Protocollo di Scambio Credenziali (CXP) e Formato (CXF) di WebAuthn

Le passkey stanno rapidamente diventando lo standard di riferimento nell'autenticazione online, offrendo un'alternativa sicura e resistente al phishing rispetto alle password tradizionali. Supportate dalla FIDO Alliance, le passkey si basano sugli standard WebAuthn e FIDO2 e utilizzano la crittografia a chiave pubblica per eliminare i rischi di furto delle credenziali.

Ma con l'accelerare dell'adozione, è emersa una sfida fondamentale: Come si importano o esportano le passkey tra diversi provider, ad esempio da Bitwarden a 1Password o da iCloud Keychain di Apple a Google Password Manager?

A differenza delle password, le passkey non hanno un formato che possa essere facilmente esportato o importato. Questa mancanza di interoperabilità crea difficoltà per gli utenti e aumenta il rischio di vendor lock-in.

È qui che entrano in gioco due standard emergenti:

• Il Credential Exchange Protocol (CXP): definisce un meccanismo sicuro per trasferire le passkey tra provider.

• Il Credential Exchange Format (CXF): definisce un formato dati standardizzato per le credenziali stesse, come passkey, dati di carte di credito o codici TOTP.

Insieme, CXP e CXF sono progettati per rendere la portabilità delle passkey non solo possibile, ma anche sicura, flessibile e facile da usare. In questo articolo, risponderemo alle seguenti domande:

1. Cos'è il Credential Exchange Protocol (CXP) e come funziona?

2. Cos'è il Credential Exchange Format (CXF) e come si presenta?

3. Qual è lo stato attuale di sviluppo del Credential Exchange Protocol e del Credential Exchange Format?

Man mano che sempre più utenti e organizzazioni adottano le passkey, rimane una sfida cruciale: spostare le credenziali tra piattaforme diverse. A differenza delle password, che possono essere esportate come semplici file di testo o CSV (per quanto insicuro possa essere), le passkey si basano su coppie di chiavi crittografiche. Questo rende l'importazione/esportazione molto più complessa e delicata.

Ecco cosa non funziona attualmente nella migrazione delle passkey:

• Nessun formato standard: A differenza dei file CSV per le password, le passkey non hanno una rappresentazione universale. Ogni provider le memorizza in modo diverso.

• Trasferimenti non sicuri: In alcuni rari tentativi di supportare le migrazioni, le credenziali sono state esportate in formati non crittografati, creando seri rischi per la sicurezza (vedi questa discussione su GitHub).

• Errori di migrazione: Senza una struttura coerente, la migrazione delle passkey tra provider potrebbe fallire, causando la perdita di credenziali o costringendo gli utenti a ricreare le passkey.

• Blocco da parte delle policy aziendali: Gli ambienti enterprise potrebbero disabilitare completamente l'esportazione delle credenziali, temendo trasferimenti non sicuri o problemi di compatibilità.

• Vendor Lock-In: Senza modi affidabili per esportare le passkey, gli utenti rimangono vincolati al loro provider attuale, un aspetto che mina la libertà dell'utente e la concorrenza.

Questo problema non è ipotetico, sta accadendo ora. Man mano che le persone usano più dispositivi, browser e app per gestire le passkey, la necessità di importare passkey da un ecosistema ed esportare passkey in un altro diventa urgente.

Ecco perché i principali attori del settore come 1Password, Dashlane, Bitwarden e NordPass si sono uniti all'inizio del 2023 per prototipare una soluzione. Il risultato: uno sforzo collaborativo per definire standard aperti per lo scambio sicuro di credenziali: il Credential Exchange Protocol (CXP) e il Credential Exchange Format (CXF).

Per affrontare le sfide della migrazione delle passkey, sono emersi due standard complementari: il Credential Exchange Protocol (CXP) e il Credential Exchange Format (CXF). Supportate da leader del settore come Apple, Google, Microsoft e 1Password, queste specifiche mirano a rendere l'importazione e l'esportazione delle passkey sicura, standardizzata e interoperabile.

Il Credential Exchange Protocol (CXP) è una specifica che definisce un metodo sicuro per trasferire credenziali tra due provider di credenziali/passkey. Attualmente in stato di Working Draft (bozza di lavoro) presso la FIDO Alliance, il suo design è ancora in evoluzione, ma mira a stabilire un canale standardizzato e sicuro per esportare credenziali da un mittente (Sender) e importarle in un destinatario (Recipient).

Anche se i dettagli non sono ancora definitivi, si prevede che il protocollo utilizzerà la crittografia ibrida a chiave pubblica (HPKE) per garantire che le credenziali siano crittografate end-to-end durante il transito. Questa solida base crittografica proteggerà i dati sensibili da intercettazioni o manomissioni.

Si prevede che il CXP sarà particolarmente importante per i provider di terze parti, come i password manager, per facilitare lo scambio di credenziali tra piattaforme diverse, ad esempio tra estensioni del browser. In questi scenari, la necessità di un protocollo di trasporto standardizzato e altamente sicuro è fondamentale. Poiché è ancora in una fase iniziale di bozza, la sua forma finale e la tempistica per la standardizzazione sono incerte, con stime che indicano l'inizio del 2026.

Il Credential Exchange Format (CXF) definisce come le credenziali stesse sono strutturate per lo scambio. Attualmente è in stato di Review Draft (bozza in revisione), il che significa che è vicino alla finalizzazione come standard.

A differenza del CXP, che gestisce il trasferimento sicuro, il CXF si concentra esclusivamente sul formato dei dati. Specifica una struttura standard basata su JSON per diversi tipi di credenziali, garantendo che una credenziale esportata da un provider possa essere correttamente interpretata da un altro.

Il CXF definisce tipi per:

• Passkey (public-key-credential)
• Password (password)
• Segreti TOTP (totp)
• Note (note)

Questo vocabolario standardizzato è la chiave per l'interoperabilità. Ad esempio, sia Apple che Google utilizzano già il CXF per trasferire credenziali tra app native sullo stesso dispositivo. Poiché il trasferimento avviene localmente, non è necessario un protocollo di trasporto dedicato come il CXP.

Standardizzando la struttura, il CXF elimina problemi come mancate corrispondenze di formato o perdita parziale di dati durante le migrazioni. È anche estensibile per progettazione, consentendo di aggiungere nuovi tipi di credenziali nelle versioni future senza compromettere la retrocompatibilità.

A fine 2024, sia il Credential Exchange Protocol (CXP) che il Credential Exchange Format (CXF) hanno raggiunto diversi stadi di maturità, con un forte slancio da parte del settore.

Lo sviluppo di CXP e CXF è coordinato dalla FIDO Alliance, con contributi attivi da parte di attori importanti come Apple, Google, Microsoft, 1Password, Bitwarden e Dashlane.

Questa ampia collaborazione segnala un impegno condiviso per rendere la portabilità delle passkey una realtà. Infatti, diverse aziende stanno già implementando soluzioni basate sulle bozze:

• Apple e Google utilizzeranno il CXF per i trasferimenti di credenziali tra app sullo stesso dispositivo.
• I password manager di terze parti stanno costruendo prototipi basati sulle prime bozze del CXP per prepararsi a scambi sicuri e multipiattaforma.

Le due specifiche seguono tempistiche diverse:

• Il Credential Exchange Format (CXF) è in fase di Review Draft. Si prevede che venga finalizzato come standard formale entro la fine del 2024.
• Il Credential Exchange Protocol (CXP) è una Working Draft. Il suo percorso verso la standardizzazione è più lungo, con un potenziale rilascio all'inizio del 2026, man mano che i feedback della community vengono integrati per garantirne la robustezza e la sicurezza per i casi d'uso multipiattaforma.

Le bozze delle specifiche sono disponibili pubblicamente sul sito web della FIDO Alliance e i feedback degli sviluppatori sono attivamente incoraggiati per perfezionarle prima della finalizzazione.

Per supportare la sperimentazione iniziale e la pianificazione dell'implementazione, l'ecosistema delle passkey include ora:

• Passkeys Debugger: Una piattaforma che aiuta a eseguire il debug delle richieste WebAuthn in modo comprensibile.

• Passkey Community: Una community di sviluppatori software e product manager che discutono di questioni relative alle passkey.

• Passkey Subreddit: Subreddit dedicato per discutere le novità su passkey e WebAuthn, incluse quelle su CXP e CXF.

• passkeys.eu: Strumenti di test per sviluppatori per convalidare i flussi WebAuthn e il comportamento delle passkey.

• Bozza CXP su GitHub: Struttura completa dei messaggi del protocollo e flusso crittografico.

• Bozza CXF su GitHub: Layout del file ZIP e formato di impacchettamento delle credenziali.

Anche se non ancora completamente standardizzati, CXP e CXF sono chiaramente sulla buona strada per diventare il tassello mancante nel puzzle delle passkey, abilitando un'importazione/esportazione sicura e fluida per utenti e organizzazioni.

Il Credential Exchange Protocol (CXP) e il Credential Exchange Format (CXF) sono nati dalla necessità di rendere l'importazione e l'esportazione delle passkey sicura e fluida. Ma il loro potenziale non si ferma qui.

Questi standard stabiliscono un modello per trasferire qualsiasi credenziale sensibile tra provider, in modo sicuro, affidabile e multipiattaforma. Ciò apre le porte a casi d'uso più ampi nell'identità, nell'autenticazione e persino nelle credenziali emesse dal governo.

Una delle maggiori preoccupazioni con l'attuale adozione delle passkey è il vendor lock-in. Senza un modo per spostare le credenziali in sicurezza, gli utenti sono spesso legati al loro provider originale, anche se le loro esigenze cambiano.

Con CXP e CXF, ci muoviamo verso un ecosistema di passkey veramente interoperabile, in cui utenti e aziende possono:

• Migrare liberamente le passkey tra provider

• Evitare la creazione di credenziali duplicate

• Semplificare le transizioni tra dispositivi e piattaforme

Questo supporta direttamente la scelta del consumatore, promuove la concorrenza e rafforza la fiducia nel modello delle passkey.

Come ha affermato Christiaan Brand, Product Manager del gruppo Identity and Security di Google:

“In futuro, questo potrebbe applicarsi a patenti di guida digitali, passaporti, qualsiasi segreto che si desideri esportare da qualche parte e importare in un altro sistema.”

Immagina di trasferire in modo sicuro:

• Passkey (public-key-credential)

• Segreti TOTP (totp)

• Dati di pagamento (credit-card)

• ID governativi (identity-document)

tutto attraverso lo stesso meccanismo di scambio standardizzato. Questo è il futuro che CXP e CXF stanno contribuendo a plasmare.

Con lo scambio di credenziali verificabili crittografate che diventa la norma, le organizzazioni potranno finalmente abbandonare le esportazioni CSV non sicure, evitare processi manuali soggetti a errori e applicare policy encryption-first per tutta la gestione delle credenziali.

Sia nel settore consumer, nell'IT aziendale o nei sistemi di identità del settore pubblico, questo cambiamento innalza il livello di sicurezza predefinito, senza compromettere l'usabilità.

Il Credential Exchange Protocol (CXP) e il Credential Exchange Format (CXF) rappresentano un'evoluzione fondamentale nell'ecosistema delle passkey. Affrontando le lacune di lunga data nella migrazione delle credenziali, offrono un framework sicuro e standardizzato per l'importazione e l'esportazione delle passkey tra diverse piattaforme e provider. Mentre il CXF standardizza il "cosa" (il formato dei dati) e il CXP standardizza il "come" (il trasferimento sicuro), insieme aprono la strada a una vera portabilità delle passkey.

Con un ampio supporto da parte dei leader del settore e un crescente slancio nella community FIDO, queste specifiche sono pronte a rimuovere una delle ultime grandi barriere all'adozione delle passkey: la portabilità.

Per gli sviluppatori e le organizzazioni che oggi costruiscono sistemi basati su passkey, anticipare CXP e CXF non significa solo prepararsi per il futuro, ma anche abilitare migliori esperienze utente, una sicurezza più solida e una maggiore flessibilità.

In Corbado, seguiamo da vicino questi sviluppi e aiutiamo le aziende a implementare passkey su larga scala senza vendor lock-in, problemi di migrazione per gli utenti o compromessi sulla sicurezza. Man mano che l'ecosistema matura, saremo tra i primi a supportare i flussi basati su CXP/CXF per rendere lo scambio sicuro di credenziali una realtà.

Le passkey sono qui. CXP e CXF le aiuteranno a diffondersi ovunque.