Che cos’è il Universal 2nd Factor (U2F) e perché ne hai bisogno?

Le chiavi di sicurezza U2F aiutano a mantenere sicuri i tuoi account online anche se le tue password vengono compromesse.

Le password da sole non sono sufficienti a proteggere i tuoi account online. Troppe password sono facili da rompere per gli hacker, e anche se usi password forti, potrebbero comunque essere rubate in un attacco di phishing o in una violazione dei dati.

Ecco perché hai bisogno dell’autenticazione a due fattori (2FA). Con la 2FA, puoi proteggere l’accesso ai tuoi account online anche se le tue password vengono rubate o trapelate, proprio come avere una seconda serratura dopo la tua password.

Più sicure degli SMS e spesso più veloci e convenienti da usare rispetto a un’app di autenticazione sul tuo telefono, le chiavi di sicurezza U2F sono uno dei metodi più sicuri per la 2FA.

Ecco come funzionano le chiavi di sicurezza U2F e come possono aiutarti a rimanere sicuro.

Che cos’è U2F?
Che cos’è una chiave di sicurezza FIDO U2F?
Come usare una chiave di sicurezza FIDO U2F
A cosa servono le chiavi di sicurezza U2F?
Come funzionano le chiavi di sicurezza U2F?
Pro e contro delle chiavi di sicurezza FIDO U2F
FIDO U2F vs. FIDO2
Rimani sicuro con U2F e Proton

Che cos’è U2F?

U2F (Universal 2nd Factor) è uno standard aperto che ti consente di utilizzare una chiave di sicurezza fisica per l’autenticazione a due fattori (2FA), offrendo un ulteriore livello di sicurezza per i tuoi account online.

Una volta configurata la 2FA con un account online, devi verificare la tua identità due volte quando accedi:

Passo 1: Inserisci il tuo nome utente e la tua password.

Passo 2: Di solito fai una delle seguenti operazioni per confermare nuovamente la tua identità e accedere al tuo account:

• Inserisci un codice di accesso temporaneo generato da un’app di autenticazione o inviato via SMS.
• Usa dati biometrici, come toccare un lettore di impronte digitali o scansionare il tuo volto.
• Collega o tocca una chiave di sicurezza fisica, conosciuta anche come token hardware o chiave di sicurezza FIDO U2F.

Che cos’è una chiave di sicurezza FIDO U2F?

Una chiave di sicurezza FIDO U2F è un dispositivo fisico che ti consente di accedere a un account utilizzando la 2FA. Disponibili in tutte le forme e dimensioni, la maggior parte delle chiavi U2F sono simili a penne USB o portachiavi, come questa YubiKey di Yubico:

FIDO sta per Fast Identity Online, un insieme di protocolli di autenticazione sviluppati e mantenuti dall’FIDO Alliance(nuova finestra).

Un gruppo no-profit, la FIDO Alliance comprende agenzie governative e oltre 250 grandi aziende, tra cui Apple, Google, PayPal e VISA. Oltre a promuovere U2F, il gruppo mira a sviluppare nuovi standard di autenticazione per «aiutare a ridurre l’eccessiva dipendenza mondiale dalle password».

Come usare una chiave di sicurezza FIDO U2F

Per utilizzare una chiave di sicurezza U2F, devi:

1. Comprare una chiave U2F e registrarla con il sito web o l’app che vuoi utilizzare.
2. Dopo aver inserito il tuo nome utente e la tua password, ti verrà chiesto di collegare la chiave e di solito premere o toccare un pulsante per accedere. Ad esempio, tocchi la «Y» sulla YubiKey qui sopra.

Puoi anche usare le chiavi U2F con dispositivi mobili se il tuo sistema operativo lo supporta. Ad esempio, Apple ha introdotto il supporto per le chiavi di sicurezza con iOS 16.3, rilasciato a gennaio 2023. 

Collega la chiave (se hai una chiave compatibile) o tocca la chiave sul telefono (se il telefono e la chiave sono compatibili con NFC(nuova finestra)) per autenticarti per la 2FA.

A cosa servono le chiavi di sicurezza U2F?

Le chiavi di sicurezza U2F sono uno dei modi più sicuri per implementare la 2FA (o altre autenticazioni a più fattori). Poiché chiunque può diventare vittima di un attacco di phishing o di una violazione dei dati, hai bisogno della 2FA per proteggere i tuoi account nel caso in cui le tue password vengano mai perse o rubate. 

Puoi usare una chiave U2F per impostare la 2FA per molti siti web e servizi online, tra cui Google, Apple, Microsoft e Proton.

Con la maggior parte dei servizi che supportano U2F, puoi impostare una chiave di sicurezza U2F e un’app di autenticazione per la 2FA. Quindi, se uno fallisce, hai l’altro come backup.

Scopri come impostare le chiavi di sicurezza U2F con Proton

Oltre alle applicazioni per i consumatori, le chiavi U2F sono spesso utilizzate in settori che richiedono elevati standard di sicurezza e conformità, come la finanza, la salute e i settori governativi.

Alcune aziende richiedono ai dipendenti di utilizzare una chiave U2F per accedere alle reti interne o a un VPN(nuova finestra) mentre lavorano da remoto. Nel 2018, Google dichiarò di aver eliminato gli attacchi di phishing riusciti(nuova finestra) sui suoi più di 85.000 dipendenti richiedendo loro di utilizzare chiavi di sicurezza U2F per i loro account di lavoro.

Come funzionano le chiavi di sicurezza U2F?

Le chiavi U2F usano la crittografia a chiave pubblica(nuova finestra) per verificare la tua identità. Questo funziona generando una coppia di chiavi matematicamente correlate:

• Una chiave privata, che viene mantenuta segreta sulla tua chiave U2F
• Una chiave pubblica, che il servizio online (sito web o app) memorizza sui suoi server

Una nuova coppia di chiavi viene creata quando imposti la tua chiave U2F per la 2FA con un servizio online. La chiave privata è mantenuta sulla tua chiave U2F, mentre la corrispondente chiave pubblica è registrata con il servizio online. 

In termini semplificati, ecco come accedi utilizzando una chiave U2F per la 2FA:

1. Una volta inserito correttamente il tuo nome utente e la tua password, il servizio online invia al tuo computer, tablet o telefono una «sfida», chiedendoti di autenticarti con una chiave U2F.

2. Colleghi la chiave U2F a una porta USB del tuo computer e generalmente tocchi un pulsante sulla chiave (o la colleghi al tuo telefono o la attivi con NFC).

3. Dalle chiavi private memorizzate sulla tua chiave U2F, il tuo dispositivo seleziona quella che corrisponde alla chiave pubblica del servizio online e la usa per firmare digitalmente la sfida.

4. Il tuo dispositivo invia la sfida firmata di nuovo al servizio online, che la verifica con la chiave pubblica memorizzata e ti fa accedere.

Pro e contro delle chiavi di sicurezza FIDO U2F

Sebbene le chiavi U2F siano considerate uno dei metodi più sicuri per la 2FA, presentano alcuni svantaggi. Ecco i principali pro e contro.

Pro

Sicurezza elevata

Sia le chiavi U2F che le app di autenticazione sono molto più sicure degli SMS per la 2FA perché i messaggi SMS sono non crittografati e possono essere facilmente intercettati. 

Ma le chiavi U2F sono considerate ancora più sicure delle app di autenticazione perché:

• Con U2F, solo tu hai la chiave privata memorizzata sulla tua chiave U2F. Con le app di autenticazione, hai un «segreto condiviso» (testo normale o codice QR) condiviso tra il tuo dispositivo e il server.
• Le chiavi U2F firmando digitalmente la sfida della 2FA e trasmettono la risposta direttamente al servizio online (vedi come funziona U2F sopra). Al contrario, le app autenticatore si basano su codici di accesso usa e getta, che possono essere intercettati da ascolti o hacking (attacchi man-in-the-middle(nuova finestra)).

Tuttavia, nessun metodo di autenticazione è sicuro al 100%, e anche le chiavi U2F possono essere violate(nuova finestra).

Facilità d’uso

Una volta configurate, le chiavi U2F sono veloci e facili da usare. Non è necessario aprire app o inserire manualmente password usa e getta. Basta inserire la chiave e toccarla (o toccarla sul telefono per connettersi tramite NFC).

Puoi usare una chiave per quanti più servizi vuoi, purché supportino U2F.

Contro

Nessun backup

Con le app autenticatore, puoi copiare il codice QR o i codici di backup nel caso tu perda l’accesso al tuo telefono. Poiché non è possibile duplicare le chiavi private memorizzate sulle chiavi U2F, ti consigliamo di registrare una seconda chiave con ciascun servizio online come backup.

Costo

Sebbene la maggior parte delle app autenticatore siano gratuite da scaricare, le chiavi U2F costano. A partire da circa $20, le chiavi U2F con le ultime funzionalità possono costare notevolmente di più. E potresti voler acquistare una chiave extra come backup.

Rischio di perdita

Come altri oggetti di valore, devi tenere le chiavi U2F al sicuro. Puoi adattarle sulla maggior parte dei portachiavi fisici. Ma le chiavi U2F “nano” sono progettate per rimanere nella porta USB per comodità, quindi i tuoi account saranno vulnerabili se il tuo dispositivo viene perso o rubato.

Qual è la differenza tra FIDO U2F e FIDO2?

Sviluppato dall’alleanza FIDO, FIDO2 è il più recente standard di autenticazione che sostituirà FIDO U2F. L’obiettivo principale di FIDO2 è introdurre autenticazione senza password(nuova finestra).

Con FIDO2, invece di usare una password e 2FA, puoi accedere a un account con solo una chiave di sicurezza FIDO2 o dati biometrici, come un’impronta digitale o una scansione del volto. Ad esempio, Apple utilizza lo standard FIDO2 per i suoi passkey(nuova finestra), utilizzando Face ID o Touch ID.

Poiché FIDO2 è compatibile con FIDO U2F, sta rapidamente diventando il nuovo standard per 2FA e autenticazione senza password. Ad esempio, puoi utilizzare chiavi di sicurezza abilitate FIDO2 per accedere a Google o Proton utilizzando una password e 2FA.

Rimani sicuro con U2F e Proton

In sintesi, le chiavi di sicurezza U2F sono uno dei modi più sicuri per utilizzare 2FA per battere il phishing e mantenere i tuoi account online sicuri.

Sebbene qualsiasi metodo 2FA sia di gran lunga migliore rispetto all’uso di una sola password, scegli chiavi di sicurezza U2F o un’app autenticatore per 2FA piuttosto che SMS, che è intrinsecamente insicuro.

Molte piattaforme, come Proton, ti consentono di configurare due chiavi di sicurezza U2F per il tuo account o una chiave di sicurezza e un’app autenticatore, così hai sempre un backup.

Con Proton, vedrai le seguenti opzioni dopo aver inserito la tua password Proton:

Basta inserire la tua chiave U2F, toccarla ed entrare.

Se non hai già protetto le tue informazioni personali con un account Proton, puoi iscriverti gratuitamente. Con Proton Mail, Proton Calendar, Proton Drive, e Proton VPN(nuova finestra), nessuno tranne te può accedere ai tuoi dati. Nemmeno Proton. 

Quindi unisciti a noi e rimani sicuro con U2F e Proton!