Cos'è la CDA (Cross-Device Authentication) in WebAuthn?

Cos'è la CDA (Cross-Device Authentication)?#

La CDA (Cross-Device Authentication) consente agli utenti di utilizzare una passkey da un dispositivo per l'autenticazione su un altro, facilitando un accesso senza interruzioni tra piattaforme diverse. Questo approccio innovativo è supportato dal FIDO Client-to-Authenticator Protocol (CTAP), che impiega un meccanismo di trasporto "ibrido". CTAP è fondamentale per il processo CDA, essendo implementato da autenticatori e piattaforme client piuttosto che dai relying party, garantendo un'esperienza di autenticazione sicura ed efficiente.

Puoi anche leggere un report dettagliato sulla Cross-Device Authentication in questo post del blog.

Punti chiave#

---

La CDA (Cross-Device Authentication) è importante per offrire agli utenti un'esperienza senza attriti durante l'accesso ai servizi su più dispositivi. Ruota attorno a due componenti chiave: il CDA Client e il CDA Authenticator.

• CDA Client è il dispositivo su cui si accede al servizio (ad esempio, un laptop, un desktop o uno smartphone).
• CDA Authenticator è il dispositivo che fornisce la passkey e genera l'asserzione FIDO (di solito uno smartphone o un tablet). Questa dualità assicura che i flussi di autenticazione rimangano sicuri e facili da usare.

Approfondimento sui meccanismi CDA#

La Cross-Device Authentication (CDA) integra codici QR e Bluetooth per fornire un meccanismo di autenticazione versatile e sicuro. I codici QR facilitano processi di autenticazione semplici e avviati dall'utente, consentendo una scansione rapida per stabilire le richieste di autenticazione. Il Bluetooth aggiunge un livello di sicurezza garantendo la prossimità fisica tra i dispositivi coinvolti. Questo approccio duale combina la facilità d'uso con solide misure di sicurezza, adattandosi a vari ambienti e scenari utente.

Autenticazione tramite codice QR#

• Avvio: Un codice QR unico viene generato sul dispositivo che necessita di autenticazione, codificato con un identificatore di sessione.
• Processo: Gli utenti scansionano il codice QR con un dispositivo che memorizza la loro passkey, innescando un processo di autenticazione sicuro tramite una connessione internet crittografata.
• Funzionalità di sicurezza: Il codice QR è progettato per un uso singolo e crittografa tutti i dati per salvaguardare da accessi non autorizzati.

Autenticazione Bluetooth (caBLE)#

• Ruolo: Conferma la prossimità fisica tra i dispositivi in fase di autenticazione, aggiungendo un ulteriore livello di sicurezza.
• Controlli di prossimità: Garantisce che il processo di autenticazione venga eseguito solo quando i dispositivi sono vicini l'uno all'altro, riducendo al minimo il rischio di attacchi remoti.
• Privacy e sicurezza: Non comporta lo scambio di dati di autenticazione sensibili, concentrandosi invece sulla conferma della prossimità come fattore nell'autenticazione a più fattori.

Connessione tunnel tramite internet#

• Attivazione: Attivata al momento della scansione di un codice QR o dell'istituzione di una connessione Bluetooth.
• Scopo: Facilita la trasmissione sicura dei dati di autenticazione, incluse sfide e risposte crittografiche.
• Sicurezza: Assicura che tutte le comunicazioni attraverso il tunnel siano crittografate, migliorando la sicurezza su più dispositivi.

Passkey sincronizzate vs. Cross-Device Authentication#

Le passkey sono tipicamente sincronizzate tra i dispositivi tramite account cloud (ad esempio, il Portachiavi iCloud di Apple), assicurando che siano prontamente disponibili per l'autenticazione indipendentemente dal dispositivo utilizzato. Questa sincronizzazione è protetta da crittografia avanzata ed è tutelata da dati biometrici o PIN, con meccanismi in atto per prevenire accessi non autorizzati, come il limitatore di velocità per i tentativi di accesso.

Mentre le passkey sincronizzate offrono comodità, potrebbero non essere sempre accessibili su dispositivi nuovi o non principali. La Cross-Device Authentication affronta questa sfida fornendo un ponte sicuro per le passkey tra i dispositivi senza la necessità di sincronizzazione dell'account cloud. Questo metodo sfrutta i codici QR per avviare l'autenticazione e il Bluetooth per verificare la prossimità dei dispositivi, garantendo un'esperienza sicura e intuitiva. Un caso d'uso per la cross-device authentication è, ad esempio, l'accesso a un account sul dispositivo di un amico, dove non è possibile utilizzare passkey sincronizzate.

Disponibilità sui sistemi operativi#

Puoi utilizzare questa tabella per vedere l'attuale supporto della Cross-Device Authentication per i diversi sistemi operativi. Authenticator significa che il dispositivo può fungere da dispositivo che detiene una passkey (di solito lo smartphone). Client significa il dispositivo che crea il codice QR e dove l'utente cerca di effettuare l'accesso (di solito il desktop).

Comportamento su diversi dispositivi#

È importante considerare i diversi comportamenti dei dispositivi nel contesto della CDA. L'esperienza di autenticazione può variare in base alle capacità hardware di un dispositivo, come la presenza di una fotocamera per la scansione del codice QR o del Bluetooth per i controlli di prossimità. Inoltre, i sistemi operativi potrebbero implementare la CDA in modo diverso, influenzando il modo in cui gli utenti avviano e completano il processo di autenticazione. Gli sviluppatori che implementano la CDA devono tenere conto di queste variabilità, garantendo un'esperienza utente fluida e sicura su tutti i dispositivi. Leggi un report dettagliato sui diversi comportamenti dei dispositivi in questo post del blog.

---

FAQ sulla Cross-Device Authentication (CDA)#

È sicuro condividere le passkey tra i dispositivi?#

La condivisione delle passkey impiega solide misure di sicurezza per proteggere i dati. Questo approccio è essenziale per sostituire le password con un'alternativa più sicura e intuitiva, in linea con la missione di FIDO di migliorare i processi di accesso in termini di velocità, comodità e sicurezza.

Qual è la disponibilità della CDA tra le varie piattaforme OS?#

La Cross-Device Authentication (CDA) sta diventando rapidamente disponibile su un'ampia gamma di sistemi operativi e browser, man mano che viene introdotto il supporto per le passkey. Una panoramica della disponibilità può essere trovata su questo sito web.

Come diventano disponibili le passkey sui vari dispositivi di un utente?#

Le passkey sono sincronizzate tra i dispositivi tramite meccanismi crittografati end-to-end legati all'account di piattaforma dell'utente (ad esempio, ID Apple, account Google). Questo assicura che le passkey create su un dispositivo siano prontamente disponibili su tutti gli altri dispositivi collegati allo stesso account, facilitando un accesso facile e sicuro in tutto l'ecosistema digitale dell'utente.

CDA vs. passkey sincronizzate: qual è la differenza?#

Il trasporto ibrido consente un'autenticazione sicura tra i dispositivi senza bisogno che le passkey siano sincronizzate tramite un account cloud, offrendo flessibilità e mantenendo l'integrità delle passkey unicamente con l'utente.

Perché la CDA utilizza sia i codici QR che il Bluetooth?#

La CDA impiega i codici QR e il Bluetooth per migliorare la sicurezza e la comodità. I codici QR semplificano l'avvio dell'autenticazione, mentre il Bluetooth assicura la prossimità fisica dei dispositivi, aggiungendo un ulteriore livello di sicurezza.

La CDA può funzionare senza una connessione internet?#

Mentre la CDA richiede una connessione internet per la configurazione iniziale e il processo di autenticazione, il controllo di prossimità Bluetooth per l'autenticazione non si affida a una connessione internet, migliorandone la versatilità.

Quali sono i requisiti hardware per utilizzare la CDA?#

I dispositivi devono supportare WebAuthn, disporre di una fotocamera per la scansione dei codici QR, supportare il Bluetooth 4.0 o superiore per caBLE e mantenere una connessione internet stabile per facilitare efficacemente il processo CDA.

Chi siamo

Corbado è la Passkey Intelligence Platform per i team CIAM che gestiscono l'autenticazione consumer su larga scala. Ti aiutiamo a vedere ciò che i log IDP e gli strumenti di analytics generici non mostrano: quali dispositivi, versioni di OS, browser e gestori di credenziali supportano i passkey, perché gli enrollment non si trasformano in login, dove il flusso WebAuthn fallisce e quando un aggiornamento di OS o browser interrompe silenziosamente il login — tutto senza sostituire Okta, Auth0, Ping, Cognito o il tuo IDP interno. Due prodotti: Corbado Observe aggiunge osservabilità per i passkey e qualsiasi altro metodo di login. Corbado Connect introduce passkey gestiti con analytics integrato (insieme al tuo IDP). VicRoads gestisce i passkey per oltre 5M di utenti con Corbado (+80 % di attivazione passkey). Parla con un esperto di Passkey →