Co to jest FIDO Alliance?

Fast IDentity Online (FIDO) Alliance to globalne konsorcjum międzybranżowe, założone w 2012 roku w celu zmniejszenia zależności od haseł poprzez opracowanie otwartych interoperacyjnych standardów uwierzytelniania. Organizacja FIDO Alliance ta powstała w reakcji na rosnący poziom zaawansowania zagrożeń cybernetycznych i naturalne słabości tradycyjnego uwierzytelniania opartego na hasłach. Jej celem jest uproszczenie bezpiecznego logowania dla organizacji i ich użytkowników.

FIDO Alliance zrzesza czołowe firmy z branż technologii, finansów i usług — w tym Google, Microsoft, Apple, Amazon i inne — w celu opracowania uniwersalnych, odpornych na phishing standardów uwierzytelniania, które poprawią zarówno bezpieczeństwo, jak i komfort pracy w różnych branżach.

Cel FIDO Alliance

Głównym celem FIDO Alliance jest eliminacja haseł i promowanie silniejszego, przyjaznego dla użytkownika uwierzytelniania. Jest to osiągane poprzez opracowywanie otwartych standardów, takich jak FIDO2 i WebAuthn, które umożliwiają użytkownikom uwierzytelnianie się za pomocą danych biometrycznych, sprzętowych kluczy bezpieczeństwa lub danych uwierzytelniających opartych na urządzeniach zamiast haseł. Dla organizacji przyjęcie standardów FIDO oznacza zwiększenie zaufania użytkowników, usprawnienie zarządzania tożsamością i wspieranie zgodności z głównymi przepisami ochrony danych i bezpieczeństwa.

Rodzaje protokołów FIDO

Organizacja FIDO Alliance stworzyła kilka otwartych protokołów uwierzytelniania, dzięki którym weryfikacja tożsamości cyfrowej ma być bezpieczniejsza, bardziej skalowalna i sprawniejsza. Każdy protokół zapewnia elastyczność w różnych sytuacjach związanych z uwierzytelnianiem.

FIDO2

FIDO2 to najczęściej używany standard FIDO, oparty na WebAuthn (Web Authentication API) i Client-to-Authenticator Protocol (CTAP). Razem technologie te umożliwiają odporne na phishing uwierzytelnianie bez użycia haseł w różnych przeglądarkach i urządzeniach, przy użyciu biometrii, kodów PIN lub sprzętowych kluczy bezpieczeństwa.

FIDO2, obsługiwany przez główne platformy, takie jak Windows, macOS, Android, iOS i Chrome, pomaga organizacjom zwiększyć bezpieczeństwo i komfort oraz chronić się przed phishingiem i kradzieżą danych uwierzytelniających.

Universal Authentication Framework (UAF)

Universal Authentication Framework (UAF) jest jednym z oryginalnych protokołów FIDO, który umożliwia uwierzytelnianie całkowicie bez użycia hasła, pozwalając użytkownikom na lokalną weryfikację tożsamości na swoich urządzeniach za pomocą biometrii. Po zidentyfikowaniu osoby na podstawie odcisku palca lub twarzy, urządzenie generuje unikalny podpis kryptograficzny, który bezpiecznie potwierdza tożsamość użytkownika, nie przesyłając żadnych danych biometrycznych ani danych uwierzytelniających online.

Stworzony do uwierzytelniania mobilnego protokół UAF umożliwia sprawne i bezpieczne logowanie, idealne dla smartfonów i aplikacji mobilnych. To podejście poprawia zarówno wygodę użytkowników, jak i bezpieczeństwo danych, co czyni je szczególnie cennym dla organizacji oferujących usługi o wysokim poziomie zaufania, takie jak bankowość mobilna.

Universal Second Factor (U2F)

Universal Second Factor (U2F) to starszy standard uwierzytelniania, który wprowadził klucze sprzętowe jako silny dodatkowy składnik uwierzytelniania. Dzięki U2F użytkownicy weryfikują logowanie poprzez dotyk lub włożenie fizycznego klucza bezpieczeństwa, co zapewnia kryptograficznie bezpieczną ochronę przed phishingiem i kradzieżą danych uwierzytelniających.

Podczas gdy U2F zbudował fundamenty nowoczesnego uwierzytelniania bezhasłowego, wraz z pojawieniem się nowoczesnych standardów FIDO2 i WebAuthn stopniowo stał się przestarzały. U2F pozostaje w użyciu ze względu na kompatybilność wsteczną, ale w nowych wdrożeniach generalnie powinno się stosować uwierzytelnianie wieloskładnikowe (MFA) oparte na FIDO2.

Jak działa uwierzytelnianie FIDO?

Uwierzytelnianie FIDO wykorzystuje silną kryptografię, aby umożliwić bezpieczne logowanie bez użycia hasła. Oto główne zasady uwierzytelniania FIDO:

Kryptografia klucza publicznego: Podczas rejestracji w usłudze każde urządzenie generuje unikalną parę kluczy — publiczny i prywatny. Klucz prywatny jest bezpiecznie przechowywany na urządzeniu użytkownika, a klucz publiczny jest przechowywany na serwerze, co eliminuje potrzebę przesyłania poświadczeń online.
Uwierzytelnianie biometryczne: Użytkownicy uwierzytelniają się lokalnie za pomocą biometrii, dzięki czemu żadne dane biometryczne ani uwierzytelniające nigdy nie opuszczają urządzenia.
Sprzętowe klucze bezpieczeństwa: Klucze prywatne są przechowywane w zaufanych sprzętowych kluczach bezpieczeństwa, które chronią przed atakami phishingowymi i kradzieżą danych uwierzytelniających.
Nowoczesne standardy: Standardy FIDO2 i WebAuthn umożliwiają bezproblemowe uwierzytelnianie bez hasła w różnych przeglądarkach i systemach operacyjnych. Użytkownicy mogą bezpiecznie logować się za pomocą dotyku, spojrzenia lub klucza bezpieczeństwa, co ułatwia dostęp przy jednoczesnym zachowaniu wysokiego poziomu bezpieczeństwa.

Zalety standardów FIDO

Standardy uwierzytelniania FIDO to nowoczesne i skalowalne podejście do uwierzytelniania, które poprawia bezpieczeństwo i prywatność zarówno osobom fizycznym, jak i przedsiębiorstwom. Najważniejsze korzyści:

Eliminacja zagrożeń związanych z używaniem haseł: Zastąpienie tradycyjnych haseł parami kluczy kryptograficznych eliminuje ryzyko związane ze słabymi lub używanymi wielokrotnie hasłami.
Ochrona przed atakami phishingowymi: Klucze prywatne nigdy nie opuszczają urządzenia użytkownika i nie mogą być przechwycone, co minimalizuje ryzyko phishingu lub ataków typu man-in-the-middle (MITM).
Ochrona prywatności użytkowników: Dane biometryczne wykorzystywane do uwierzytelniania są przechowywane lokalnie na urządzeniu użytkownika, co zapewnia prywatność i zgodność ze standardami ochrony danych.
Wspomaganie zgodności z przepisami o ochronie prywatności danych: Uwierzytelnianie FIDO jest zgodne z globalnymi przepisami, pomagając organizacjom zmniejszyć ryzyko naruszeń danych.