Passkey Finom: rivoluzionare la sicurezza bancaria

L'attività bancaria moderna necessita della migliore sicurezza possibile, semplificando al contempo la vita dei clienti. Ecco perché Finom, un'innovativa fintech con sede ad Amsterdam, ha fatto un notevole passo avanti introducendo le passkey come nuovo metodo di autenticazione principale per la sua applicazione web. Come dimostrazione di innovazione, l'implementazione delle passkey da parte di Finom non solo sfida il tradizionale paradigma basato sulle password (e l'MFA tradizionale tramite SMS OTP), ma si allinea anche alla crescente domanda di esperienze utente più sicure, convenienti e orientate alla privacy. Questo post del blog approfondisce le impostazioni tecniche e i vantaggi per l'utente finale dell'implementazione delle passkey di Finom, offrendo spunti sul perché questo approccio potrebbe preannunciare una nuova era per le passkey nel settore bancario e nei servizi finanziari.

Le passkey rappresentano un cambio di paradigma nell'autenticazione, allontanandosi dai vulnerabili sistemi basati su password verso un'autenticazione più sicura e resistente al phishing. L'applicazione web di Finom adotta questa tecnologia, consentendo agli utenti di autenticarsi tramite vari dispositivi: computer, smartphone o chiavi di sicurezza hardware (es. YubiKey), supportando quindi anche gli autenticatori multipiattaforma / di roaming.

Report Passkeys per il banking. Guide pratiche, pattern di distribuzione e KPI per programmi passkey.

Ottieni il report

Finom ha introdotto le passkey

Inizia con le passkey

Finom garantisce un'ampia accessibilità allineandosi agli standard di settore per la compatibilità con browser e sistemi operativi. Le seguenti versioni dei browser supportano le passkey (secondo la FAQ ufficiale sulle passkey di Finom):

• Chrome (v105+)
• Safari (v16+)
• Edge (v105+)

Contrariamente alla FAQ ufficiale sulle passkey di Finom, l'autenticazione tramite passkey ha funzionato anche durante i nostri test sull'ultima versione di Firefox (v122) su Windows 11 23H2 e macOS Sonoma 14.2.1.

Per quanto riguarda il supporto del sistema operativo in generale, per i dispositivi desktop abbiamo testato con successo l'autenticazione con passkey su Windows 11 e macOS Sonoma (nella FAQ non è indicata una versione minima ufficiale del sistema operativo).

Gli utenti di dispositivi mobili devono assicurarsi che i loro sistemi siano aggiornati a iOS 16+ o Android 9+ per il supporto completo delle passkey. L'aspetto positivo è che la maggior parte dei dispositivi mobili (oltre il 94%) supporta già le passkey.

Il processo di creazione delle passkey su Finom supporta l'intera gamma delle passkey, impiegando una varietà di modalità di trasporto tra cui opzioni USB, NFC, BLE, ibride e interne. Questa flessibilità garantisce che gli utenti dispongano di molteplici opzioni di autenticazione, adattandosi alle loro preferenze personali o necessità situazionali.

Ecco alcuni aspetti da evidenziare dalle impostazioni del server WebAuthn e dall'analisi più approfondita di PublicKeyCredentialCreationOptions:

{
    "attestation": "direct",
    "authenticatorSelection": {
        "residentKey": "discouraged",
        "userVerification": "required"
    },
    "challenge": "JWi0v7X1X-O1UvXB_I5q2A",
    "excludeCredentials": [
        {
            "id": "ARt1Ba2haVHZNrw8FhKLc_V1LFMVdrsHbezmQ8jMP59lXscBnkTLxABNNR9dd499EG5PWY0VYSFtbui_XmYeJtM",
            "transports": ["usb", "nfc", "ble", "hybrid", "internal"],
            "type": "public-key"
        },
        {
            "id": "CaRVt041w10I948-OS6TBtAyVOUdak03b6BUyev3S3e7xOH99pS9GLgTURasdNH4HgKkazUmT0ejDbVpuDhAtQ",
            "transports": ["usb", "nfc", "ble", "hybrid", "internal"],
            "type": "public-key"
        },
        {
            "id": "3nOhnTkXXdyiBAfC60K7E_-OgKwwk57uewpwGCgJe44",
            "transports": ["usb", "nfc", "ble", "hybrid", "internal"],
            "type": "public-key"
        }
    ],
    "pubKeyCredParams": [
        {
            "alg": -7,
            "type": "public-key"
        },
        {
            "alg": -257,
            "type": "public-key"
        },
        {
            "alg": -37,
            "type": "public-key"
        },
        {
            "alg": -35,
            "type": "public-key"
        },
        {
            "alg": -258,
            "type": "public-key"
        },
        {
            "alg": -38,
            "type": "public-key"
        },
        {
            "alg": -36,
            "type": "public-key"
        },
        {
            "alg": -259,
            "type": "public-key"
        },
        {
            "alg": -39,
            "type": "public-key"
        },
        {
            "alg": -8,
            "type": "public-key"
        }
    ],
    "rp": {
        "id": "app.finom.co",
        "name": "app.finom.co"
    },
    "user": {
        "displayName": "Vincent Delitz",
        "id": "dmluY2RlbGl0aaBhb2wuY29t",
        "name": "vincent@corbado.com"
    }
}

• Utilizzo del parametro excludeCredentials per evitare la creazione di una nuova passkey su un dispositivo che ha già delle passkey esistenti.
• Relying Party ID impostato su app.finom.co per garantire un'autenticazione sicura e specifica del dominio.
• L'attestazione diretta richiede ai dispositivi di fornire dichiarazioni di attestazione, dimostrando così l'autenticità delle credenziali di autenticazione.
• userVerification è richiesto, garantendo così che solo l'utente legittimo possa avviare il processo di autenticazione.
• Scoraggiare le residentKey poiché la Conditional UI non è ancora stata implementata. Tuttavia, il comportamento della creazione della passkey dipende molto dagli autenticatori e se prendono in considerazione il valore delle residentKey (si veda questo articolo). Inoltre, Finom trarrebbe effettivamente vantaggio dalla creazione anticipata di chiavi residenti per il futuro supporto della Conditional UI. D'altra parte, questa decisione consente di risparmiare spazio sulle chiavi di sicurezza hardware (es. YubiKey), in quanto spesso hanno una capacità limitata per le chiavi residenti.

Le PublicKeyCredentialRequestOptions sono altrettanto importanti, facilitando il processo di autenticazione con configurazioni che garantiscono flessibilità e sicurezza:

PublicKeyCredentialRequestOptions.json
{
    "allowCredentials": [
        {
            "id": "ARt1Ba2haVHZNrw8FhKLc_V1LFMVdrsHbezmQ8jMP59lXscBnkTLxABNNR9dd499EG5PWY0VYSFtbui_XmYeJtM",
            "transports": ["usb", "nfc", "ble", "hybrid", "internal"],
            "type": "public-key"
        },
        {
            "id": "CaRVt041w10I948-OS6TBtAyVOUdak03b6BUyev3S3e7xOH99pS9GLgTURasdNH4HgKkazUmT0ejDbVpuDhAtQ",
            "transports": ["usb", "nfc", "ble", "hybrid", "internal"],
            "type": "public-key"
        },
        {
            "id": "3nOhnTkXXdyiBAfC60K7E_-OgKwwk57uewpwGCgJe44",
            "transports": ["usb", "nfc", "ble", "hybrid", "internal"],
            "type": "public-key"
        }
    ],
    "challenge": "s4R8Fsy7iSxxWIgUr7iTLA",
    "rpId": "app.finom.co",
    "userVerification": "discouraged"
}

• Vengono impostate le allowCredentials (tutte le credenziali vengono impostate indipendentemente dal dispositivo utilizzato come client dall'utente) per assicurarsi che possano essere utilizzate solo le passkey registrate.
• userVerification è sconsigliato, il che è interessante nella fase di accesso, poiché è richiesto nella fase di creazione della passkey.

Un aspetto orientato al futuro dell'implementazione delle passkey di Finom è il potenziale per la condivisione delle passkey tra dispositivi diversi. Analizzando i file di associazione forniti su https://app.finom.co/.well-known/assetlinks.json per Android e https://app.finom.co/.well-known/apple-app-site-association per iOS, è evidente che Finom sta gettando le basi per un'integrazione fluida delle passkey tra la sua applicazione web e le applicazioni mobili native. Aggiungere il supporto per la condivisione tra dispositivi, ad esempio utilizzando la passkey di macOS dall'applicazione web anche nell'app iOS nativa tramite la sincronizzazione del Portachiavi di iCloud, è qualcosa che può essere aggiunto rapidamente. Questa iniziativa promette di migliorare ulteriormente l'esperienza dell'utente consentendo un'autenticazione senza sforzo su piattaforme e dispositivi diversi.

Alla base dell'implementazione delle passkey di Finom c'è l'impegno a dare priorità a tre aspetti fondamentali: sicurezza senza pari, semplicità senza precedenti e privacy dei dati senza compromessi.

• Sicurezza: Il sistema di passkey di Finom è progettato per stabilire una barriera contro le minacce informatiche. A differenza delle password convenzionali, le passkey sono collegate in modo sicuro al dispositivo dell'utente e al dominio verificato di Finom, eliminando virtualmente il rischio di phishing e accessi fraudolenti.
• Semplicità: La semplicità dell'autenticazione con passkey di Finom si concretizza attraverso il suo processo di accesso istantaneo. Utilizzando Face ID, Touch ID o Windows Hello, gli utenti possono accedere ai propri account in pochi secondi, senza il fastidio di digitare password complesse. Questo processo di autenticazione semplificato non solo migliora la comodità per l'utente, ma riduce anche significativamente i tempi di accesso, definendo un nuovo standard per la facilità di accesso nel settore bancario.
• Privacy dei dati: Finom attribuisce la massima priorità alla privacy e alla sicurezza dei dati degli utenti. Impiegando un sistema in cui le passkey rimangono legate al dispositivo dell'utente, Finom garantisce che le informazioni personali, inclusi i dati biometrici, restino sotto il controllo dell'utente e non vengano mai condivise con il server. Questo approccio non solo protegge la privacy degli utenti, ma fornisce loro anche la sicurezza che le proprie informazioni personali e finanziarie siano salvaguardate da accessi non autorizzati e violazioni.

Sui nuovi dispositivi, l'utente deve confermare la creazione della passkey tramite l'app nativa Finom per iOS / Android tramite notifica push o utilizzando un magic link via email. Finché non viene fornita la conferma, l'utente non può creare una passkey.

Conferma della richiesta di creazione della passkey tramite email:

In alternativa, puoi confermare la richiesta di creazione della passkey tramite notifica push (qui nell'app Android nativa):

Dopo aver creato con successo la passkey, vedrai questo popup:

Finom semplifica l'esperienza di accesso rendendo le passkey il metodo di autenticazione predefinito (passkey-first) una volta che l'indirizzo email dell'utente è stato inserito e l'utente clicca su Continua (nessun campo password viene visualizzato di default). Questo approccio diretto migliora l'esperienza dell'utente eliminando scelte inutili e de-prioritizzando le password. Tuttavia, l'assenza della Conditional UI rappresenta una potenziale area di miglioramento futuro.

Quando si annulla il flusso di accesso tramite passkey nel pop-up delle passkey, l'utente riceve il seguente avviso:

Se l'utente decide di cliccare su Riprova, il flusso di accesso tramite passkey riparte e il pop-up delle passkey (es. Face ID, Touch ID, Windows Hello) riappare consentendo all'utente di scansionare nuovamente i dati biometrici.

Se l'utente decide di cliccare su Prova in un altro modo, viene reindirizzato al vecchio metodo di accesso con i campi di inserimento per indirizzo email e password:

Finom sconsiglia vivamente l'uso di dispositivi non privati o accessibili al pubblico per l'autenticazione tramite passkey (ad es. in biblioteche pubbliche). Il rischio intrinseco di tali dispositivi risiede nella loro accessibilità; chiunque possa sbloccare il dispositivo (tramite password, blocco schermo o dati biometrici come impronte digitali o riconoscimento facciale registrati sul dispositivo) ha il potenziale per autenticarsi come te e accedere al tuo account.

Abbracciando la realtà multidispositivo degli utenti di oggi, Finom supporta l'autenticazione tra più dispositivi (trasporto ibrido) utilizzando la scansione del codice QR e i controlli di prossimità Bluetooth. Questa funzionalità consente un'esperienza di autenticazione fluida su dispositivi diversi, facilitando l'accesso da una passkey archiviata su un dispositivo mobile mentre si cerca di accedere a Finom da un ambiente desktop (si veda anche questo articolo per maggiori dettagli riguardanti l'autenticazione multidispositivo con le passkey).

Finom ha introdotto funzionalità intuitive di gestione delle passkey che consentono agli utenti di personalizzare e controllare i propri metodi di autenticazione. Queste funzionalità, tra cui la possibilità di rinominare e rimuovere le passkey, riflettono una profonda comprensione della necessità di flessibilità e sicurezza nella gestione dell'accesso digitale.

• Passkey multiple per dispositivi diversi: Finom consiglia la creazione di più passkey sui vari dispositivi degli utenti. Questo approccio garantisce un accesso ininterrotto ai servizi di Finom tramite passkey, offrendo un'esperienza fluida su più dispositivi.
• Prevenzione intelligente dei duplicati: Sfruttando il parametro excludeCredentials in PublicKeyCredentialCreationOptions, Finom impedisce la creazione di passkey duplicate sullo stesso dispositivo. Questa misura non solo migliora la sicurezza, ma snellisce anche l'esperienza dell'utente assicurando che ogni dispositivo abbia una passkey unica.
• La conferma dell'eliminazione della passkey richiede l'autenticazione tramite passkey: Prima di rimuovere una passkey, agli utenti viene richiesto di autenticare l'azione utilizzando una passkey. Questo ulteriore livello di sicurezza sottolinea l'importanza che Finom attribuisce alla salvaguardia dell'accesso degli utenti e assicura che solo il legittimo proprietario possa apportare modifiche così significative.

Nota che la logica di rilevamento delle icone non è così intelligente come potrebbe sembrare a prima vista. Ho memorizzato le passkey per il Google Password Manager sul mio Android, tuttavia viene visualizzato come Windows. Lo stesso vale per gli autenticatori multipiattaforma / di roaming come le YubiKey che per loro natura non sono legati a un determinato sistema operativo.

Dopo aver creato con successo una passkey, l'utente riceverà una notifica via email:

Nel caso in cui l'utente debba reimpostare la propria password, non solo viene eliminata l'associazione del dispositivo nativo iOS / Android, ma vengono eliminate anche tutte le sue passkey. Per essere più precisi, le chiavi pubbliche delle passkey vengono eliminate lato server rendendo impossibile l'accesso con le passkey (anche dopo aver ripristinato l'associazione del dispositivo). Le chiavi private della passkey risiedono sul dispositivo ma sono inutili per i successivi tentativi di accesso.

L'implementazione delle passkey di Finom non riguarda solo il miglioramento della sicurezza e dell'esperienza dell'utente; è una mossa strategica verso il risparmio sui costi rispetto ai tradizionali sistemi SMS OTP e un posizionamento come fintech moderna e digital-first, sicura di poter competere con le banche e le istituzioni finanziarie tradizionali. L'attuale design del sistema è promettente, con spazio per l'espansione verso il supporto delle app native, il lancio della Conditional UI e le conferme delle transazioni tramite passkey.

Allontanandosi dagli SMS OTP (un metodo storicamente inficiato da lacune di sicurezza), Finom getta le basi per i principali vantaggi nella sua strategia di autenticazione e MFA. Questa transizione non solo mitiga i rischi associati agli SMS OTP, ma si allinea anche alla missione di Finom di sfruttare tecnologie all'avanguardia per salvaguardare i dati degli utenti, migliorare l'esperienza utente nel settore bancario e risparmiare costi sostanziali per l'MFA tramite SMS OTP.

Durante i nostri test, abbiamo individuato alcune aree principali di miglioramento:

• Espansione del supporto delle passkey alle app native: Riconoscendo l'onnipresenza del mobile banking, Finom speriamo implementerà presto il supporto delle passkey per le sue applicazioni native iOS e Android, il che aderirebbe anche alla sua strategia mobile-first. Come utente, specialmente se proveniente da un dispositivo desktop macOS, l'accesso sull'app iOS di un iPhone che utilizza lo stesso Portachiavi di iCloud connesso può essere notevolmente semplificato rispetto all'esperienza di accesso odierna.
• Autenticazione solo tramite passkey: Col passare del tempo, ci aspettiamo anche che Finom promuova le passkey come primo e unico fattore sui dispositivi compatibili con le passkey. Questo include anche la creazione di nuovi account con le passkey come unica forma di autenticazione (con alcune opzioni alternative di riserva).
• Implementazione della Conditional UI: L'introduzione della Conditional UI sarebbe un'altra grande ottimizzazione per l'esperienza utente che ha dimostrato di riscuotere un grande successo per l'adozione delle passkey da parte di altri operatori.
• Utilizzo delle passkey per la conferma del pagamento: Durante i nostri test, abbiamo anche effettuato un pagamento di prova per verificare se la conferma del pagamento funzionasse anche con le passkey. Tuttavia, Finom utilizza ancora le notifiche push dell'app nativa e gli SMS OTP per la conferma (quest'ultimo rappresenta un driver di costo significativo). Questo potrebbe essere dovuto a scopi normativi, ma speriamo che le passkey possano essere impiegate in futuro anche in questo ambito.

Rimane ancora una domanda senza risposta nella strategia per le passkey di Finom: qual è la posizione di Finom sulla conformità PSD2 e SCA con le passkey? Questo problema non è stato generalmente affrontato in modo completo, ma sarebbe stato interessante saperne di più sulla prospettiva di Finom a riguardo. Per ulteriori approfondimenti e riflessioni sulla conformità PSD2 delle passkey, fai riferimento a questo post del blog.

Finom ti fa accedere con una passkey e poi conferma comunque il pagamento tramite una notifica push o un SMS OTP, che è l'assetto finale della maggior parte delle fintech. Significa anche che i fallimenti degni di essere analizzati non avvengono alla richiesta resistente al phishing. Si verificano nel passaggio successivo, quello che un cliente deve superare prima che il denaro si sposti. Corbado Observe, il livello di osservabilità dell'autenticazione, misura quel secondo passaggio nei flussi che gestisci oggi, indipendentemente dal fatto che tu abbia o meno già implementato una passkey.

La pagina Friction di Observe è una tassonomia di ogni accesso avviato, inclusi quelli che alla fine hanno funzionato. Riavviato ed entrato. Incontrato un errore ed entrato lo stesso. Riprova con lo stesso metodo, passaggio a uno diverso, rientro tramite recupero. Ogni accesso finisce esattamente in un bucket, in modo che i bucket si sommino invece di sovrapporsi. Per un flusso strutturato come quello di Finom, quello da tenere d'occhio è incomplete-2fa: il cliente si è autenticato con il metodo principale per poi fallire o abbandonare la fase di conferma. Tali sessioni vengono lette come accessi riusciti nella maggior parte degli stack e come pagamenti abbandonati nei numeri aziendali, e niente unisce le due cose per te.

La sezione 4.1 calcola un costo sul volume degli SMS OTP di Finom. Il Subflow Explorer quantifica l'altra metà, poiché ogni canale di conferma viene conteggiato autonomamente: SMS OTP come s_sm-ot, conferma tramite app come s_ap-co, TOTP come s_to-tp, ognuno con i propri totali, il proprio tasso di completamento ed errore e i propri percentili del tempo di interazione. Un controllo "Split by Spec Type" li raggruppa quando desideri un confronto. Analizzando a fondo una singola sessione, la scheda OTP in User Search mostra il conteggio dei rinvii effettivi, che di solito è il modo in cui scopri che un SMS non è mai arrivato invece di essere stato ignorato.

Se stai valutando un accesso passkey-first come quello di Finom rispetto a un'implementazione più prudente, parlane con noi.

L'implementazione delle passkey di Finom rappresenta un esempio eccellente per il settore bancario e dei servizi finanziari, mostrando come le fintech possano guidare l'adozione di misure di sicurezza avanzate che soddisfino le esigenze degli utenti moderni. Fornendo un'analisi dettagliata del sistema di passkey di Finom, questo post del blog mira ad aiutare altri sviluppatori software, product manager e specialisti della sicurezza a conoscere l'implementazione delle passkey nel settore finanziario e bancario.

Chi siamo

Corbado è la Passkey Intelligence Platform per i team CIAM che gestiscono l'autenticazione consumer su larga scala. Ti aiutiamo a vedere ciò che i log IDP e gli strumenti di analytics generici non mostrano: quali dispositivi, versioni di OS, browser e gestori di credenziali supportano i passkey, perché gli enrollment non si trasformano in login, dove il flusso WebAuthn fallisce e quando un aggiornamento di OS o browser interrompe silenziosamente il login, tutto senza sostituire Okta, Auth0, Ping, Cognito o il tuo IDP interno. Due prodotti: Corbado Observe aggiunge osservabilità per i passkey e qualsiasi altro metodo di login. Corbado Connect introduce passkey gestiti con analytics integrato (insieme al tuo IDP). VicRoads gestisce i passkey per oltre 5M di utenti con Corbado (+80 % di attivazione passkey). Parla con un esperto di Passkey →

Finom scoraggia la creazione di residentKey perché la Conditional UI non è ancora stata implementata sulla piattaforma, rendendo al momento superflue le credenziali rilevabili. Questa decisione preserva anche lo spazio di archiviazione limitato sulle chiavi di sicurezza hardware come le YubiKey, che spesso hanno una capacità limitata per le chiavi residenti.

La reimpostazione della password di Finom elimina tutte le passkey lato server rimuovendo le chiavi pubbliche archiviate, rendendo impossibile l'accesso tramite passkey in un secondo momento. Le chiavi private rimangono sul dispositivo ma non possono essere utilizzate per l'autenticazione senza le corrispondenti chiavi pubbliche lato server.

Finom non ha affrontato pubblicamente la sua strategia di conformità PSD2/SCA per le passkey. Attualmente, le conferme di pagamento si basano ancora sulle notifiche push dell'app nativa e sugli SMS OTP, il che potrebbe riflettere i requisiti normativi previsti dalle regole di Strong Customer Authentication (SCA).

Finom utilizza il parametro excludeCredentials in PublicKeyCredentialCreationOptions per bloccare la creazione di passkey duplicate su dispositivi che hanno già una passkey registrata. Questo garantisce che ogni dispositivo contenga una passkey unica e previene l'accumulo inutile di credenziali.