrati i nostri autenticatori? Esistono processi che gestiscono in modo sicuro lo scenario "ho perso il mio autenticatore"? E la classificazione di utenti, applicazioni e dati?

I passepartout sono uno Metodo MFA tra le tante. Sì, la loro protezione contro il phishing è fantastica, ma gli utenti possono utilizzarla per accedere a tutte le risorse protette di cui hanno bisogno?.

Per questi e molti altri motivi, è importante che il vostro sistema MFA non sia solo tecnicamente aggiornato, ma che supporti anche un'ampia varietà di metodi MFA, come codici QR, biometria, OTP, messaggi push e passkeys.

È inoltre importante che i processi relativi all'MFA siano adattati alle nuove minacce. Questo va ben oltre il sistema MFA vero e proprio: il vostro help desk è anche al sicuro da attacchi di social engineering?

Se i passkeys hanno un senso per voi, vogliamo aiutarvi. Contattateci per saperne di più o per avviare un prova gratuita di 45 giorni di ID Plus.

Decidere di implementare le passkey è la parte più facile. Questa guida illustra le tre fasi di un’implementazione di successo — valutazione, fase pilota e implementazione aziendale — con esempi concreti tratti da organizzazioni che hanno già intrapreso questo percorso. Per una panoramica completa delle funzionalità senza password di RSA, visita il sito Pagina dedicata alle soluzioni RSA senza password.

Fase 1: Valutazione e pianificazione (da quattro a otto settimane)

1. Effettuare una verifica dell'autenticazione. Identificare tutte le applicazioni, le infrastrutture e i sistemi che richiedono l'autenticazione o sono coinvolti in tale processo, indicando quali di essi non supportano ancora lo standard FIDO2.
2. Identificate i gruppi di utenti ad alto rischio. Gli amministratori con privilegi, il personale finanziario, i lavoratori da remoto e gli utenti che utilizzano dispositivi condivisi richiedono approcci diversi: segmentate la vostra forza lavoro in base al livello di rischio prima di pianificare l'implementazione.
3. Definisci la tua politica relativa alle passkey. Decidi quali gruppi di utenti debbano utilizzare passkey associate al dispositivo, passkey sincronizzate o una combinazione delle due. RSA raccomanda di impostare come impostazione predefinita le passkey associate al dispositivo, riservando quelle sincronizzate ai casi in cui il compromesso sia giustificato.
4. Esaminare le politiche interne che potrebbero influire sull'uso delle chiavi di accesso, quali le restrizioni relative all'uso delle porte USB, del BLE o dei dispositivi mobili. Definire un calendario di implementazione graduale. Stabilire le tappe fondamentali, assegnare i responsabili e definire i criteri di approvazione o rifiuto. Ottenere tempestivamente il consenso dei vertici aziendali.

Fase 2: Implementazione pilota (da sei a dieci settimane)

1. Scegliete con cura il vostro gruppo pilota. Il personale IT e quello addetto alla sicurezza sono i primi utenti ideali. L’aggiunta di un piccolo gruppo di assistenti esecutivi aiuta a individuare casi limite concreti, come i computer condivisi e gli scenari di delega.
2. A seconda dei casi d'uso, provate entrambi i tipi di passkey nel vostro ambiente. Verificate la registrazione, l'accesso, la riautenticazione dopo la sospensione del dispositivo e l'SSO su tutti i tipi di dispositivi e sistemi operativi utilizzati dalla vostra organizzazione.
3. Sviluppare e testare le procedure dell'help desk. Simulare scenari quali lo smarrimento di un dispositivo, la dimenticanza del PIN, l'inserimento e l'uscita di un dipendente prima che si verifichino in ambiente di produzione. Il personale dell'help desk deve essere in grado di eseguire i flussi di lavoro di ripristino in modo sicuro, senza essere vulnerabile alle tecniche di ingegneria sociale.
4. Definire gli indicatori di successo. Monitorare i tassi di iscrizione, i tassi di successo/fallimento dell'autenticazione e il volume dei ticket dell'help desk come valori di riferimento prima di procedere al ridimensionamento.
5. Raccogliete feedback strutturati. Conducete un sondaggio tra gli utenti pilota dopo due e sei settimane. Utilizzate le informazioni raccolte per aggiornare i materiali formativi e la configurazione prima di procedere a un'implementazione su più ampia scala.

Fase 3: Implementazione a livello aziendale (da due a sei mesi)

1. Avvia un programma di gestione del cambiamento. Brevi video dimostrativi e guide operative scritte sono più efficaci di una documentazione voluminosa. Adatta i contenuti in base al segmento di utenti: l’esperienza di uno sviluppatore che lavora da remoto è diversa da quella di un utente che lavora in un ufficio con postazioni condivise.
2. Procedete per fasi. Effettuate l'implementazione per reparto, area geografica o livello di rischio. Gli utenti ad alto rischio sono in genere i primi; quelli che utilizzano dispositivi condivisi o che dipendono da sistemi legacy sono gli ultimi.
3. Assicurarsi che siano disponibili metodi di autenticazione di riserva. Non rimuovere immediatamente i sistemi MFA legacy. Mantenere attivi i codici OTP inviati via push, i codici QR o i token hardware come soluzioni di riserva fino a quando il numero di utenti registrati non raggiunga la soglia prevista (in genere 90%+ per reparto).
4. Monitorare lo stato di adozione e di autenticazione. Utilizzare i dashboard della piattaforma per tenere traccia del completamento delle registrazioni, dei tassi di insuccesso e delle tendenze relative all'help desk. Impostare avvisi tempestivi in caso di anomalie.
5. Chiudete il cerchio con la sicurezza. Una volta completata l’implementazione, aggiornate la documentazione relativa alla politica di autenticazione a più fattori (MFA) ed effettuate una verifica post-implementazione. Le passkey eliminano il phishing delle credenziali, ma l’ingegneria sociale presso l’help desk rimane un rischio concreto.

Quelli che seguono sono esempi illustrativi basati su modelli di implementazione comuni.

Scenario 1: Servizi finanziari — banca regionale, 5.000 dipendenti
Una banca regionale di medie dimensioni ha implementato chiavi di accesso legate al dispositivo tramite RSA ID Plus con Chiavi di sicurezza hardware certificate FIPS 140-3 per gli utenti con privilegi e il personale delle filiali.

• Sfida principale: L'applicazione legacy per gli sportellisti richiedeva un livello di proxy FIDO2; il personale dell'help desk ha dovuto seguire un corso di formazione sulla resistenza alle tecniche di ingegneria sociale prima dell'implementazione.
• Tipo di passkey: Chiavi di sicurezza hardware associate a un dispositivo
• Cronologia: Sei mesi
• Risultati: riduzione dei ticket dell'help desk 43%; nessuna violazione legata alle password dopo l'implementazione

Scenario 2: Settore pubblico — agenzia federale, 12.000 dipendenti
Un'agenzia federale civile doveva conformarsi ai requisiti previsti dall'EO 14028 e dalla direttiva OMB M-22-09 in materia di autenticazione multifattoriale (MFA) resistente al phishing in un ambiente ibrido che includeva segmenti di rete classificati isolati fisicamente (air-gapped).

• Sfide principali: I segmenti isolati fisicamente richiedevano un sistema di autenticazione senza connessione a Internet; un sistema legacy di gestione dei casi necessitava di un livello proxy FIDO2; oltre 30 sedi operative necessitavano di supporto per la registrazione remota.
• Tipo di passkey: FIPS 140-3 Livello 3 RSA iShield Key 2 per tutto il personale; token RSA DS100 OTP per i segmenti isolati dalla rete
• Cronologia: Dieci mesi
• Risultati: Certificazione di piena conformità all'EO 14028 / M-22-09; il tasso di acquisizione delle credenziali è sceso da 18% a meno di 1%; riduzione di 38% dei ticket dell'help desk