Google, Microsoft e Apple si impegnano a rispettare lo standard di accesso senza password

Google, Microsoft e Apple hanno annunciato il supporto per espandere il supporto per l’accesso senza password ai principali sistemi operativi e dispositivi. Le tre società hanno annunciato piani il 5 maggio 2022 per supportare uno standard di accesso senza password, creato dalla FIDO Alliance e dal World Wide Web Consortium.

L’accesso senza password corrente è specifico per determinati sistemi operativi o servizi. Microsoft ha introdotto il supporto per gli account senza password nel 2021 e il supporto per gli accessi senza password quasi cinque anni fa.

I clienti possono configurare la funzionalità online per utilizzare l’applicazione Authenticator dell’azienda, Windows Hello o altre opzioni di autenticazione, per accedere ai propri account su dispositivi Windows e servizi Microsoft. La società afferma che oltre 240 milioni di clienti accedono ai propri account senza utilizzare una password ogni mese.

Secondo l’azienda, più di 330.000 clienti hanno rimosso completamente la password dal proprio account Microsoft negli ultimi sei mesi.

Autenticazione più semplice e più efficace” non è solo lo slogan di FIDO Alliance, ma è stato anche un principio guida per le nostre specifiche e linee guida per l’implementazione. L’ubiquità e l’usabilità sono fondamentali per vedere l’autenticazione a più fattori adottata su larga scala e ci congratuliamo con Apple, Google e Microsoft per aver contribuito a realizzare questo obiettivo impegnandosi a supportare questa innovazione user-friendly nelle loro piattaforme e prodotti”, ha affermato Andrew Shikiar , direttore esecutivo e CMO di FIDO Alliance.

Lo standard migliorato colma il divario tra diversi sistemi operativi, dispositivi, app e servizi, in modo che siti Web, servizi e app possano offrire “accesso senza password coerente, sicuro e semplice ai consumatori su dispositivi e piattaforme” secondo l’annuncio.

Le password sono “uno dei punti di accesso più comuni per gli aggressori” secondo Vasu Jakkal, vicepresidente aziendale Microsoft, sicurezza, conformità, identità e gestione. Gli attacchi alle password sono quasi raddoppiati negli ultimi 12 mesi secondo Microsoft.

I meccanismi di autenticazione a due fattori aiutano a proteggere gli account, poiché bloccano il 99,9% di tutti gli attacchi secondo uno studio Microsoft. Mentre gli aggressori possono rubare le password degli utenti, ad esempio, tramite attacchi di phishing, attacchi di forza bruta o malware, l’autenticazione a due fattori blocca l’accesso all’account fino al completamento di una forma secondaria di autenticazione. Le app di autenticazione possono essere utilizzate per questo, ma anche con altri mezzi.

I sistemi di accesso senza password fanno un ulteriore passo avanti rimuovendo le password dagli account. Gli utenti utilizzano le stesse opzioni di autenticazione che usano per l’autenticazione a due fattori, ad esempio un’app di autenticazione, una chiave di sicurezza, Windows Hello o codici inviati ai dispositivi mobili o agli account di posta elettronica, ma senza dover fornire una password.

Lo standard ampliato offre a siti Web e applicazioni un’opzione per offrire opzioni di accesso senza password end-to-end a utenti e clienti. Con il nuovo sistema abilitato sui propri dispositivi mobili, gli utenti utilizzeranno gli stessi metodi di verifica per l’accesso ad app o servizi, che utilizzano regolarmente sui propri dispositivi. Possono inserire il loro PIN o utilizzare le opzioni di autenticazione biometrica, se supportate dal dispositivo.

Apple, Google e Microsoft dovrebbero introdurre il supporto per lo standard esteso nel 2023.

I vantaggi del nuovo standard senza password

Il nuovo standard senza password è stato creato da FIDO Alliance e W3C. È supportato da Microsoft, Google e Apple, che aggiungeranno il supporto alle loro piattaforme. Le tre società hanno “guidato lo sviluppo dell’insieme esteso di capacità” per estendere ciò che è già supportato.

Il principale vantaggio dello standard esteso è che aggiunge funzionalità aggiuntive che migliorano significativamente l’esperienza:

• Gli utenti possono utilizzare l’opzione di autenticazione fornita da FIDO sui propri dispositivi mobili per accedere a qualsiasi app, sito Web o dispositivo nelle vicinanze, indipendentemente dal sistema operativo o dal browser utilizzato.
• Accedi alle credenziali di accesso FIDO su qualsiasi dispositivo di proprietà di un determinato utente “senza dover registrare nuovamente ogni account”.

La FIDO Alliance osserva che il nuovo standard è “radicalmente più sicuro rispetto alle password e alle tecnologie multifattoriali legacy come i passcode monouso inviati tramite SMS”. Quando le società Internet hanno iniziato a introdurre opzioni di autenticazione a due fattori circa un decennio fa , molte hanno fatto affidamento su canali di consegna non sicuri, inclusi e-mail o SMS, per il codice di autenticazione secondario. Sebbene siano ancora più sicuri degli accessi con password, questi canali non protetti potrebbero comunque essere sfruttati da aggressori dedicati.

L’introduzione di app di autenticazione, come Microsoft Authenticator o Authy, ha eliminato tale rischio. I codici sono stati creati dalle applicazioni in locale senza alcuna attività di rete.

Lo standard esteso che sarà disponibile nel 2023 offre gli stessi vantaggi oltre al supporto cross-device e piattaforma. Le informazioni biometriche dell’utente, utilizzate per l’autenticazione tra siti, app e servizi, sono disponibili solo in locale. Le informazioni sulla passkey possono essere sincronizzate tra i dispositivi, sempre senza alcuna limitazione della piattaforma, a condizione che la piattaforma stessa supporti lo standard esteso.

In passato è stato difficile installare e utilizzare alcune applicazioni di autenticazione su più dispositivi; il nuovo standard renderà tutto più semplice e migliorerà l’esperienza per gli utenti che perdono l’accesso ai propri dispositivi o passano ad altri dispositivi.

Il sistema di autenticazione Windows Hello di Microsoft supporta gli accessi con passkey su tutti i siti che già supportano la funzionalità. Presto, i proprietari di dispositivi Apple e Google potrebbero utilizzare le passkey per accedere agli account Microsoft.

La rimozione delle password elimina gli attacchi che mirano a rubare le password degli account. Gli attacchi di phishing prendono spesso di mira le password degli utenti e le informazioni di autenticazione, ma senza una password e l’autenticazione della password, gli aggressori si imbattono in muri di mattoni quando tentano di rubare dati che non esistono.

Questa settimana Microsoft ha annunciato nuove funzionalità di accesso senza password:

• Il supporto senza password è ora disponibile per Windows 365, Desktop virtuale di Azure e Infrastruttura di desktop virtuale nelle build di anteprima di Windows 11 Insider. Microsoft prevede di implementare il supporto per Windows 10 e 11 nel prossimo futuro.
• Microsoft Authenticator supporta più account senza password per Auire AD. La nuova funzionalità verrà implementata sui dispositivi iOS a maggio 2022 e sui dispositivi Android entro la fine dell’anno.
• Windows Hello for Business Cloud Trust migliora l’esperienza di distribuzione per ambienti ibridi secondo Microsoft.
• Il pass di accesso temporaneo in Azure AD è in anteprima pubblica da tempo. L’aggiornamento consente agli utenti di usare la funzionalità per accedere per la prima volta, configurare Windows Hello e aggiungere un dispositivo ad Azure AD.

Parole di chiusura

Il supporto multipiattaforma e dispositivo per lo standard di accesso senza password lo renderà più attraente per gli utenti, poiché elimina il fastidio di dover destreggiarsi tra diverse opzioni di autenticazione senza password se vengono utilizzate piattaforme diverse.

Resta da vedere come i tre principali attori implementeranno il supporto e come tutto funzionerà una volta che il supporto sarà stato introdotto su tutte e tre le piattaforme.