Go passwordless con il nuovo Yubico WebAuthn Starter Kit

WebAuthn è l’ultimo standard aperto per l’autenticazione online moderna altamente resistente al phishing, combinando un’elevata sicurezza con un’esperienza utente semplice e facile. Con WebAuthn, qualsiasi servizio Web può integrare la strong authentication nelle applicazioni utilizzando il supporto integrato in tutti i principali browser e piattaforme. Ciò significa che i servizi Web possono ora offrire facilmente agli utenti una strong authentication con una scelta di autenticatori come le chiavi di sicurezza YubiKey o gli autenticatori di piattaforma integrati con lettori biometrici.

WebAuthn è il primo standard ad abilitare una strong authentication passwordless a fattore singolo (Tap n Go), una strong authentication passwordless a più fattori e un’autenticazione di secondo fattore per un accesso utente più sicuro agli account online. Nello scenario di strong multi-factor authentication passwordless, Yubico presenta l’accesso passwordless come YubiKey+PIN per l’autenticazione e il futuro YubiKey+Fingerprint con l’imminente YubiKey Bio.

Con l’ampia adozione di WebAuthn tra i fornitori di sistemi operativi e browser, WebAuthn è passato al mainstream per la strong authentication e i fornitori di servizi se ne sono accorti. Yubico è lieta di rendere l’esperienza di integrazione di WebAuthn più facile da implementare per architetti, sviluppatori e system designers, fornendo un’architettura di riferimento open source a tutti gli effetti nel loro WebAuthn Starter Kit.

Lo Starter Kit WebAuthn di Yubico fornisce un esempio di architettura incentrata sul WebAuthn con un framework di autenticazione che colma il divario tra l’accesso basato su password legacy e una moderna esperienza passwordless. Lo Starter Kit di Yubico WebAuthn non solo include codice pronto per essere distribuito a qualsiasi account AWS, ma include anche documentazione che copre la logica dell’applicazione, i dettagli di implementazione di riferimento e le best practice su WebAuthn.

 

Affrontare i punti deboli degli sviluppatori
Attualmente, uno sviluppatore che cerca di integrare WebAuthn nel proprio provider di identità potrebbe avere difficoltà a trovare esempi di codice e documentazione che spieghino:

  • Passaggi su come adottare WebAuthn e migrare gli utenti lontano dalle password.
  • Gestione delle credenziali WebAuthn e best practice del ciclo di vita.

Lo Starter Kit WebAuthn di Yubico aiuta ad affrontare i punti deboli associati alla transizione dalle password utilizzando un flusso dinamico centrato sull’identità dell’utente. In un flusso identifier-first, un utente viene automaticamente guidato lungo il percorso di accesso abilitato dagli autenticatori che si sono registrati con il proprio account (es. YubiKey, sensori biometrici incorporati, ecc.) Utilizzando una password solo se l’autenticatore non supporta il multi-factor, o non è supportato dal client (cioè browser o sistema operativo) con cui ci si sta autenticando. Convalidare che il flag di verifica dell’utente dell’autenticatore corrisponda al valore previsto lato server è un elemento cruciale della guida al flusso dell’identificatore.

Il kit mira a fornire un’architettura di riferimento che dimostri i concetti in una distribuzione pratica. L’obiettivo finale è fornire agli sviluppatori interessati un ambiente che possano sostenere per il proprio uso. Questo ambiente è progettato per assomigliare ai framework di autenticazione attualmente in uso, ma con WebAuthn incorporato come pietra angolare di un’esperienza passwordless rispetto a un flusso di autenticazione a due fattori standard.

 

Sfruttare Amazon Web Services (AWS)
Yubico ha sfruttato il modello di applicazione serverless di AWS per fungere da framework uniforme per consentire agli utenti di distribuire istanze personali di Yubico WebAuthn Starter Kit da esaminare. Inoltre, è incluso anche uno script che automatizza la distribuzione, ottimizzando il processo di distribuzione e garantendo l’uniformità. Un account AWS gratuito è sufficiente per chiunque desideri distribuire il WebAuthn Starter Kit.

Oltre a un server back-end ospitato su AWS, Yubico WebAuthn Starter Kit fornisce anche un client Web di esempio come parte di una distribuzione standard, consentendo alle parti interessate di condividere l’esperienza WebAuthn con altri nella loro organizzazione.

 

Passaggio da password a passwordless con WebAuthn
Il vantaggio delle password è che sono universali: tutti sanno come usarle e ognuno ha la possibilità di crearne di proprie. Lo svantaggio è che le password non sono sicure e possono essere facilmente hackerate o violate. E sebbene sia facile da configurare, l’esperienza non è ottimale, poiché richiede all’utente di ricordare centinaia di password e di modificarle periodicamente, spesso a favore di versioni più complesse. Al contrario, WebAuthn offre uno standard globale per l’autenticazione sicura sul Web, con la capacità di eliminare potenzialmente le password del tutto, su tutti i principali browser e piattaforme. Ciò consente un’esperienza utente sicura e coerente, indipendentemente dal dispositivo su cui si trovano.

Non richiedendo un’interazione non necessaria da parte dell’utente, i servizi possono guidare automaticamente gli utenti lungo il percorso più sicuro e supportare simultaneamente l’intera gamma di opzioni di autenticazione da YubiKey come secondo fattore con password e passwordless. In definitiva, i servizi possono indirizzare gli utenti a un’esperienza passwordless WebAuthn quando applicabile per loro, pur continuando a supportare gli utenti che non hanno avuto l’opportunità o il desiderio di andare oltre la loro password. Tutto questo può essere fatto mantenendo un flusso utente simile.

 

Utilizzo dello Starter Kit WebAuthn di Yubico
Lo Starter Kit WebAuthn di Yubico e la documentazione associata sono stati creati pensando al pubblico tecnico. L’obiettivo è affrontare l’implementazione pratica e le domande specifiche sul codice, oltre a fornire best practice WebAuthn più teoriche e consigli relativi all’integrazione.

  • Architetti e system designers di alto livello trarranno vantaggio dall’avere una distribuzione in cui i singoli componenti sono ben definiti, con le interazioni tra ogni elemento chiaramente descritte. Inoltre, i vantaggi di un flusso che privilegia l’identificatore, che collega password ed esperienze passwordless, possono essere osservati nella pratica, portando chiarezza su come un tale flusso può essere integrato nelle architetture esistenti.
  • Gli sviluppatori di UI/UX e di sistemi client trarranno vantaggio da un client open source, consentendo loro di comprendere sia le connessioni richieste a un sistema di backend per l’implementazione di WebAuthn, sia le nuove opzioni di autenticazione per gli utenti abilitate da WebAuthn. Inoltre, lo Starter Kit risolve alcune delle preoccupazioni più comuni per WebAuthn, come il recupero dell’account.
  • Gli sviluppatori di sistemi di backend e server avranno un server WebAuthn funzionante, che implementa l’intera specifica WebAuthn connessa alla logica di backend per gestire non solo l’esecuzione di interazioni WebAuthn, ma anche la gestione delle credenziali di backend e degli utenti. Con un esempio funzionante a cui fare riferimento, lo sviluppo può essere semplificato su più piattaforme e linguaggi.

 

Ottenere il WebAuthn Starter Kit
Lo Starter Kit WebAuthn di Yubico è ora in accesso anticipato e Yubico non vede l’ora di ricevere un feedback. Può essere scaricato dallo Yubico Developer Program Portal dopo aver creato un account gratuito.

PUBBLICATO DA:<br>Fabrizio Bressani
PUBBLICATO DA:
Fabrizio Bressani
Managing Director, DotForce

ARTICOLI CORRELATI

L’autenticazione passwordless è sicura?

L’autenticazione passwordless è sicura?

Di Chris Collier, Technology Advocate for Identity and Access Management, HYPR Nonostante l'aumento degli investimenti per la sicurezza informatica, normative più severe e attività specifiche di formazione del personale, gli attacchi informatici continuano la loro...

7 suggerimenti per fermare gli hacker del Wi-Fi

7 suggerimenti per fermare gli hacker del Wi-Fi

La sicurezza perimetrale non è più sufficiente per le reti di oggi. Questo perché ci sono tanti modi per aggirare il tuo robusto firewall e semplicemente entrare dalla porta sul retro. Alcuni dei metodi utilizzati dagli hacker per aggirare le difese perimetrali...