Passkey
Una passkey permette l’accesso con una coppia di chiavi legata al servizio. Cambio dispositivo, recupero dell’account e permessi restano da gestire.
Accedere con una coppia di chiavi
Una passkey è una credenziale crittografica legata a un account presso un servizio preciso. Il servizio conserva la chiave pubblica; l’autenticatore gestisce il materiale della chiave privata. Durante l’accesso genera una risposta firmata a una richiesta del server. Il server la verifica con la chiave pubblica salvata. Sul Web l’applicazione usa WebAuthn.
Pianificare il cambio di dispositivo
Una piattaforma fittizia per progetti registra una passkey per l’account P-24. A seconda del dispositivo e dei requisiti, l’autorizzazione può avvenire con PIN del dispositivo o biometria. La piattaforma accetta l’accesso solo dopo la verifica sul server della risposta firmata. L’autorizzazione visibile sul dispositivo non è da sola una sessione accettata dal portale.
Alcuni autenticatori consentono backup o sincronizzazione tramite un fornitore; altri mezzi d’accesso restano legati al dispositivo. Il team deve chiarire come aggiungere un accesso, rimuovere una credenziale persa e recuperare l’account. Non va presunta la sincronizzazione con qualsiasi nuovo dispositivo. Anche il recupero richiede prove adeguate della titolarità dell’account.
Dopo l’accesso, la piattaforma verifica ancora quali progetti l’account può vedere o modificare. Una passkey non sostituisce questi permessi applicativi.
Fonti
Termini correlati
- WebAuthnWebAuthn è l’API del browser per l’accesso con chiavi pubbliche. Il server deve verificare la risposta prima di accettare l’autenticazione.
- Cookie HttpOnlyHttpOnly impedisce agli script l’accesso diretto al cookie. Le richieste appropriate possono ancora inviarlo; sessione e permessi vanno verificati.
- Argon2Argon2 è una famiglia di funzioni hash per password che richiedono memoria. Variante, memoria e durata devono adattarsi a sicurezza ed esercizio.
- Principio del privilegio minimoIl privilegio minimo limita i permessi al compito necessario e al suo ambito. Il lavoro richiesto resta possibile; i poteri superflui vengono rimossi.
- Controllo degli accessi basato sugli attributiABAC valuta gli accessi mediante proprietà e regole definite. Origine e aggiornamento delle proprietà fanno parte della progettazione.
- Controllo degli accessi basato sui ruoliRBAC collega permessi e ruoli e assegna le persone ai ruoli. Va definito anche l’ambito dei dati a cui è consentito accedere.
Il vostro progetto con ASES
Descriveteci il vostro progetto. Vi ricontatteremo con una prima valutazione.