Tutto quello che devi sapere sulle chiavi di sicurezza hardware

Tra phishing e fughe di dati dai database, oggigiorno proteggersi online sta diventando sempre più difficile. Le chiavi di sicurezza hardware rappresentano una soluzione valida che aggiunge un ulteriore livello di protezione ai tuoi account online. Questo articolo spiegherà come funzionano le chiavi di sicurezza hardware, i loro pro e contro e i problemi più comuni per aiutarti a capire se sono il dispositivo giusto per te.

Che cos'è una chiave di sicurezza hardware?

Una chiave di sicurezza hardware è un piccolo dispositivo altamente sicuro che funge da "fattore" aggiuntivo in una configurazione di autenticazione a più fattori (MFA). Simile a una OTP tradizionale, una chiave di sicurezza hardware impedisce ai malintenzionati di accedere ai tuoi account online, anche se possiedono le tue informazioni di accesso.

Le chiavi di sicurezza hardware si presentano solitamente sotto forma di smart card o chiavette USB abilitate NFC , che è possibile collegare al PC. Alcune chiavette, come la famosa Yubikey 5 NFC, offrono una combinazione di USB e NFC, consentendo di utilizzare il dispositivo sia su computer che su dispositivi mobili.

Come funzionano le chiavi di sicurezza hardware

In sostanza, le chiavi di sicurezza hardware utilizzano la crittografia a chiave pubblica per autenticare le informazioni di accesso. Quando si configura per la prima volta una chiave con un sito web o un'app compatibile, viene generata una coppia di chiavi crittografiche specifiche per quel servizio. La chiave memorizza la parte privata della coppia di chiavi nel suo "chip di sicurezza", mentre il servizio prende la parte pubblica e la memorizza sui suoi server.

Una volta effettuato l'accesso, il sito web o l'app ti chiederà di inserire la chiave nel dispositivo o di rilevarla tramite NFC. Il servizio invierà dati alla tua chiave, che dovrà essere firmata con la chiave privata. Il servizio prende quindi tali dati e verifica che siano stati firmati correttamente dalla chiave privata utilizzando la sua chiave pubblica.

Tutti i servizi consentono l'uso di chiavi di sicurezza hardware?

Per la maggior parte dei principali servizi online è sufficiente una chiave di sicurezza hardware. Sebbene il supporto non sia esplicitamente garantito, è possibile che piattaforme diffuse come Google, Amazon e X supportino le chiavi di sicurezza hardware. Ad esempio, puoi aggiungere il supporto Yubikey in X andando alla sezione Sicurezza e accesso all'account nella pagina Impostazioni account .

Inoltre, il supporto spesso varia da caso a caso. Questo perché la piattaforma stessa è responsabile dell'aggiunta e della fornitura del supporto per le chiavi di sicurezza hardware. Pertanto, prima di decidere di effettuare un acquisto, dovresti valutare i siti web che visiti e verificare se supportano questo metodo MFA.

Confronto delle chiavi di sicurezza hardware con altri metodi MFA

Chiavi di sicurezza hardware vs. SMS ed e-mail MFA

Uno dei vantaggi dell'utilizzo di chiavi di sicurezza hardware rispetto ai tradizionali SMS ed e-mail MFA è che si tratta di un modo semplice per verificare la propria identità. Non si basa sul codice OTP, il che significa che non è richiesto alcun intervento da parte dell'utente per accedere all'account. Ciò non solo previene gli attacchi di phishing, ma velocizza anche il processo di accesso.

Tuttavia, questo approccio senza soluzione di continuità ha anche un prezzo piuttosto elevato. Oggi la maggior parte delle chiavi di sicurezza hardware costa tra i 30 e gli 80 dollari e quelle più economiche sono utilizzabili solo per applicazioni specifiche. D'altro canto, SMS ed Email MFA sfruttano i dispositivi che già possiedi. Ciò riduce efficacemente il costo degli SMS e delle e-mail MFA a 0 $, rendendolo un modo molto conveniente per proteggere i tuoi account.

Chiavi di sicurezza hardware vs. app di autenticazione

Proprio come gli SMS e le Email MFA, anche le app di autenticazione presentano gli stessi problemi di base se confrontate con le chiavi di sicurezza hardware. Si basa sull'OTP, il che lo rende vulnerabile agli attacchi di phishing.

Tuttavia, la maggior parte delle applicazioni di autenticazione utilizza lo standard RFC 6238 (TOTP), rendendole uno dei metodi MFA più accessibili disponibili oggi. Ciò significa che è molto probabile che il sito web che stai visitando abbia l'opzione per abilitare TOTP. Questo rappresenta anche un vantaggio rispetto alle chiavi di sicurezza hardware, perché non tutti i siti web supportano lo standard FIDO2.

Chiavi di sicurezza hardware vs. biometria

Sebbene le serrature di sicurezza hardware e quelle biometriche offrano livelli simili di sicurezza e praticità, differiscono per alcuni aspetti importanti. Innanzitutto, le chiavi biometriche possono essere utilizzate solo sul dispositivo in cui sono archiviate. Ad esempio, Touch ID può consentire l'accesso solo sul tuo iPhone. Ciò limita notevolmente le possibilità offerte dalle serrature biometriche, soprattutto se confrontate con le serrature di sicurezza hardware.

Inoltre, le serrature biometriche sono spesso più comode e facili da usare rispetto alle serrature di sicurezza hardware. Il blocco biometrico non coinvolge alcun dispositivo esterno e sfrutta ciò che già possiedi. Questa chiave inoltre non si basa sull'OTP, il che la rende resistente agli attacchi di phishing.

Cosa succede se perdi la tua chiave di sicurezza hardware?

Uno dei punti di forza delle serrature di sicurezza hardware è anche il loro punto debole. In quanto oggetto fisico, potresti perdere la chiave. Questo può rappresentare un problema se fai affidamento sulla tua chiave di sicurezza hardware per accedere a servizi importanti, come l'online banking.

Quando ciò accade, è importante ricordare che la maggior parte delle serrature è dotata di una qualche forma di protezione contro gli accessi non autorizzati. Ad esempio, Yubikey 5 richiede all'utente di impostare un PIN ed è dotato di un meccanismo di autocancellazione dopo ripetuti inserimenti errati di PIN.

Inoltre, le chiavi di sicurezza hardware non memorizzano informazioni sensibili come nome utente e password. Queste chiavi memorizzano anche le chiavi private su un chip sicuro, rendendo impossibile l'estrazione da parte di malintenzionati.