Klucz bezpieczeństwa FIDO2: co to jest, jak działa i czy chroni przed phishingiem?

Klucz FIDO2 to fizyczny klucz bezpieczeństwa wykorzystujący kryptografię klucza publicznego do potwierdzania tożsamości użytkownika. Może umożliwiać logowanie bez hasła i ograniczać ryzyko phishingu, ponieważ użytkownik nie przekazuje stronie hasła ani jednorazowego kodu.

Klucze FIDO2, takie jak rozwiązania OneSpan, mogą zabezpieczać dostęp do kont firmowych, usług chmurowych i aplikacji, w tym środowisk takich jak Microsoft Entra ID. Dla organizacji są jednym ze sposobów przejścia od tradycyjnych haseł i kodów OTP do silniejszego uwierzytelniania.

Co to jest FIDO2?

FIDO2 to otwarty standard uwierzytelniania oparty na kryptografii klucza publicznego.

Składa się z dwóch głównych elementów:

• WebAuthn, który umożliwia aplikacjom i stronom internetowym korzystanie z poświadczeń kryptograficznych,
• CTAP, który umożliwia komunikację z zewnętrznym uwierzytelniaczem, takim jak fizyczny klucz bezpieczeństwa.

Najprościej:

FIDO2 = WebAuthn + CTAP

Jak działa klucz bezpieczeństwa FIDO2?

Podczas rejestracji klucza w danej usłudze tworzona jest para kluczy kryptograficznych.

Klucz publiczny jest przechowywany przez usługę.
Klucz prywatny pozostaje na urządzeniu.

Podczas logowania system wysyła kryptograficzne wyzwanie, które jest podpisywane lokalnie przez klucz bezpieczeństwa. Użytkownik może dodatkowo potwierdzić operację za pomocą:

• dotknięcia klucza,
• PIN-u,
• odcisku palca,
• innej metody obsługiwanej przez urządzenie.

Hasło ani dane biometryczne nie muszą być przesyłane do usługi.

Dlaczego FIDO2 jest odporne na phishing?

W przypadku tradycyjnego uwierzytelniania użytkownik może wpisać hasło lub kod OTP na fałszywej stronie internetowej.

FIDO2 działa inaczej, ponieważ poświadczenie jest powiązane z konkretną usługą lub domeną.

Oznacza to, że użytkownik nie posiada sekretu, który można po prostu skopiować i przekazać atakującemu. Dlatego FIDO2 jest wykorzystywane jako metoda uwierzytelniania odporna na phishing.

Nie oznacza to jednak, że FIDO2 eliminuje każdy możliwy sposób przejęcia konta. Nadal ważne są procedury odzyskiwania dostępu, bezpieczeństwo urządzenia oraz zarządzanie sesjami.

Czy FIDO2 może być używane do logowania bez hasła?

Tak.

FIDO2 może obsługiwać w pełni bezhasłowe uwierzytelnianie.

Użytkownik może nadal korzystać z PIN-u lub biometrii, ale służą one do lokalnego odblokowania uwierzytelniacza. Nie są tradycyjnymi hasłami przesyłanymi do serwera.

Klucz bezpieczeństwa FIDO2 a passkey

Te pojęcia są ze sobą powiązane, ale nie oznaczają dokładnie tego samego.

Passkey to poświadczenie oparte na standardach FIDO. Klucz bezpieczeństwa FIDO2 jest jednym z urządzeń, na których takie poświadczenie może być przechowywane.

Passkey może być:

• przechowywany na fizycznym kluczu bezpieczeństwa,
• powiązany z konkretnym urządzeniem,
• synchronizowany pomiędzy wieloma urządzeniami.

Oznacza to, że nie każdy passkey jest przechowywany na fizycznym kluczu bezpieczeństwa FIDO2.

FIDO2 a tradycyjne MFA

Kody SMS, kody OTP i powiadomienia push zwiększają bezpieczeństwo w porównaniu z uwierzytelnianiem opartym wyłącznie na haśle, ale użytkownik nadal może zostać nakłoniony do przekazania kodu lub zatwierdzenia fałszywego żądania.

W przypadku FIDO2 nie ma kodu, który użytkownik może przepisać na stronie phishingowej.

Dlatego klucze bezpieczeństwa FIDO2 są szczególnie przydatne tam, gdzie priorytetem jest odporność na phishing, a nie samo dodanie kolejnego składnika uwierzytelniania.

Kiedy warto zastosować klucz bezpieczeństwa FIDO2?

Fizyczny klucz bezpieczeństwa FIDO2 może być szczególnie przydatny dla:

• administratorów,
• kont uprzywilejowanych,
• zespołów IT i bezpieczeństwa,
• pracowników zdalnych,
• użytkowników mających dostęp do wrażliwych danych,
• organizacji wdrażających uwierzytelnianie bezhasłowe,
• środowisk o podwyższonych wymaganiach bezpieczeństwa.

W takich przypadkach fizyczny klucz bezpieczeństwa daje organizacji dodatkową kontrolę nad miejscem przechowywania poświadczenia uwierzytelniającego.

Czy FIDO2 działa z Microsoft Entra ID?

Tak. Microsoft Entra ID obsługuje fizyczne klucze bezpieczeństwa FIDO2 oraz passkeys.

Dzięki temu organizacje korzystające ze środowisk Microsoft mogą wdrażać FIDO2 jako element strategii uwierzytelniania bezhasłowego i odpornego na phishing.

Co się stanie, jeśli użytkownik zgubi klucz?

To pytanie warto rozwiązać jeszcze przed wdrożeniem.

Organizacja powinna przygotować:

• drugi zarejestrowany klucz bezpieczeństwa lub inną zatwierdzoną metodę uwierzytelniania,
• procedurę zgłoszenia utraty klucza,
• możliwość unieważnienia zgubionego urządzenia,
• bezpieczny proces odzyskiwania konta.

FIDO2 nie sprowadza się więc wyłącznie do wyboru odpowiedniego urządzenia. Wymaga również zarządzania całym cyklem życia uwierzytelniacza.