Google si impegna a promuovere l'equità razziale per le comunità nere. Vedi come.

Autenticazione FIDO

Una rappresentazione delle entità coinvolte nell'autenticazione: un server, un browser Web e un dispositivo.

L'autenticazione FIDO (Fast IDentity Online) è un insieme di standard per un'autenticazione veloce, semplice e forte.

Questi standard sono sviluppati dalla FIDO Alliance, un'associazione di settore con rappresentanti di una serie di organizzazioni tra cui Google, Microsoft, Mozilla e Yubico. Gli standard consentono l'autenticazione resistente al phishing, senza password e a più fattori. Migliorano l'esperienza utente online rendendo l'autenticazione forte più facile da implementare e utilizzare.

Alcuni degli strumenti e delle app più popolari del Web utilizzano già l'autenticazione FIDO, inclusi account Google, Dropbox, GitHub, Twitter e Yahoo Japan.


  • Gli utenti vincono. Gli utenti traggono vantaggio da flussi di autenticazione veloci e sicuri.

  • Gli sviluppatori vincono. Gli sviluppatori di app e web possono utilizzare semplici API per autenticare in modo sicuro gli utenti.

  • Le aziende vincono . I proprietari di siti e i fornitori di servizi possono proteggere più efficacemente i propri utenti.

Come funziona l'autenticazione FIDO?

In un flusso di autenticazione FIDO, una relying party utilizza le API per interagire con l' autenticatore di un utente.

Partito fiducioso

Una rappresentazione di un collegamento sicuro tra un'app Web e un server Web.

La parte che invoca è il vostro servizio, composto da un server back-end e un'applicazione di front-end.

Applicazione

Durante un flusso di autenticazione o registrazione, l'applicazione utilizza API lato client come WebAuthn e FIDO2 per Android per creare e verificare le credenziali utente con l' autenticatore .

Ciò comporta il passaggio di una verifica crittografica dal server all'autenticatore e la restituzione della risposta dell'autenticatore al server per la convalida.

server

Il server memorizza le credenziali della chiave pubblica dell'utente e le informazioni sull'account.

Durante un flusso di autenticazione o registrazione, il server genera una verifica crittografica in risposta a una richiesta dall'applicazione. Quindi valuta la risposta alla sfida.

La FIDO Alliance mantiene un elenco di prodotti di terze parti certificati, comprese le soluzioni server. Sono inoltre disponibili numerosi server FIDO open source; vedere WebAuthn Awesome per ulteriori informazioni.

Autenticatore

Un utente sta per accedere a un'app Web su un dispositivo mobile.

Un autenticatore FIDO genera le credenziali utente. Una credenziale utente ha sia un componente chiave pubblica che una chiave privata. La chiave pubblica è condivisa con il tuo servizio, mentre la chiave privata è tenuta segreta dall'autenticatore.

Un autenticatore può essere parte del dispositivo dell'utente o un componente hardware o software esterno.

L'autenticatore viene utilizzato in due interazioni di base: registrazione e autenticazione .

Registrazione

In uno scenario di registrazione, quando un utente si registra per un account su un sito Web, l'autenticatore genera una nuova coppia di chiavi che può essere utilizzata solo sul tuo servizio. La chiave pubblica e un identificatore per la credenziale verranno archiviati con il server.

Autenticazione

In uno scenario di autenticazione, quando un utente torna al servizio su un nuovo dispositivo o dopo la scadenza della sessione, l'autenticatore deve fornire una prova della chiave privata dell'utente. Lo fa rispondendo a una sfida crittografica emessa dal server.

Per verificare l'identità dell'utente, alcuni tipi di autenticatori utilizzano dati biometrici come le impronte digitali o il riconoscimento facciale. Altri usano un PIN. In alcuni casi, viene utilizzata una password per verificare l'utente e l'autenticatore fornisce solo l'autenticazione di secondo fattore.

Prossimi passi

Prendi un codelab:

Impara di più riguardo: