Presto, non dovrai inserire le password se utilizzi un dispositivo Android 7. È sicuro?

Lunedì, Google lo ha annunciato molto presto, praticamente tutti i dispositivi con Android 7 e versioni successive saranno certificati FIDO. Questo, come scoprirai tra un minuto, è un enorme notizia, ma ci rendiamo conto che al momento, alcuni di voi potrebbero essere un po confusi, motivo per cui dovremmo probabilmente andare avanti a spiegare cos è FIDO e perché è così importante

FIDO e il problema con la password?

FIDO è acronimo di Fast Identity Online, ed è un protocollo di autenticazione sviluppato da un consorzio di alcune delle più grandi aziende tecnologiche del mondo. idea è di rendere autenticazione sia più facile che più sicura. Il modo migliore per capire come andrà a farlo è confrontarlo con quello che abbiamo in questo momento: il nome utente e il sistema di password.

La procedura standard quando ti registri per un servizio online è piuttosto semplice. Al momento della registrazione, viene creato un set di credenziali di accesso che il fornitore di servizi riceve e archivia. Quando provi ad accedere al tuo account, inserisci il nome utente e la password, il fornitore di servizi li confronta con quello che ha sul file, e se è una corrispondenza, sei autorizzato. Ci sono una serie di problemi fondamentali con questo meccanismo.

Dato che il tuo nome utente è pubblicamente disponibile e spesso coincide con la tua email, la sicurezza del tuo account dipende più o meno dalla tua password che, come sappiamo, può essere ( e in molti casi è ) debole. Può anche essere ( e in molti casi è ) riutilizzato o phishing , e non abbiamo nemmeno menzionato il modo in cui la password viene inoltrata tra il client e il server o il modo in cui i provider di servizi la memorizzano . Le persone che progettano FIDO hanno capito che unico modo per affrontare tutti questi problemi è eliminare del tutto la password.

Come funziona FIDO?

FIDO utilizza la crittografia pubblica: un approccio completamente diverso. Durante la procedura di registrazione, il dispositivo FIDO crea una coppia di chiavi crittografiche, una pubblica che viene inviata al fornitore di servizi e una privata che rimane sul dispositivo. Il fornitore di servizi invia una richiesta e il dispositivo utilizza la chiave privata per firmarlo. La sfida firmata viene rispedita al provider che utilizza la tua chiave pubblica per decrittografarla e confermare che sei proprio tu dal altra parte della linea.

È un processo un po complicato, specialmente se non hai familiarità con il modo in cui funziona la crittografia, ma la semplice conseguenza è che se gli hacker vogliono assumere il controllo del tuo account, avranno bisogno di entrambe le chiavi di crittografia: quella pubblica e quella privata. Dal momento che sono archiviati in due luoghi diversi, rubarli è estremamente difficile, supponendo che siano fondamentalmente impossibili, e il design del protocollo rende molto impersonali i service provider, il che significa che anche gli attacchi di phishing regolari non funzioneranno.

implementazione di FIDO in un servizio online è semplice come attivazione di un API, il che significa che la privacy dipende meno da ciò che fa il provider (o non lo fa). Ancora più importante, per la prima volta da molto tempo, abbiamo quello che sembra un alternativa valida alla password difficile da ricordare.

Dove arriva Android?

Google sta aggiornando il componente Google Play Services per dispositivi Android con versione 7.0 o successiva. Quando gli utenti ottengono, saranno in grado di utilizzare i loro telefoni cellulari come dispositivi FIDO.

Ciò significa che accesso a app e servizi che supportano autenticazione FIDO non richiederà altro che utilizzo dello scanner di impronte digitali o del punzonatura del dispositivo in un PIN o in uno schema di scorrimento. Non è necessario inserire password per queste applicazioni e siti Web.

Questa è una buona notizia?

Sì. Siamo così abituati a proteggere i nostri dati con password che idea di abolirli è destinata a rendere alcune persone un po preoccupate, ma come abbiamo già stabilito, uso di chiavi crittografiche invece di una password memorizzata è una soluzione molto migliore in termini di convenienza e sicurezza. Dovrai comunque utilizzare uno dei meccanismi di autenticazione del tuo dispositivo per identificarti, ma tutto ciò avviene localmente, il che rende molto più difficile un potenziale attacco. Siamo abbastanza sicuri che chiunque abbia mai dovuto inserire una password lunga e complessa su una piccola tastiera su schermo apprezzerà anche il cambiamento.

Dov è il problema, allora?

Il coinvolgimento di così tanti giganti della tecnologia leader significa che il design di FIDO è stato probabilmente pensato attentamente, ma non dobbiamo lasciarci prendere la mano. Qualche tempo fa, usare il nome del tuo cane come password era abbastanza buono mentre, al momento, non lo è. Allo stesso modo, il panorama probabilmente si evolverà, e maggiore è il numero di servizi che adottano FIDO, maggiore sarà il numero di persone che cercheranno di attaccarlo. A proposito di adozione, è ancora relativamente basso.

Alcuni servizi hanno implementato token basati su FIDO come una delle opzioni per autenticazione a due fattori (2FA), ma pochi consentono di utilizzare il protocollo come metodo di accesso principale. Il fatto è che è ancora relativamente nuovo e le persone non capiscono bene come possano trarne beneficio. C è un altro problema.

Secondo Wired , quasi 1 miliardo di dispositivi Android diventeranno certificati FIDO che avvicinerà il protocollo a un bel po di persone, ma quando pensi a quanti più telefoni e tablet funzionano su versioni precedenti del sistema operativo mobile di Google, tu? Vedremo che questo è abbastanza lontano. Se le persone devono iniziare a utilizzare FIDO, il protocollo deve essere supportato su qualsiasi cosa, dagli smartwatch ai PC desktop, ei venditori devono anche pensare a cosa faranno con le montagne di gadget di Internet of Things che escono dalle linee di produzione in tutto il mondo ad un ritmo davvero sorprendente In altre parole, la FIDO deve diventare onnipresente come la password. Ed è improbabile che accada presto.

Le password sono qui per rimanere, e devi imparare a trattarle con rispetto. Clicca qui per sapere come il nostro Cyclonis Password Manager può aiutarti a farlo.