Cos'è WebAuthn? Una guida completa all'autenticazione senza password.

Le password e i codici OTP (One-Time Password) resistono fino a quando non vengono attaccati dai sistemi di phishing. I team di sicurezza continuano a imporre regole di password complesse e passaggi aggiuntivi per l'autenticazione tramite OTP, ma gli utenti cadono ancora vittime di pagine di accesso false. Il problema è che qualsiasi segreto si possa digitare o copiare può essere rubato.

WebAuthn risolve questo problema eliminando completamente le credenziali condivise. Questa guida illustra il funzionamento di WebAuthn, i suoi vantaggi, i dispositivi supportati, i casi d'uso aziendali e perché rappresenta un elemento fondamentale per un'autenticazione a prova di phishing.

Cos'è WebAuthn?

WebAuthn (autenticazione web) è uno standard web aperto pubblicato dal World Wide Web Consortium (W3C) e dalla FIDO Alliance. Consente di accedere a siti web e applicazioni senza dover digitare una password. Invece di una chiave segreta condivisa che viaggia sulla rete, WebAuthn utilizza la crittografia a chiave pubblica. Una parte affidabile (il sito web o l'app) e un client (il browser) collaborano con un autenticatore, come un lettore di impronte digitali, uno scanner facciale, una chiave di sicurezza o una credenziale integrata nel dispositivo, per verificare l'utente.

Il protocollo WebAuthn è un componente fondamentale del più ampio framework FIDO2, motivo per cui WebAuthn, FIDO2 e passkey vengono spesso menzionati insieme. In sostanza, WebAuthn sostituisce le password ("qualcosa che conosci") con un dispositivo fisico o un fattore biometrico ("qualcosa che possiedi o che sei").

Poiché i browser e i sistemi operativi moderni supportano WebAuthn in modo nativo, non è necessario installare software aggiuntivo per utilizzarlo. Questa combinazione di elevata sicurezza e supporto nativo è ciò che ha reso WebAuthn il fondamento tecnico per le chiavi di accesso e l'accesso senza password in tutto il settore.

Perché l'autenticazione tradizionale non è più sufficiente?

Sebbene le password siano sicure, non riescono a tenere il passo con la portata delle minacce che le organizzazioni affrontano oggi. Gli aggressori non hanno bisogno di indovinare una password quando possono acquistarla. Gli attacchi di credential stuffing riutilizzano miliardi di coppie nome utente-password trapelate su diversi servizi, e i kit di phishing ora automatizzano il furto in tempo reale sia di password che di codici monouso.

Ecco alcuni motivi per cui l'autenticazione tradizionale continua a fallire:

• Attacchi alle password e credential stuffing: Gli strumenti automatizzati testano le credenziali rubate su larga scala. Il riutilizzo delle password significa che una singola violazione può compromettere molti account.
• Phishing: I metodi tradizionali di autenticazione a più fattori (MFA), come i codici SMS e le notifiche push, possono essere intercettati o approvati da un utente distratto. Le credenziali, inoltre, possono essere digitate, inoltrate o ottenute tramite tecniche di ingegneria sociale.
• Affaticamento da autenticazione a più fattori: Gli aggressori bombardano gli utenti con ripetute notifiche push, creando Affaticamento MFA, finché l'utente non approva accidentalmente una richiesta di accesso fraudolenta.
• Attrito utente: Il ripristino della password, l'inserimento dell'OTP e la ripetizione dei passaggi di autenticazione creano lavoro extra sia per gli utenti che per i team IT.

L'autenticazione senza password risolve questo problema alla radice. Invece di cercare di rendere più difficile il furto delle password, le elimina dal flusso di autenticazione. Ecco perché non è più una semplice comodità, ma un requisito di sicurezza.

WebAuthn funziona tramite crittografia a chiave pubblica. Il sito web non ha mai bisogno della chiave privata e le credenziali sono associate al dominio del soggetto che si affida al servizio. Ecco perché WebAuthn è progettato per un'autenticazione a prova di phishing, anziché limitarsi ad aggiungere un ulteriore fattore di sicurezza oltre alla password.

Come funziona WebAuthn

WebAuthn si articola in due fasi: registrazione e autenticazione. Entrambe si basano su una coppia di chiavi pubblica/privata generata e memorizzata sul dispositivo dell'utente.

Flusso di registrazione

1. Registrazione utente - Si avvia la configurazione dell'account o si aggiunge un nuovo metodo di autenticazione sul sito del fornitore del servizio.

2. Generazione della coppia di chiavi - L'autenticatore genera una coppia di chiavi pubblica/privata univoca per quello specifico sito web.

3. Archiviazione della chiave privata - La chiave privata non lascia mai il dispositivo. Viene archiviata in modo sicuro nell'hardware dell'autenticatore (un'enclave sicura, un TPM o un chip di chiave di sicurezza).

4. Registrazione della chiave pubblica - Solo la chiave pubblica viene inviata e memorizzata dal server della parte affidabile, associata all'account dell'utente.

Flusso di autenticazione

1. Richiesta di autenticazione - Si tenta di accedere e la relying party chiede al browser di avviare una procedura di autenticazione WebAuthn.

2. Generazione della sfida - Il server genera una sfida unica e casuale per quel tentativo di accesso.

3. Verifica dell'utente - L'autenticatore conferma la tua presenza e identità tramite scansione biometrica, PIN o interazione fisica.

4. Firma della sfida - L'autenticatore firma la sfida con la chiave privata memorizzata sul dispositivo.

5. Validazione del server - La parte affidabile verifica la firma utilizzando la chiave pubblica memorizzata. Se corrisponde, l'accesso viene concesso.

Poiché la chiave privata non lascia mai il dispositivo e non viene trasmesso alcun segreto condiviso, non c'è nulla da intercettare, rubare tramite phishing o riutilizzare su un altro sito. Ecco perché WebAuthn è resistente al phishing per sua stessa natura, non per una semplice policy.

Componenti principali di WebAuthn

WebAuthn si basa su cinque componenti principali:

Parte che si affida (Sito Web/Applicazione)

Il servizio a cui accedi. Memorizza le chiavi pubbliche e convalida le richieste di autenticazione firmate. Non visualizza né memorizza mai chiavi private o password.

Cliente (Browser)

L'intermediario tra la parte che si affida al sistema e l'autenticatore. I browser moderni, come Chrome, Edge, Firefox e Safari, implementano nativamente l'API WebAuthn.

Authenticator

Il componente hardware o software che genera e memorizza coppie di chiavi ed esegue la verifica dell'utente. Può essere integrato in un dispositivo o collegato esternamente.

Verifica dell'utente

Il passaggio che conferma che la persona presente è autorizzata a utilizzare le credenziali, in genere tramite scansione biometrica, PIN del dispositivo o tocco di un tasto di sicurezza.

Crittografia a chiave pubblica

Le basi matematiche di WebAuthn. Ogni coppia di chiavi è univoca per ciascun sito. Una credenziale registrata su un sito non può essere riutilizzata su un altro.

Tipi di autenticatori WebAuthn

Gli autenticatori WebAuthn si dividono generalmente in due categorie.

Autenticatori di piattaforma

Integrato direttamente nel dispositivo che utilizzi e collegato ad esso.

• Windows Hello
• Face ID
• toccare ID
• Biometria Android

In genere si utilizza lo stesso meccanismo che già si usa per sbloccare il dispositivo. Questo li rende ideali per gli accessi quotidiani a dispositivi personali o gestiti, dove la praticità e la velocità sono fondamentali.

Autenticatori in mobilità

Dispositivi esterni e portatili che possono essere spostati tra diverse macchine.

• YubiKey
• Chiavi di sicurezza FIDO2
• USB
• NFC
• Bluetooth

Utilizzateli per postazioni di lavoro condivise, account con privilegi elevati o quando avete bisogno di una singola credenziale valida su più dispositivi.

Quali dispositivi supportano WebAuthn?

WebAuthn gode di un ampio supporto nativo sulle principali piattaforme e browser attualmente in uso:

• Sistemi Operativi: Windows, macOS, Linux, Android, iOS/iPadOS
• browser: Chrome, Edge, Firefox, Safari

La maggior parte dei dispositivi moderni è dotata di un sistema di autenticazione integrato (Windows Hello, Touch ID, Face ID o biometria Android) pronto all'uso. Se hai bisogno di credenziali coerenti per dispositivi personali, postazioni di lavoro condivise o hardware meno recente, puoi abbinarle a chiavi di sicurezza esterne come YubiKey o altri dispositivi USB, NFC o Bluetooth certificati FIDO2.

Questo livello di compatibilità semplifica l'implementazione di rigorose policy di autenticazione a più fattori (MFA) per Linux, macOS o Windows, utilizzando la biometria integrata o chiavi di sicurezza esterne.

Vantaggi di WebAuthn

• Autenticazione resistente al phishing - Nessuna password viene trasmessa attraverso la rete, quindi gli aggressori non hanno nulla da intercettare o rubare in un tentativo di phishing.
• Accesso senza password - L'autenticazione avviene tramite dati biometrici o chiave di sicurezza nell'ambito di una soluzione di autenticazione senza password, anziché richiedere la memorizzazione delle credenziali.
• Migliore esperienza utente - L'impronta digitale o la scansione del volto sono più veloci che ricordare e digitare password complesse.
• Autenticazione più rapida - Puoi accedere in pochi secondi senza dover attendere i codici OTP o cambiare app.
• Riduzione dei reset della password - Le probabilità di rimanere bloccati fuori e di dover aprire un ticket di assistenza sono inferiori, poiché ci sono meno password in rotazione.
• Sicurezza crittografica robusta - La crittografia a chiave pubblica è significativamente più difficile da violare o replicare rispetto ai metodi a chiave segreta condivisa.
• Prontezza alla conformità - L'autenticazione forte supporta i requisiti previsti da framework come HIPAA, SOC 2 Tipo II, PCI-DSSe NISTSP800-53.
• Costi operativi inferiori - Meno tempo dedicato all'assistenza per le password si traduce direttamente in un risparmio sui costi IT.

WebAuthn vs. metodi di autenticazione tradizionali

La differenza principale risiede nel modello di credenziali. Le password e gli OTP si basano su segreti che gli utenti possono inserire o divulgare. WebAuthn, invece, utilizza credenziali a chiave pubblica e un processo crittografico di sfida-risposta.

L'autenticazione push può fornire una solida soluzione MFA , ma non è intrinsecamente resistente al phishing. La corrispondenza numerica e altri controlli possono ridurre il rischio di affaticamento da MFA, ma WebAuthn affronta il phishing a livello di credenziali.

WebAuthn, FIDO2, Passkeys e CTAP spiegati nel dettaglio.

Questi quattro termini sono strettamente correlati e la sovrapposizione genera molta confusione.

• FIDO2 è il framework generale della FIDO Alliance e del W3C. È composto da due componenti: WebAuthn e CTAP.
• WebAuthn è la specifica API del W3C che consente a un browser o a un'app di creare e utilizzare credenziali a chiave pubblica. È il componente su cui gli sviluppatori basano le proprie applicazioni.
• CTAP (Protocollo client-autenticatore) Regola il modo in cui un browser o un sistema operativo comunica con un autenticatore esterno, come una chiave di sicurezza connessa tramite USB, NFC o Bluetooth.
• chiavi di accesso sono il termine utilizzato dall'utente per indicare una credenziale WebAuthn/FIDO2. chiave universale può essere associata a un dispositivo (legata a un singolo dispositivo, come la maggior parte delle chiavi di sicurezza) oppure sincronizzata su tutti i dispositivi dell'utente tramite un account cloud della piattaforma.

In parole semplici, FIDO2 è il sistema generale, WebAuthn è l'API web, CTAP è il bridge tra dispositivi e password sono ciò con cui gli utenti interagiscono durante l'accesso.

Casi d'uso aziendali di WebAuthn

Autenticazione della forza lavoro

Utilizza WebAuthn per ridurre la dipendenza dalle password per i dipendenti che accedono ad applicazioni e sistemi aziendali. Gli utenti possono autenticarsi con credenziali di piattaforma, passkey o chiavi di sicurezza.

IAM (CIAM)

Offri ai clienti un'esperienza di accesso più veloce e sicura con un CIAM soluzione per app e portali rivolti ai consumatori, senza aggiungere inutili complicazioni.

Accesso VPN

L'autenticazione WebAuthn e FIDO2 possono essere integrate nell'autenticazione a più fattori (MFA) per l'accesso VPN. È possibile proteggere l'accesso remoto alla rete con un'autenticazione basata su hardware anziché con le combinazioni di password e OTP.

Applicazioni cloud

Estendi WebAuthn alle piattaforme SaaS e cloud tramite integrazioni SSO per un'autenticazione forte e coerente ovunque. Offri agli utenti un'esperienza di autenticazione uniforme senza che ogni applicazione debba gestire l'autenticazione separatamente.

Forza lavoro remota

Offri supporto ai team distribuiti con un'autenticazione che non dipenda dal perimetro della rete aziendale.

Sicurezza Zero Trust

WebAuthn rafforza il modello "mai fidarsi, sempre verificare" vincolando ogni richiesta di accesso a un dispositivo e a un utente verificati, anziché a una credenziale condivisa.

Conformità normativa

Garantire il rispetto dei requisiti di audit e conformità previsti da HIPAA, SOC 2 Type II, PCI-DSS e framework simili che richiedono un'autenticazione robusta e resistente al phishing.

Procedure consigliate per l'implementazione di WebAuthn

• Supporto per più autenticatori In questo modo gli utenti possono scegliere tra dati biometrici, credenziali di piattaforma o chiavi di sicurezza in base al dispositivo e al ruolo ricoperto.
• Abilita il recupero dell'account percorsi che non reintroducono metodi di ripiego deboli e vulnerabili al phishing.
• Applica la verifica dell'utente ad ogni autenticazione, non solo al momento della registrazione iniziale.
• Da abbinare all'autenticazione adattiva Aggiungere controlli basati sul rischio per contesti di accesso insoliti.
• Monitoraggio dell'attività di autenticazione per individuare tempestivamente anomalie e tentativi di verifica falliti.
• Educare gli utenti Informazioni su come registrarsi e utilizzare correttamente gli autenticatori, in particolare per le chiavi di roaming, e su cosa fare in caso di smarrimento del dispositivo.
• Pianificare metodi di autenticazione di riserva per dispositivi smarriti o chiavi di sicurezza danneggiate, senza ricorrere, ove possibile, a password in chiaro.

Come miniOrange abilita l'autenticazione a prova di phishing con WebAuthn

miniOrange integra il supporto WebAuthn direttamente nella sua piattaforma di gestione delle identità e degli accessi. Avrete a disposizione una soluzione pratica per l'accesso senza password e a prova di phishing. Potrete utilizzare l'autenticazione FIDO2, le chiavi di accesso e le chiavi di sicurezza, consentendo a dipendenti e clienti di autenticarsi con Windows Hello, dati biometrici o una chiave hardware a loro scelta.

Anziché trattare l'accesso senza password come una funzionalità a sé stante, miniOrange combina WebAuthn con una soluzione MFA adattiva . Le decisioni di autenticazione possono tenere conto dello stato del dispositivo, della posizione e dei segnali di rischio, oltre alla credenziale crittografica stessa.

La gestione centralizzata delle policy consente ai team IT e di sicurezza di definire i requisiti di autenticazione una sola volta e di applicarli in modo coerente a VPN, applicazioni cloud e sistemi on-premise, grazie anche alle integrazioni aziendali che si integrano con lo stack di identità esistente.

Conclusione

WebAuthn si è evoluto da standard emergente del W3C a fondamento pratico per l'accesso senza password e resistente al phishing su tutto il web.

Utilizza la crittografia a chiave pubblica, credenziali con ambito di relying party e autenticatori come le credenziali della piattaforma e le chiavi di sicurezza. È possibile utilizzarlo per l'accesso senza password, rafforzando al contempo la protezione contro il phishing e gli attacchi basati sulle credenziali.

WebAuthn si integra perfettamente nell'ecosistema FIDO2, al pari di CTAP e delle chiavi di accesso. Per le organizzazioni, ciò si traduce in una soluzione utile per l'autenticazione dei dipendenti, le applicazioni rivolte ai clienti, l'accesso VPN e gli ambienti cloud.

La chiave è considerare WebAuthn come parte di una strategia di autenticazione più ampia. Abbina credenziali robuste a un recupero ponderato, controlli delle policy, monitoraggio e autenticazione adattiva per realizzare un'implementazione che funzioni sia per i tuoi utenti che per il tuo team di sicurezza.

DOMANDE FREQUENTI

WebAuthn è sicuro?

Sì. WebAuthn utilizza la crittografia a chiave pubblica anziché chiavi condivise, quindi le chiavi private non lasciano mai il dispositivo dell'utente e nessun dato sensibile viene trasmesso durante l'accesso. Questa architettura lo rende resistente al phishing, al credential stuffing e agli attacchi di replay che compromettono password e OTP.

Quali dispositivi supportano WebAuthn?

WebAuthn è supportato nativamente su Windows, macOS, Linux, Android e iOS/iPadOS, nonché sui principali browser, tra cui Chrome, Edge, Firefox e Safari. Il supporto avviene tramite autenticatori integrati nella piattaforma (come Windows Hello o Face ID) o autenticatori esterni in roaming, come chiavi di sicurezza USB, NFC o Bluetooth.

Qual è la differenza tra WebAuthn e FIDO2?

FIDO2 è un framework di autenticazione più ampio, composto da due parti: WebAuthn, l'API del W3C utilizzata dai browser e dalle parti che si affidano ad essa, e CTAP, il protocollo utilizzato per comunicare con gli autenticatori esterni. WebAuthn è un componente di FIDO2, non uno standard separato e concorrente.

WebAuthn può sostituire completamente le password?

WebAuthn è progettato per eliminare le password per l'accesso quotidiano e molte organizzazioni lo utilizzano come metodo di autenticazione principale o esclusivo. La maggior parte delle implementazioni prevede comunque un processo di ripristino di emergenza per gli autenticatori smarriti o danneggiati.

Come posso abilitare WebAuthn per la mia organizzazione?

L'abilitazione di WebAuthn in genere comporta la configurazione del provider di identità o IAM La piattaforma supporterà FIDO2/WebAuthn come metodo di autenticazione, per poi implementarlo insieme ad altri autenticatori supportati, come le chiavi di sicurezza o la biometria della piattaforma. La gestione centralizzata delle policy semplifica l'applicazione coerente di questa impostazione su tutte le applicazioni e i gruppi di utenti.

Perché la mia chiave di sicurezza WebAuthn o l'accesso biometrico non funzionano?

Tra le cause più comuni si annoverano un autenticatore non registrato per quel sito specifico, un browser o un sistema operativo che non supporta WebAuthn, una chiave di sicurezza non correttamente connessa tramite USB/NFC/Bluetooth o un errore nella verifica dell'utente (PIN/biometrica) sul dispositivo. La ri-registrazione dell'autenticatore o la verifica della compatibilità del browser di solito risolvono il problema.