Notifiche push e chiavi hardware

I codici OTP digitati funzionano, ma sono scomodi e vulnerabili al phishing. Due fattori di possesso più robusti migliorano l'esperienza e la sicurezza: le approvazioni push e le chiavi di sicurezza hardware.

La MFA basata su push invia una richiesta al telefono. È sufficiente toccare Approva o Rifiuta invece di digitare un codice.

È comoda e il server conferma crittograficamente la risposta.

Le richieste push sono vulnerabili all'affaticamento da MFA (push bombing): gli attaccanti inviano richieste di approvazione in massa, sperando che l'utente tocchi Approva per esasperazione.

Difesa: la corrispondenza numerica, che richiede all'utente di inserire un numero mostrato nella schermata di accesso.

Una chiave di sicurezza hardware è un piccolo dispositivo fisico (USB, NFC o Bluetooth) che esegue l'autenticazione crittografica.

La chiave privata non lascia mai il dispositivo, rendendolo estremamente resistente al furto.

FIDO2 è lo standard aperto alla base delle moderne chiavi di sicurezza. La sua componente web è l'API browser WebAuthn.

Insieme, consentono a un sito di autenticare gli utenti con la crittografia a chiave pubblica invece che con segreti condivisi.

Durante la registrazione, la chiave genera una coppia di chiavi univoca per ogni sito e fornisce al sito la chiave pubblica.

Durante l'accesso, il server invia una sfida; la chiave la firma con la chiave privata. La firma dimostra il possesso della chiave senza rivelare alcun segreto.

FIDO2 associa ogni credenziale all'esatta origine del sito (dominio).

Un sito di phishing ospitato su un dominio simile non ottiene alcuna firma valida, perché la chiave rifiuta di autenticarsi sull'origine errata. È questo che la rende resistente al phishing.

Le passkey sono credenziali FIDO2 che possono sincronizzarsi tra i propri dispositivi tramite la piattaforma (telefono, laptop).

Mirano a sostituire completamente le password, mantenendo al contempo la resistenza al phishing di FIDO2.

Le chiavi di sicurezza possono aggiungere un controllo locale, chiamato verifica dell'utente: un PIN o un dato biometrico direttamente sul dispositivo.

In questo modo si combinano qualcosa che si possiede con qualcosa che si conosce o che si è in un solo tocco.

Indicativamente, dal più debole al più robusto:

• Codici SMS (da evitare ove possibile)
• App TOTP
• Push con corrispondenza numerica
• FIDO2 / passkey (resistenti al phishing)

Quando si implementano le chiavi hardware:

• Registri almeno due chiavi per utente (una come backup).
• Fornisca una procedura di recupero che sia anch'essa resistente al phishing.
• Preferisca FIDO2 per gli account di alto valore.

Perché le chiavi di sicurezza FIDO2 sono considerate resistenti al phishing?

Ha imparato a conoscere fattori di possesso più robusti.

• Il push è comodo, ma richiede la corrispondenza numerica per resistere agli attacchi basati sull'affaticamento.
• FIDO2 / passkey usa coppie di chiavi specifiche per ogni sito e il vincolo sull'origine per resistere al phishing.
• Registri chiavi di backup.

Ora vedremo come sia comunque possibile aggirare la MFA e come rafforzarla.