Definicja FIDO2
FIDO2 to zbiór otwartych standardów uwierzytelniania opracowanych przez FIDO Alliance oraz W3C. Pozwala użytkownikom bezpiecznie logować się do usług internetowych bez konieczności używania tradycyjnych haseł, zastępując je uwierzytelnianiem opartym na kryptografii klucza publicznego, np. za pomocą biometrii, kluczy U2F (np. YubiKey) lub TPM.
Składniki FIDO2
FIDO2 składa się z dwóch głównych komponentów:
- WebAuthn (Web Authentication API) – standard API przeglądarki i aplikacji webowych opracowany przez W3C.
- CTAP (Client to Authenticator Protocol) – protokół komunikacji między przeglądarką a fizycznym lub wbudowanym urządzeniem uwierzytelniającym (np. klucz bezpieczeństwa USB, Bluetooth lub NFC).
Zalety FIDO2
- Brak haseł – eliminacja zagrożeń związanych z phishingiem, przejęciem kont i słabymi hasłami.
- Uwierzytelnianie wieloskładnikowe – wspiera MFA bez SMS i aplikacji OTP.
- Zgodność z Zero Trust – każdy login to osobna, silna weryfikacja użytkownika i urządzenia.
- Ochrona prywatności – klucze nie są współdzielone między usługami; identyfikatory są unikalne.
Jak działa FIDO2?
- Użytkownik rejestruje się w serwisie z obsługą FIDO2.
- Generowany jest klucz publiczny i klucz prywatny – ten drugi przechowywany lokalnie.
- Przy logowaniu przeglądarka prosi użytkownika o potwierdzenie tożsamości (np. odcisk palca, klucz USB).
- Klucz prywatny podpisuje wyzwanie od serwera, a klucz publiczny weryfikuje podpis.
Zastosowania FIDO2
- Logowanie do systemów korporacyjnych (Microsoft 365, Google Workspace, Okta).
- Uwierzytelnianie pracowników w systemach Zero Trust i IAM.
- Zabezpieczanie dostępu do systemów SCADA i OT bez haseł.
- Zastąpienie VPN OTP i SMS MFA w środowiskach zdalnych.
Przykładowe urządzenia zgodne z FIDO2
| Producent | Model | Interfejs | Dodatki |
|---|---|---|---|
| Yubico | YubiKey 5 NFC | USB/NFC | FIDO2, U2F, OTP, PGP |
| SoloKeys | Solo V2 | USB | Open Source, FIDO2 |
| Feitian | BioPass K27 | USB-C | Biometria, FIDO2, OTP |
| Titan Security Key | USB/NFC | FIDO2, CTAP2, BLE (BT edycja) |
Wyzwania wdrożenia
- Zgodność aplikacji – starsze systemy nie wspierają WebAuthn.
- Koszt urządzeń – zakup kluczy dla całej organizacji może być barierą.
- Zarządzanie kluczami – utrata urządzenia wymaga procesu odzyskiwania.
- Ograniczenia mobilne – starsze przeglądarki i OS mogą nie obsługiwać CTAP2.
- Integracja z politykami IAM – konieczność spójności z istniejącymi rozwiązaniami MFA.
Trendy i przyszłość FIDO2
- Passkeys (klucze przechowywane w chmurze) – synchronizacja między urządzeniami Apple, Google i Microsoft.
- FIDO2 jako domyślny mechanizm logowania – rosnąca liczba usług bez loginów i haseł.
- Wbudowana biometria (Windows Hello, Android) – wzrost adopcji uwierzytelniania lokalnego.
- Standardy sektorowe (np. NIST SP 800-63) – rekomendują FIDO2 jako silny mechanizm uwierzytelnienia.