Un futuro senza password: FIDO e gli autenticatori

The document here refers to the internship period undertaken by the student Stefano Meneguzzo at the company Athesys s.r.l., for a total of three hundred hours. Specifically, the internship involved studying the problem related to the vulnerabilities of commonly used passwords for accessing personal areas on the web, and aimed to explore a possible solution to combat phishing issues and achieve greater efficiency at both the corporate and personal levels in the world of work and beyond. FIDO Alliance has been addressing this aspect in recent years with the FIDO Authentication project, attempting to create its own solution through the use of passkeys and authenticators. The former, if the project succeeds, will eventually replace passwords, boasting greater security and ease of use. As for the authenticators, each one has distinctive features that set it apart from the others, and for companies deciding to implement this technology, it can be useful to have a clear idea of the characteristics of a particular authenticator. To obtain this information, it is necessary to examine the metadata. Metadata consists of additional information associated with an entity or object. In the context of FIDO, metadata is used to enhance authentication security through two main components: Metadata Service Provider (MSP): The MSP is a central part of the FIDO system. It provides updated metadata on critical aspects of FIDO services, such as supported types of authenticators, authentication policies, and public keys of FIDO servers. Users can access this metadata before performing an authentication operation, allowing them to verify the reliability of the service and the authenticator. This prevents users from falling victim to phishing attacks or counterfeit authenticators. Metadata Statement: This is a JSON document that contains details related to a FIDO certification authority, an authenticator, or a service. This document includes information such as the authenticator's ID, the cryptographic algorithm used, associated public keys, and other relevant information. Users can use these statements to validate the authenticator before relying on it. The main focus of this internship will be on the latter, the authenticators. The primary goal for the intern in terms of code production will be to create metadata classes and subsequently develop converters to transition from one metadata version to another.

Il documento qui presente fa riferimento al periodo di stage trascorso dallo studente Stefano Meneguzzo presso l'azienda Athesys s.r.l., per un totale complessivo di trecento ore. Nello specifico lo stage prevedeva lo studio del problema legato alle fragilità delle password comunemente usate per accedere alle aree personali nel web, e si proponeva di studiare una possibile soluzione per combattere i problemi di phishing e ottenere una maggiore efficienza a livello aziendale e personale per il mondo del lavoro e non. Di questo aspetto si è occupato FIDO Alliance negli ultimi anni con il progetto FIDO Authentication provando a creare una sua soluzione tramite l'utilizzo di passkeys e autenticatori. Le prime, se il progetto andrà a buon fine, finiranno con il prendere il posto delle password vantando una maggiore sicurezza e facilità di utilizzo. Per quanto riguarda gli autenticatori invece, ognuno presenta caratteristiche che lo distinguono dagli altri e per le aziende che decidono di implementare questa tecnologia può risultare utile avere un'idea chiara su quali caratteristiche presenta un particolare autenticatore. Per riuscire ad ottenere queste informazioni è necessario esaminare i metadati. I metadati sono informazioni aggiuntive associate a un'entità o a un oggetto. Nel contesto di FIDO, i metadati sono utilizzati per migliorare la sicurezza dell'autenticazione attraverso due componenti principali: -Metadata Service Provider (MSP): L'MSP è una parte centrale del sistema FIDO. Fornisce metadati aggiornati sugli aspetti critici dei servizi FIDO, come i tipi di autenticatori supportati, le politiche di autenticazione e le chiavi pubbliche dei server FIDO. Gli utenti possono accedere a questi metadati prima di effettuare un'operazione di autenticazione, il che consente loro di verificare l'affidabilità del servizio e dell'autenticatore. Questo impedisce agli utenti di cadere vittima di attacchi di phishing o di autenticatori contraffatti. -Metadata Statement: Questo è un documento JSON che contiene i dettagli relativi a un'autorità di certificazione FIDO, a un'autenticatore o a un servizio. Questo documento contiene informazioni come l'ID dell'autenticatore, l'algoritmo crittografico utilizzato, le chiavi pubbliche associate e altre informazioni rilevanti. Gli utenti possono utilizzare queste dichiarazioni per convalidare l'autenticatore prima di affidarsi ad esso. Proprio quest'ultimi saranno i soggetti principali dello stage. Il principale obbiettivo dello stagista a livello di produzione di codice sarà infatti quello di creare delle classi di metadati e successivamente creare dei convertitori per passare da una versione di metadata ad un'altra.