WebAuthn è uno standard Web per l’autenticazione

Il W3C (World Wide Web Consortium), l’organizzazione non governativa internazionale che ha l’obbiettivo di sviluppare tutte le potenzialità del World Wide Web, ha approvato in via definitiva l’API WebAuthn che è ora uno standard Internet a tutti gli effetti.

Il Web Authentication Working Group ha annunciato il rilascio della nuova interfaccia tramite il sito Web ufficiale del consorzio, definendola come una soluzione user-friendly contro il furto delle password, il phishing e i replay attack.

Per loro natura infatti le password possono essere perse, trafugate, violate o dimenticate. Dunque il W3C ha studiato questa nuova soluzione che permette di autenticarsi usando tecnologie alternative come quelle biometriche rappresentate dai sensori di impronte digitali e dal riconoscimento dell’iride.

Non dover ricordare una password, o avere l’esigenza di conservarle in modo sicuro, ed affidarsi a sistemi di autenticazione biometrica è sicuramente la scelta più sicura e comoda per l’utente e già diverse piattaforme hanno scelto di adottare WebAuthn.

Viene infatti già supportata attivamente da tutti i principali browser web e da Windows 10. Di recente è stata presentata anche la sua implementazione in Android che ora è un sistema FIDO2 Certified. E’ poi già possibile sfruttare WebAuthn con Dropbox, Facebook, GitHub, Salesforce, Stripe e Twitter.

Nel dettaglio WebAuthn si occupa di gestire l’Accessing Public Key Credentials Level 1. La specifica realizzata del W3C definisce infatti un API che consente di creare e utilizzare credenziali basate su chiavi pubbliche.

WebAuthn nasce dalla collaborazione del consorzio con l’agenzia di sicurezza informatica FIDO Alliance. Il team di sviluppo ha costruito l’API in modo che sia:

• sicura: le credenziali crittografiche FIDO2 sono uniche per ogni sito Web, i dati biometrici non lasciano mai i device degli utenti né vengono caricati sul Cloud. Tale modello di sicurezza elimina i rischi connessi al furto delle password;
• conveniente: gli utenti potranno eseguire il login sui vari servizi sfruttando i device che già possiedono, come i lettori di impronte negli smartphone o le loro fotocamere/webcam;
• rispettosa della Privacy: le FIDO key sono uniche per ogni sito, non potranno essere usate per eseguire il tracking dell’utenza;
• scalabile: i siti Web possono abilitare FIDO2 tramite una semplice chiamata all’API, sfruttando il supporto presente nei sistemi operativi e nei browser.

Via W3C