Che cos’è FIDO?

Anziché basarsi su qualcosa che l’utente conosce e che potrebbe essere indotto a rivelare, l’autenticazione FIDO utilizza credenziali crittografiche legate a un dispositivo o a un autenticatore controllato dall’utente. Per le aziende che stanno abbandonando le password, FIDO è diventato uno degli standard fondamentali alla base della moderna autenticazione senza password, delle passkey e dell’autenticazione multifattoriale resistente al phishing.

L'Alleanza FIDO è un'associazione di settore aperta che sviluppa standard di autenticazione volti a ridurre la dipendenza globale dalle password. Tra i suoi membri figurano fornitori di soluzioni per la gestione delle identità, produttori di dispositivi, sviluppatori di browser, istituzioni finanziarie e agenzie governative, tutti impegnati a perseguire un obiettivo comune: rendere gli accessi più sicuri e più semplici per gli utenti.

FIDO non è un prodotto e non è di proprietà di un singolo fornitore. Si tratta di un approccio basato su standard che può essere implementato su dispositivi, sistemi operativi, browser, applicazioni e autenticatori. Questa apertura è uno degli aspetti che rendono FIDO utile per le aziende. Lo stesso standard che funziona su una chiave di sicurezza di un produttore funziona anche su un autenticatore di piattaforma di un altro produttore, su un dispositivo mobile o all’interno di un browser. Il risultato è una base coerente su cui le organizzazioni possono costruire senza rimanere vincolate a un unico ecosistema.

RSA è uno dei membri fondatori della Alleanza FIDO e fa parte del suo consiglio di amministrazione. RSA è inoltre membro dei seguenti gruppi di lavoro dell’Alleanza FIDO:

• Gruppo di lavoro sull'implementazione aziendale
• Gruppo di lavoro sull'esperienza utente
• Gruppo di lavoro sul servizio di metadati
• Gruppo di lavoro tecnico
• Sottogruppo sull’esperienza utente in ambito aziendale
• Sottogruppo per l'autenticazione software non CTAP

Di recente, l’Alleanza FIDO ha pubblicato un studio di caso in cui si illustra in dettaglio come RSA abbia implementato l'autenticazione senza password per il proprio personale in tutto il mondo.

FIDO è l'acronimo di Fast Identity Online. Il nome riflette l'obiettivo alla base dello standard: un'autenticazione più veloce, più semplice e più sicura rispetto alle password. Oggi, FIDO è strettamente associato all'autenticazione senza password, alle passkey e all'autenticazione a più fattori (MFA) resistente al phishing.

L'autenticazione FIDO si basa sulla crittografia a chiave pubblica. Ogni volta che un utente si registra su un servizio online, l'autenticatore genera una coppia di chiavi univoca. La chiave privata non lascia mai l'autenticatore dell'utente. La chiave pubblica è quella che viene memorizzata dal servizio. Quando l’utente effettua l’accesso, il servizio invia una richiesta di verifica a cui solo la chiave privata corrispondente può rispondere, dimostrando così che l’utente è in possesso delle credenziali senza mai inviare una password attraverso la rete.

In pratica, il flusso è il seguente:

1. Un utente registra un dispositivo di autenticazione: Potrebbe trattarsi di un dispositivo, di un fattore biometrico, di una chiave di sicurezza o di un altro autenticatore supportato da FIDO.
2. L'autenticatore crea una coppia di chiavi: La chiave privata rimane in possesso dell'autenticatore. La chiave pubblica viene registrata presso il servizio online.
3. L'utente verifica localmente: L'utente può sbloccare l'autenticatore tramite dati biometrici, un PIN o un altro metodo locale.
4. Il servizio verifica la risposta crittografica: Il servizio conferma che l'utente sia in possesso della chiave privata senza che gli venga fornita la chiave stessa.
5. L'autenticazione va a buon fine senza inviare una password: Ciò contribuisce a ridurre l'esposizione al phishing e furto di credenziali.

Poiché nessun segreto condiviso esce mai dall'autenticatore dell'utente, un malintenzionato che intercetti il traffico di rete, violi il database del server o crei una pagina di accesso falsa e convincente non ha nulla di utile da rubare.

FIDO è la famiglia più ampia di standard di autenticazione aperti. FIDO2 è l'insieme moderno di standard FIDO che include WebAuthn e CTAP, ed è a questo che la maggior parte delle persone fa riferimento oggi quando parla di accessi senza password, passkey e autenticazione a più fattori (MFA) resistente al phishing.

FIDO sostituisce la password con una credenziale crittografica controllata dall’utente. Dal punto di vista dell’utente, l’accesso può avvenire tramite impronta digitale, scansione facciale, PIN del dispositivo, tocco su una chiave di sicurezza o approvazione tramite un’app di autenticazione mobile. Dal punto di vista del servizio, ciò che autentica effettivamente l’utente è la prova crittografica legata a quella credenziale.

Si tratta di una distinzione importante. Il dato biometrico o il PIN non sono ciò che il servizio rileva. Si tratta piuttosto del metodo locale che l’utente utilizza per sbloccare il proprio autenticatore. L’autenticazione stessa dipende dal possesso della credenziale FIDO e dalla risposta crittografica che essa genera. È proprio questo che rende FIDO utile per autenticazione senza password. L'utente non deve digitare nulla, un malintenzionato non ha nulla da ottenere tramite phishing e non c'è nulla di riutilizzabile da rubare. A seconda di come un'organizzazione lo implementa, FIDO può supportare un accesso completamente senza password oppure fungere da secondo fattore di autenticazione sicuro all'interno di un flusso MFA più ampio.

Le passkey sono credenziali FIDO basate sulla crittografia a chiave pubblica e rappresentano il modo in cui la maggior parte degli utenti utilizzerà l’autenticazione basata su FIDO nella vita quotidiana. Una passkey può risiedere su un singolo dispositivo, essere sincronizzata tra i dispositivi di un utente tramite un provider cloud oppure essere associata a un autenticatore hardware. In tutti i casi, il meccanismo di base è lo stesso: una chiave privata in possesso dell’utente, una chiave pubblica registrata presso il servizio e una sfida crittografica al posto della password.

Per le aziende, le passkey sono una soluzione promettente, ma non rappresentano ancora una soluzione definitiva. L'esperienza utente è ottima e il miglioramento in termini di sicurezza rispetto alle password è significativo. Tuttavia, le organizzazioni devono ancora riflettere attentamente su come vengono emesse le passkey, dove vengono conservate, come vengono sincronizzate, come vengono recuperate quando un utente smarrisce un dispositivo e come vengono gestite durante l'intero ciclo di vita dell'identità. La domanda non è se codici di accesso funzionamento. Si tratta di stabilire se il modello di implementazione soddisfi i requisiti di garanzia e controllo dell’ambiente in cui viene introdotto.

Le credenziali FIDO sono associate al dominio di servizio legittimo. È proprio questa associazione a rendere lo standard resistente al phishing. Un utente indotto con l'inganno a visitare un sito contraffatto non può completare lo stesso flusso di autenticazione su quel sito, poiché la credenziale crittografica non risponderà a un dominio per il quale non è stata registrata.

Ci sono alcuni aspetti specifici da tenere in considerazione:

• FIDO non invia password riutilizzabili attraverso la rete.
• Le chiavi private rimangono in possesso dell'autenticatore e non vengono mai comunicate al servizio.
• Le credenziali a chiave pubblica sono limitate a una specifica entità affidabile o a un dominio specifico.
• FIDO è in grado di ridurre i rischi legati al phishing delle credenziali, alla "stanchezza da MFA" e ad alcune tecniche di aggiramento dell'autenticazione a più fattori (MFA).
• FIDO dà il meglio di sé se abbinato a solide procedure di registrazione, ripristino e gestione dei dispositivi.

È proprio grazie a queste caratteristiche che gli analisti e gli organismi di normazione fanno sempre più spesso riferimento a FIDO quando parlano di autenticazione resistente al phishing. Elimina le condizioni su cui si basano la maggior parte degli attacchi basati sulle credenziali.

FIDO trova applicazione in una vasta gamma di scenari aziendali e la scelta dell'implementazione più adeguata dipende solitamente dal gruppo di utenti e dal profilo di rischio.

• Accesso senza password per i dipendenti: I dipendenti utilizzano dispositivi di autenticazione supportati da FIDO per accedere alle applicazioni aziendali senza password.
• MFA resistente al phishing: Le organizzazioni utilizzano FIDO come fattore di autenticazione più sicuro per gli accessi ad alto rischio.
• Autenticazione nei servizi bancari e finanziari: Le banche possono utilizzare l'accesso senza password basato su FIDO per ridurre il phishing delle credenziali e migliorare la sicurezza degli accessi dei clienti e del personale.
• Accesso utente con privilegi: Gli amministratori e gli utenti ad alto rischio possono utilizzare le credenziali FIDO per garantire un livello di sicurezza maggiore.
• Accesso alle applicazioni ibride e cloud: Se integrato con la giusta architettura IAM, FIDO è in grado di garantire la sicurezza delle identità in ambienti cloud, ibridi e on-premise.
• IAM Zero Trust: FIDO è in grado di supportare la gestione delle identità e degli accessi secondo il modello Zero Trust, rafforzando la verifica degli utenti prima della concessione dell'accesso.

Le ragioni a favore di FIDO riguardano in parte la sicurezza, in parte l'esperienza utente e in parte una strategia di identità a lungo termine. I principali vantaggi includono:

• Riduce gli attacchi basati sulle password: FIDO contribuisce a ridurre il rischio di furto delle credenziali, riutilizzo delle password e phishing.
• Supporta l'autenticazione a più fattori (MFA) resistente al phishing: L'autenticazione FIDO2 può garantire una protezione più efficace rispetto agli SMS, agli OTP o alle notifiche push di base MFA.
• Migliora l'esperienza utente: Gli utenti possono autenticarsi tramite un dispositivo, un'app di autenticazione, lo sblocco biometrico o una chiave di sicurezza, invece di digitare le password.
• Supporta gli obiettivi di sicurezza basati sul modello "zero trust": FIDO rafforza la verifica dell'identità nell'ambito di un Fiducia zero Strategia IAM.
• Contribuisce a soddisfare le aspettative più rigorose in materia di autenticazione: FIDO è in grado di supportare le organizzazioni nell’adeguarsi a requisiti di autenticazione multifattoriale (MFA) più rigorosi e a standard di sicurezza informatica più elevati.
• Si adatta a diversi gruppi di utenti: Le aziende possono utilizzare diversi tipi di autenticatori a seconda dei livelli di rischio, dei ruoli e degli ambienti.

Attivare FIDO non significa implementarlo correttamente. Il valore aggiunto deriva principalmente dalle decisioni correlate relative agli autenticatori, alla registrazione, ai gruppi di utenti, all’infrastruttura e alla governance.

Scelta dell'autenticatore

La maggior parte delle organizzazioni necessita di una soluzione mista. Gli autenticatori mobili funzionano bene per l'accesso quotidiano dei dipendenti. Le credenziali legate al dispositivo e i token hardware sono spesso la scelta più indicata per gli utenti con privilegi, gli ambienti soggetti a normative o gli scenari in cui la portabilità delle credenziali deve essere strettamente controllata. Gli autenticatori integrati nei laptop e nei telefoni offrono un'ottima esperienza utente per la maggior parte dei dipendenti.

Iscrizione e recupero

L'autenticazione forte è efficace solo nella misura in cui lo è il processo utilizzato per la sua configurazione. Se un utente può recuperare una credenziale FIDO attraverso una procedura di help desk poco sicura o un sistema di ripiego basato su password, i vantaggi in termini di sicurezza si riducono rapidamente. Il processo di recupero merita la stessa attenzione progettuale riservata al flusso di autenticazione stesso.

Gruppi di utenti e livelli di rischio

Ruoli diversi comportano rischi diversi. Gli utenti con privilegi, i collaboratori esterni, i fornitori e i dipendenti coinvolti in flussi di lavoro regolamentati necessitano spesso di sistemi di autenticazione che garantiscano un livello di sicurezza più elevato. L'assegnazione delle opzioni FIDO alle diverse categorie di utenti è fondamentale per una corretta implementazione.

Requisiti relativi al cloud, alle soluzioni ibride e alle soluzioni on-premise

FIDO deve funzionare ovunque sia necessario gestire le identità. Per molte aziende, ciò significa ambienti cloud, ibridi, on-premise e ad alta sicurezza contemporaneamente, comprese le implementazioni sovrane o con isolamento fisico (air-gap), dove gli ecosistemi basati su passkey dei consumatori potrebbero non essere applicabili.

Governance e conformità

Le credenziali FIDO dovrebbero essere integrate nel ciclo di vita delle identità, non rimanere al di fuori di esso. Ciò significa collegare l’emissione, la revoca e le prove di audit degli autenticatori alle politiche di accesso e ai flussi di lavoro di conformità, anziché considerare il FIDO come una funzionalità a sé stante.

FIDO è uno degli strumenti più efficaci a disposizione delle aziende per superare l’uso delle password e colmare la lacuna che il phishing delle credenziali sfrutta da anni. Ma per trarne il massimo vantaggio non basta semplicemente attivare le passkey. Dipende da come vengono emessi gli autenticatori, da come viene gestito il recupero, da come vengono regolate le politiche di accesso e da come viene garantita la sicurezza delle identità in ambienti cloud, ibridi, on-premise e ad alta sicurezza.

RSA aiuta le organizzazioni a integrare FIDO in una strategia completa di gestione delle identità e di accesso senza password, offrendo la flessibilità, la governance e le opzioni di implementazione degli autenticatori di cui le aziende hanno bisogno in ambienti complessi. Per scoprire come questa soluzione si adatta alla tua organizzazione, esplora RSA autenticazione senza password e autenticazione a più fattori soluzioni.