Chiavi di sicurezza hardware FIDO2: cosa fanno e cosa non fanno

Una chiave FIDO2 può rendere più difficile sottrarre con il phishing le credenziali di accesso supportate, conservando le credenziali crittografiche su un dispositivo fisico. La protezione dipende dalla compatibilità del software, da una configurazione corretta e dalla verifica del servizio o del server a cui ci si connette.

Cos'è una chiave FIDO2

Una chiave di sicurezza hardware FIDO2 è un piccolo dispositivo fisico che esegue l'autenticazione crittografica. FIDO2 è un insieme di standard che include WebAuthn, comunemente usato per accedere ai siti web, e CTAP, che consente a un computer o a un telefono di comunicare con la chiave. A seconda della chiave e del dispositivo host, la connessione può avvenire tramite USB, NFC o Bluetooth.

Anziché inviare a un servizio una password riutilizzabile, un flusso di accesso compatibile chiede alla chiave di dimostrare il possesso di una credenziale crittografica privata. La chiave privata è conservata nel dispositivo e in genere non viene esportata. Il servizio conserva la corrispondente chiave pubblica. A seconda dell'implementazione, per accedere può essere richiesto un tocco fisico, un PIN locale o un'altra forma di verifica dell'utente.

Relazione con SSH

FIDO2 non sostituisce automaticamente ogni tipo di autenticazione. Per SSH, il supporto dipende dal client, dal sistema operativo e dalla configurazione del server. OpenSSH può usare credenziali a chiave pubblica supportate da chiavi di sicurezza, comunemente identificate da tipi di chiave come ecdsa-sk o ed25519-sk. In questo caso, la chiave contribuisce a dimostrare l'identità dell'utente durante l'autenticazione SSH; non modifica il compito distinto del protocollo SSH di stabilire una connessione crittografata.

Questa distinzione è importante. Una chiave di sicurezza usata per l'autenticazione SSH non conferma, da sola, che il server remoto sia quello previsto. La verifica della chiave host SSH resta essenziale: confrontare e convalidare la chiave host del server tramite un canale affidabile e indagare eventuali modifiche inattese, anziché accettarle automaticamente. Una chiave hardware non può rendere affidabile una destinazione deviata o impersonata.

Specifiche e compatibilità da verificare

Partite dai sistemi e dai flussi di accesso che usate davvero. Verificate se il servizio supporta FIDO2/WebAuthn o se il vostro client SSH supporta credenziali basate su chiavi di sicurezza. Accertatevi che il connettore o il metodo wireless richiesto funzioni con i vostri computer e telefoni. Alcune chiavi supportano un PIN o funzionalità legate alla biometria; queste opzioni non sono universali e non funzionano tutte allo stesso modo con i diversi servizi.

• Verificate il supporto del protocollo sia sul client sia sul servizio o server.
• Controllate il tipo di connettore, il supporto del sistema operativo e l'eventuale software complementare richiesto.
• Verificate se l'accesso richiede un tocco, un PIN o la verifica locale dell'utente.
• Pianificate come recuperare l'accesso se la chiave viene persa, danneggiata o non è disponibile.

Configurazione, backup e manutenzione

Registrate la chiave tramite le impostazioni di sicurezza ufficiali del servizio oppure seguite la procedura SSH documentata dalla vostra organizzazione. Registrate una seconda chiave, se supportata, conservatela separatamente e provate il ripristino prima di fare affidamento sulla chiave principale. Proteggete i codici di recupero o i metodi di accesso alternativi: se gestiti con poca attenzione, possono diventare l'anello debole. Per SSH, proteggete i file delle chiavi private locali e le relative passphrase, quando opportuno, e tenete traccia dei sistemi che considerano attendibile ciascuna chiave pubblica.

Provate l'autenticazione da ogni dispositivo che usate, anche dopo modifiche al software o all'account. Tenete la chiave al sicuro e non condividetela. Se viene persa o si sospetta che sia stata compromessa, rimuovete le sue credenziali dagli account e dai sistemi interessati, quindi registrate una chiave sostitutiva. La presenza di una chiave non giustifica ignorare gli avvisi dell'account o le richieste di autenticazione inattese.

Limiti ed errori comuni

Una chiave FIDO2 aiuta per l'autenticazione supportata, ma non crittografa tutto il traffico di rete, non protegge un computer infetto, non impedisce ogni attacco al recupero dell'account e non dimostra che un host SSH remoto sia autentico. Inoltre, non può essere d'aiuto quando un servizio ripiega su un metodo di accesso più debole che un aggressore può sfruttare. Non date per scontato che qualsiasi dispositivo descritto come chiave di sicurezza supporti tutte le funzionalità FIDO2 o che una chiave registrata per un sito web funzioni automaticamente con SSH.

La domanda utile non è se una chiave fisica sia universalmente più sicura, ma se i sistemi del vostro flusso di lavoro la supportino correttamente e se abbiate verificato gli endpoint a cui vi connettete. L'autenticazione forte e i controlli accurati dell'identità del server riguardano aspetti diversi del processo di accesso; entrambi meritano attenzione.