WebAuthn: uno standard aperto per l'autenticazione senza password

Il W3C, l'organizzazione non governativa che si occupa di definire le specifiche per il Web, assieme alla FIDO Alliance, un consorzio di aziende che ha come obbiettivo il miglioramento della sicurezza dei servizi Internet, ha recentemente presentato il nuovo protocollo WebAuthn. Si tratta di una nuova specifica che consente ai browser Web di autentificare gli utenti tramite device specifici (USB, Bluetooth o NFC) e dispositivi biometrici.

Nei prossimi anni sarà dunque possibile abbondare completamente i sistemi di sicurezza Web based incentrati sulle tradizionali password, per affidarsi a dispositivi di autenticazioni come i sensori di impronte digitali oppure fotocamere impiegate per il riconoscimento facciale. L'obbiettivo del W3C è in questo caso quello di offrire uno standard open per il riconoscimento biometrico, che non sia vincolato alle imposizioni dei vendor.

WebAuthn è stato realizzato a partire dalla specifica UAF (Universal Authentication Factor), essa tuttavia non è stata accettata dai team di sviluppo dei principali browser Web perché ritenuta poco chiara in diversi suoi aspetti, sopratutto per quanto riguarda l'utilizzo con le versioni mobile dei software per la navigazione. Gli sviluppatori di WebAuthn hanno dunque lavorato in modo da migliorare quello che era già stato fatto con UAF, collaborando a stretto contatto con Mozilla e Google in modo da integrare al meglio il nuovo protocollo con il codice di Firefox e Chrome.

WebAuthn è stato pensato per essere molto più versatile rispetto a quanto previsto per la UAF, supporta infatti nativamente molti metodi di autenticazione che la specifica originale non aveva contemplato. Oltre ai device di identificazione biometrica è per esempio possibile sfruttare dei PIN o delle stringhe di testo con cui verificare che l'utente sia realmente presente durante la fase di login.

Una volta ultimato il processo di standardizzazione del W3C, il progetto attende ancora il termine della revisione sulla "Candidate Recommendation", i browser potranno iniziare a proporlo nei loro rami stabili. Google e Mozilla sono ovviamente già al lavoro sul nuovo standard ed è infatti possibile trovare WebAuthn sulle versioni beta dei due rispettivi browser. WebAuthn dovrebbe dunque arrivare nei terminali degli utenti con Chrome 67 e Firefox 60, entrambi attesi per maggio.

Via W3C