Em vez de depender de algo que o usuário sabe e que pode ser induzido a compartilhar, a autenticação FIDO utiliza credenciais criptográficas vinculadas a um dispositivo ou autenticador controlado pelo próprio usuário. Para empresas que estão abandonando as senhas, o FIDO tornou-se um dos padrões fundamentais por trás da autentição moderna sem senha, das chaves de acesso e da autentição multifatorial resistente a phishing.
A Aliança FIDO é uma associação setorial aberta que desenvolve padrões de autenticação com o objetivo de reduzir a dependência mundial de senhas. Seus membros incluem fornecedores de soluções de identidade, fabricantes de dispositivos, desenvolvedores de navegadores, instituições financeiras e órgãos governamentais, todos trabalhando em prol de um objetivo comum: tornar os processos de login mais seguros e mais fáceis para os usuários.
O FIDO não é um produto e não pertence a nenhum fornecedor específico. Trata-se de uma abordagem baseada em padrões que pode ser implementada em diversos dispositivos, sistemas operacionais, navegadores, aplicativos e autenticadores. Essa abertura é parte do que torna o FIDO útil para as empresas. O mesmo padrão que funciona em uma chave de segurança de um fabricante também funciona em um autenticador de plataforma de outro fabricante, em um dispositivo móvel ou dentro de um navegador. O resultado é uma base consistente sobre a qual as organizações podem construir sem ficarem presas a um único ecossistema.
A RSA é membro fundador da Aliança FIDO e faz parte do conselho de administração da empresa. A RSA também é membro dos seguintes grupos de trabalho da Aliança FIDO:
- Grupo de trabalho sobre implantação corporativa
- Grupo de trabalho sobre experiência do usuário
- Grupo de trabalho sobre serviços de metadados
- Grupo de trabalho técnico
- Subgrupo de experiência do usuário corporativo
- Subgrupo de autenticação por software não CTAP
Recentemente, a Aliança FIDO publicou um estudo de caso explicando como a RSA implementou a autenticação sem senha para sua força de trabalho global.
FIDO significa “Fast Identity Online”. O nome reflete o objetivo por trás da norma: uma autenticação mais rápida, mais simples e mais segura do que as senhas. Atualmente, o FIDO está intimamente associado à autenticação sem senha, às chaves de acesso e à autenticação multifatorial (MFA) resistente a phishing.
A autenticação FIDO é baseada na criptografia de chave pública. Sempre que um usuário se cadastra em um serviço online, o autenticador gera um par de chaves exclusivo. A chave privada nunca sai do autenticador do usuário. A chave pública é o que o serviço armazena. Quando o usuário faz login, o serviço emite um desafio ao qual somente a chave privada correspondente pode responder, o que comprova que o usuário controla a credencial sem nunca enviar uma senha pela rede.
Na prática, o fluxo é o seguinte:
- Um usuário cadastra um autenticador: Pode ser um dispositivo, um fator biométrico, uma chave de segurança ou outro autenticador compatível com o FIDO.
- O autenticador cria um par de chaves: A chave privada permanece com o autenticador. A chave pública é registrada no serviço on-line.
- O usuário verifica localmente: O usuário pode desbloquear o autenticador por meio de dados biométricos, um PIN ou outro método local.
- O serviço verifica a resposta criptográfica: O serviço confirma que o usuário possui o controle da chave privada sem que a própria chave privada seja recebida.
- A autenticação é bem-sucedida sem o envio de uma senha: Isso ajuda a reduzir a exposição a tentativas de phishing e roubo de credenciais.
Como nenhum segredo compartilhado sai do autenticador do usuário, um invasor que interceptar o tráfego de rede, invadir o banco de dados do servidor ou criar uma página de login falsa convincente não terá nada de útil para roubar.
FIDO é a família mais ampla de padrões abertos de autenticação. FIDO2 é o conjunto moderno de padrões FIDO que inclui WebAuthn e CTAP, e é a ele que a maioria das pessoas se refere hoje em dia quando fala sobre logins sem senha, chaves de acesso e autenticação multifatorial (MFA) resistente a phishing.
O FIDO substitui a senha por uma credencial criptográfica controlada pelo usuário. Do ponto de vista do usuário, o login pode ser feito por meio de uma impressão digital, um reconhecimento facial, um PIN do dispositivo, um toque em uma chave de segurança ou uma aprovação em um autenticador móvel. Do ponto de vista do serviço, o que realmente autentica o usuário é a prova criptográfica vinculada a essa credencial.
Essa é uma distinção importante. O dado biométrico ou o PIN não são o que o serviço percebe. Trata-se do método local que o usuário utiliza para desbloquear seu autenticador. A autenticação em si depende da posse da credencial FIDO e da resposta criptográfica que ela produz. É isso que torna o FIDO útil para autenticação sem senha. Não há nada que o usuário precise digitar, nada que um invasor possa obter por meio de phishing e nada reutilizável para ser roubado. Dependendo de como uma organização o implante, o FIDO pode oferecer um login totalmente sem senha ou servir como um segundo fator de autenticação robusto dentro de um fluxo mais amplo de autenticação multifatorial (MFA).
As chaves de acesso são credenciais FIDO baseadas em criptografia de chave pública e representam a forma como a maioria dos usuários utilizará a autenticação baseada em FIDO no dia a dia. Uma chave de acesso pode estar armazenada em um único dispositivo, ser sincronizada entre os dispositivos do usuário por meio de um provedor de nuvem ou estar vinculada a um autenticador de hardware. Em todos os casos, o mecanismo subjacente é o mesmo: uma chave privada do lado do usuário, uma chave pública registrada no serviço e um desafio criptográfico em vez de uma senha.
Para as empresas, as chaves de acesso são promissoras, mas ainda não são uma solução definitiva. A experiência do usuário é excelente, e a melhoria na segurança em relação às senhas é significativa. No entanto, as organizações ainda precisam refletir cuidadosamente sobre como as chaves de acesso são emitidas, onde são armazenadas, como são sincronizadas, como são recuperadas quando um usuário perde um dispositivo e como são gerenciadas ao longo do ciclo de vida da identidade. A questão não é se chaves de acesso funcionar. O que importa é se o modelo de implantação atende aos requisitos de garantia e controle do ambiente no qual está sendo introduzido.
As credenciais FIDO estão vinculadas ao domínio legítimo do serviço. É essa vinculação que torna o padrão resistente ao phishing. Um usuário que for induzido a visitar um site falso não poderá concluir o mesmo fluxo de autenticação nesse site, pois a credencial criptográfica não responderá a um domínio no qual não foi registrada.
Alguns detalhes são importantes:
- O FIDO não envia senhas reutilizáveis pela rede.
- As chaves privadas permanecem com o autenticador e nunca são expostas ao serviço.
- As credenciais de chave pública são restritas a uma parte confiável ou domínio específico.
- O FIDO pode reduzir os riscos decorrentes do phishing de credenciais, da fadiga da autenticação multifatorial (MFA) e de algumas técnicas de contorno da MFA.
- O FIDO atinge seu máximo potencial quando combinado com um processo robusto de cadastro, recuperação e governança de dispositivos.
Essas características são o motivo pelo qual analistas e órgãos normativos se referem cada vez mais ao FIDO quando falam sobre autenticação resistente a phishing. Isso elimina as condições das quais dependem a maioria dos ataques baseados em credenciais.
O FIDO é utilizado em diversos cenários corporativos, e a implantação adequada geralmente depende do grupo de usuários e do perfil de risco.
- Login sem senha no Workforce: Os funcionários utilizam autenticadores compatíveis com o FIDO para acessar aplicativos empresariais sem senhas.
- MFA resistente a phishing: As organizações utilizam o FIDO como um fator de autenticação mais robusto para acessos de alto risco.
- Autenticação em serviços bancários e financeiros: Os bancos podem utilizar o login sem senha baseado no FIDO para reduzir o phishing de credenciais e melhorar a segurança do acesso de clientes e funcionários.
- Acesso de usuário com privilégios: Os administradores e usuários de alto risco podem utilizar as credenciais FIDO para garantir um acesso mais seguro.
- Acesso a aplicativos híbridos e na nuvem: O FIDO pode garantir a identidade segura em ambientes de nuvem, híbridos e locais quando integrado à arquitetura de IAM adequada.
- IAM com modelo Zero Trust: O FIDO é capaz de oferecer suporte à gestão de identidade e acesso no modelo Zero Trust, reforçando a verificação do usuário antes que o acesso seja concedido.
Os argumentos a favor do FIDO envolvem, em parte, a segurança, em parte a experiência do usuário e, em parte, uma estratégia de identidade de longo prazo. Os principais benefícios incluem:
- Reduz os ataques baseados em senhas: O FIDO ajuda a reduzir a exposição ao roubo de credenciais, à reutilização de senhas e ao phishing.
- Oferece suporte à autenticação multifatorial (MFA) resistente a tentativas de phishing: A autenticação FIDO2 pode oferecer uma proteção mais robusta do que SMS, OTP ou notificações push básicas MFA.
- Melhora a experiência do usuário: Os usuários podem se autenticar por meio de um dispositivo, aplicativo de autenticação, desbloqueio biométrico ou chave de segurança, em vez de digitar senhas.
- Apoia as metas de segurança do modelo “zero trust”: O FIDO reforça a verificação de identidade como parte de um Confiança zero Estratégia de IAM.
- Ajuda a atender às expectativas de autenticação mais rigorosas: O FIDO pode ajudar as organizações a atender a requisitos mais rigorosos de autenticação multifatorial (MFA) e a normas de segurança cibernética.
- Adapta-se a diferentes grupos de usuários: As empresas podem utilizar diferentes tipos de autenticadores para diferentes níveis de risco, funções e ambientes.
Implementar o FIDO não é o mesmo que implementá-lo de maneira adequada. A maior parte do valor decorre das decisões relacionadas a autenticadores, cadastro, grupos de usuários, infraestrutura e governança.
Escolha do autenticador
A maioria das organizações precisa de uma combinação. Os autenticadores móveis funcionam bem para o acesso diário dos funcionários. Credenciais vinculadas a dispositivos e tokens de hardware costumam ser mais adequados para usuários com privilégios, ambientes regulamentados ou cenários em que a portabilidade das credenciais precisa ser rigidamente controlada. Os autenticadores de plataforma integrados a laptops e telefones oferecem uma excelente experiência ao usuário para a maioria dos funcionários.
Inscrição e recuperação
A autenticidade de uma autenticação forte depende, em grande parte, da solidez do processo utilizado para configurá-la. Se um usuário puder recuperar uma credencial FIDO por meio de um fluxo de trabalho fraco do suporte técnico ou de um mecanismo alternativo baseado em senha, os benefícios em termos de segurança se deterioram rapidamente. O processo de recuperação merece a mesma atenção no projeto que o próprio fluxo de autenticação.
Grupos de usuários e níveis de risco
Funções diferentes acarretam riscos diferentes. Usuários com privilégios, prestadores de serviços, fornecedores e funcionários em fluxos de trabalho regulamentados geralmente precisam de métodos de autenticação que ofereçam maior garantia. O mapeamento das opções FIDO para os diferentes grupos de usuários faz parte de uma implantação bem-sucedida.
Requisitos de nuvem, híbridos e locais
O FIDO precisa funcionar em qualquer lugar onde a identidade precise estar presente. Para muitas empresas, isso significa ambientes em nuvem, híbridos, locais e de alta segurança ao mesmo tempo, incluindo implantações soberanas ou isoladas fisicamente, nas quais os ecossistemas de senhas de consumo podem não ser aplicáveis.
Governança e conformidade
As credenciais FIDO devem fazer parte do ciclo de vida da identidade, e não ficar fora dele. Isso significa vincular a emissão, a revogação e as evidências de auditoria dos autenticadores às políticas de acesso e aos fluxos de trabalho de conformidade, em vez de tratar o FIDO como um recurso independente.
O FIDO é uma das ferramentas mais poderosas que as empresas têm para superar o uso de senhas e preencher a lacuna que o phishing de credenciais vem explorando há anos. Mas para concretizar esse valor, não basta apenas ativar as chaves de acesso. Isso depende de como os autenticadores são emitidos, de como a recuperação é gerenciada, de como as políticas de acesso são reguladas e de como a garantia de identidade é mantida em ambientes de nuvem, híbridos, locais e de alta segurança.
A RSA ajuda as organizações a integrar o FIDO em uma estratégia completa de identidade sem senhas, oferecendo a flexibilidade de autenticação, a governança e as opções de implantação de que as empresas precisam em ambientes complexos. Para saber como isso se encaixa na sua organização, conheça a RSA autenticação sem senha e autenticação multifatorial soluções.
O FIDO é um conjunto de padrões abertos de autenticação projetado para reduzir a dependência de senhas e oferecer suporte a processos de login mais seguros por meio da criptografia de chave pública. É amplamente utilizado para permitir a autenticação sem senha e a autenticação multifatorial (MFA) resistente a ataques de phishing.
O FIDO2 é o padrão FIDO moderno que combina o WebAuthn e o CTAP para oferecer suporte à autenticação sem senha e à autenticação multifatorial (MFA) resistente a phishing.
O FIDO suporta a autenticação sem senha, mas também pode ser usado como um segundo fator de autenticação robusto. O modelo de implantação determina se a experiência será totalmente sem senha.
O FIDO não é a mesma coisa que a MFA. O FIDO é um conjunto de padrões de autenticação, enquanto a MFA é uma abordagem de autenticação que exige mais de um fator de verificação. O FIDO pode ser usado como parte da MFA, e o FIDO2 pode oferecer suporte à MFA resistente a phishing ou à autenticação sem senha, dependendo de como for implantado.
Sim. O FIDO foi projetado para ser resistente a ataques de phishing, pois as credenciais se baseiam na criptografia de chave pública e são restritas a serviços ou domínios legítimos.
