Cos'è la FIDO Alliance?

La Fast IDentity Online (FIDO) Alliance è un consorzio globale, intersettoriale fondato nel 2012 per ridurre la dipendenza dalle password attraverso standard di autenticazione aperti e interoperabili. Creata in risposta alle minacce informatiche sempre più sofisticate e alle debolezze intrinseche dell'autenticazione tradizionale basata su password, la FIDO Alliance semplifica le esperienze di accesso sicuro per le organizzazioni e i propri utenti.

La FIDO Alliance riunisce i principali fornitori di tecnologia, finanza e servizi tra cui Google, Microsoft, Apple, Amazon e altri ancora, per sviluppare standard di autenticazione universali e resistenti al phishing che migliorano sia la sicurezza sia l'usabilità in diversi settori.

Scopo della FIDO Alliance

Lo scopo principale della FIDO Alliance è eliminare le password e promuovere un'autenticazione più sicura e facile da usare. Questo obiettivo viene raggiunto sviluppando standard aperti come FIDO2 e WebAuthn, che consentono agli utenti di autenticarsi attraverso metodi biometrici, chiavi di sicurezza hardware o credenziali basate su dispositivi invece delle password. Per le organizzazioni, l'adozione degli standard FIDO aumenta la fiducia degli utenti, semplifica la gestione delle identità e supporta la conformità con i principali framework di protezione e sicurezza dei dati.

Tipi di protocolli FIDO

La FIDO Alliance ha creato diversi protocolli di autenticazione aperti progettati per rendere la verifica dell'identità digitale più sicura, scalabile ed efficiente. Ogni protocollo offre flessibilità per diversi casi d'uso di autenticazione.

FIDO2

FIDO2 è lo standard FIDO più adottato, basato su WebAuthn (Web Authentication API) e sul Client-to-Authenticator Protocol (CTAP). Insieme, queste tecnologie consentono l'autenticazione senza password e resistente al phishing su browser e dispositivi usando dati biometrici, PIN o chiavi di sicurezza hardware.

Supportato da importanti piattaforme come Windows, macOS, Android, iOS e Chrome, FIDO2 aiuta le organizzazioni a migliorare la sicurezza, l'esperienza utente e a proteggere da phishing e furto di credenziali.

Universal Authentication Framework (UAF)

L'Universal Authentication Framework (UAF) è uno dei protocolli FIDO originali che consente l'autenticazione completamente senza password, consentendo agli utenti di verificare localmente la propria identità sui dispositivi tramite biometria. Una volta verificato l'utente tramite impronte digitali o riconoscimento facciale, il dispositivo genera una firma crittografica unica che conferma in modo sicuro l'identità dell'utente senza trasmettere dati biometrici o credenziali online.

Progettato per l'autenticazione mobile-first, l'UAF offre un'esperienza di accesso fluida e sicura, ideale per smartphone e applicazioni mobili. Questo approccio migliora sia la comodità degli utenti sia la protezione dei dati, rendendolo particolarmente utile per le organizzazioni che offrono servizi altamente affidabili come il mobile banking.

Universal Second Factor (U2F)

Universal Second Factor (U2F) è uno standard di autenticazione legacy che ha introdotto l'uso di chiavi di sicurezza hardware come secondo fattore di autenticazione forte. Con lo standard U2F, gli utenti verificano gli accessi toccando o inserendo una chiave di sicurezza fisica, garantendo una protezione crittograficamente sicura contro il phishing e il furto di credenziali.

Sebbene l'U2F abbia gettato le basi per l'autenticazione moderna senza password, è gradualmente diventata obsoleta con l'ascesa degli standard moderni FIDO2 e WebAuthn. L'U2F rimane in uso per la compatibilità con le versioni precedenti, ma le nuove implementazioni dovrebbero generalmente adottare invece l'autenticazione a più fattori (MFA) basata su FIDO2.

Come funziona l'autenticazione FIDO

L'autenticazione FIDO usa una crittografia avanzata per garantire esperienze di accesso sicure e senza password. Ecco i principi fondamentali dell'autenticazione FIDO:

Crittografia a chiave pubblica: Quando ci si registra a un servizio, ogni dispositivo genera una coppia unica di chiavi pubbliche e private. La chiave privata rimane archiviata in modo sicuro sul dispositivo dell'utente, mentre la chiave pubblica viene archiviata sul server, eliminando la necessità di trasmettere le credenziali online.
Autenticazione biometrica: Gli utenti si autenticano localmente tramite biometria, assicurando che i dati biometrici o le credenziali non lascino mai il dispositivo.
Chiavi di sicurezza hardware: Le chiavi private sono memorizzate su chiavi di sicurezza hardware affidabili, garantendo una protezione contro gli attacchi di phishing e il furto di credenziali.
Standard moderni: Gli standard FIDO2 e WebAuthn consentono un'autenticazione senza password senza interruzioni su più browser e sistemi operativi. Gli utenti possono accedere in modo sicuro tramite touch, sguardo o chiave di sicurezza, semplificando l'accesso pur mantenendo un elevato livello di sicurezza.

Vantaggi degli standard FIDO

Gli standard di autenticazione FIDO offrono un approccio moderno e scalabile all'autenticazione che migliora la sicurezza e la privacy di persone e aziende. I suoi principali vantaggi includono:

Elimina le vulnerabilità delle password: Sostituisce le password tradizionali con coppie di chiavi crittografiche, eliminando i rischi associati a password deboli o riutilizzate.
Difende dagli attacchi di phishing: Le chiavi private non lasciano mai il dispositivo dell'utente e non possono essere intercettate, riducendo al minimo le possibilità di phishing o attacchi Man-in-the-Middle (MITM).
Protegge la privacy degli utenti: I dati biometrici usati per l'autenticazione vengono memorizzati localmente sul dispositivo dell'utente, garantendo la privacy e la conformità agli standard di protezione dei dati.
Supporta la conformità alla privacy dei dati: L'autenticazione FIDO si allinea ai framework globali, aiutando le organizzazioni a ridurre il rischio di violazioni dei dati.