Autenticazione FIDO

Una rappresentazione delle entità coinvolte nell'autenticazione: un server, un browser Web e un dispositivo.

L'autenticazione FIDO (Fast IDentity Online) è un insieme di standard per un'autenticazione rapida, semplice e forte.

Questi standard sono sviluppati dalla FIDO Alliance, un'associazione di settore con rappresentanti di una serie di organizzazioni tra cui Google, Microsoft, Mozilla e Yubico. Gli standard consentono l'autenticazione resistente al phishing, senza password e a più fattori. Migliorano l'esperienza utente online semplificando l'implementazione e l'utilizzo dell'autenticazione forte.

Alcuni degli strumenti e delle app più popolari del Web utilizzano già l'autenticazione FIDO, inclusi account Google, Dropbox, GitHub, Twitter e Yahoo Japan.


  • Gli utenti vincono. Gli utenti beneficiano di flussi di autenticazione veloci e sicuri.

  • Gli sviluppatori vincono. Gli sviluppatori di app e web possono utilizzare semplici API per autenticare gli utenti in modo sicuro.

  • Le aziende vincere. I proprietari di siti e i fornitori di servizi possono proteggere in modo più efficace i propri utenti.

Come funziona l'autenticazione FIDO?

In un flusso di autenticazione FIDO, un utente utilizzatore utilizza le API per interagire con autenticatore di un utente.

Parte affidata

Una rappresentazione di un collegamento sicuro tra un'app Web e un server Web.

La parte che invoca è il vostro servizio, composto da un server back-end e un'applicazione di front-end.

Applicazione

Durante un flusso di autenticazione o di registrazione, l'applicazione utilizza le API lato client come WebAuthn e FIDO2 per Android per creare e verificare le credenziali degli utenti con l'autenticatore.

Ciò comporta il passaggio di una verifica crittografica dal server all'autenticatore e la restituzione della risposta dell'autenticatore al server per la convalida.

server

Il server memorizza le credenziali della chiave pubblica dell'utente e le informazioni sull'account.

Durante un flusso di autenticazione o registrazione, il server genera una verifica crittografica in risposta a una richiesta dall'applicazione. Quindi valuta la risposta alla sfida.

Il FIDO Alliance mantiene un elenco di prodotti di terze parti certificati, tra cui soluzioni server. Sono inoltre disponibili numerosi server FIDO open source; vedi WebAuthn impressionante per ulteriori informazioni.

Autenticatore

Un utente sta per accedere a un'app Web su un dispositivo mobile.

A FIDO autenticatore genera le credenziali dell'utente. Una credenziale utente ha un componente chiave pubblica e privata. La chiave pubblica è condivisa con il tuo servizio, mentre la chiave privata è tenuta segreta dall'autenticatore.

Un autenticatore può essere parte del dispositivo dell'utente o un componente hardware o software esterno.

L'autenticatore è utilizzato in due interazioni fondamentali: registrazione e l'autenticazione.

Registrazione

In uno scenario di registrazione, quando un utente si registra per un account su un sito Web, l'autenticatore genera una nuova coppia di chiavi che può essere utilizzata solo sul tuo servizio. La chiave pubblica e un identificatore per la credenziale verranno archiviati nel server.

Autenticazione

In uno scenario di autenticazione, quando un utente torna al servizio su un nuovo dispositivo o dopo la scadenza della sessione, l'autenticatore deve fornire una prova della chiave privata dell'utente. Lo fa rispondendo a una sfida crittografica emessa dal server.

Per verificare l'identità dell'utente, alcuni tipi di autenticatori utilizzano la biometria come le impronte digitali o il riconoscimento facciale. Altri usano un PIN. In alcuni casi, viene utilizzata una password per verificare l'utente e l'autenticatore fornisce solo l'autenticazione di secondo fattore.

Prossimi passi

Prendi un codelab:

Impara di più riguardo: