MircoT sia la chiave privata che la chiave pubblica vengono create localmente, poi la chiave pubblica viene caricata sul sito
No, dalle specifiche FIDO non è necessario che la chiave privata sia creata localmente. Nulla vieterebbe poi già da anni ai siti ri rilasciare certificati per gli utenti da memorizzare nello store dell'OS (o in un HSM) e usarli per l'autenticazione. Non l'hanno mai fatto perché l'incremento di complessità non era giustificato da alcun ritorno economico, e preferivano l'utente potesse accedere da dovunque, compresi ad esempio i PC aziendali. Chiedetevi perché adesso hanno cambiato idea. Maggiore sicurezza degli utenti, o qualcos'altro?
MircoT uindi se hackerano il sito e prendono le chiavi pubbliche, non se ne fanno nulla
Anche se prendono degli hash saltati correttamente non se ne fanno nulla. Le passkey sarebbero certo un poco più sicure, al prezzo di richiedere per forza un dispositivo per usarle - impossibile memorizzarle. E il punto critico, dal punto di vista della privacy e della sicurezza, diventa quel (o quei) dispositivi. Prima di tutto, avere tutte le uova nello stesso cesto aumenta il rischio. Secondo, essere costretti ad avere sempre con sé dispositivi che sono prima di tutto dispositivi di tracciamento. Se ci fosse una vera legislazione che 1) impedisse qualsiasi forma di tracciamento 2) impedisse il monopolio degli store 3) lo standard non è sviluppato da aziende che hanno come business principale il tracking
Alllora si potrebbe anche parlarne. Altrimenti è il classico caso dove in cambio di un poco più di sicurezza si perde molta libertà. Tra l'altro la certificazione costa migliaia di euro, assicurando che piccole entità saranno costrette a ricorrere ai servizi offerti dai soliti noti. Sinceramente per accedere a siti come FibraClick non vedo la necessità di autenticazione più sicuri di una password. Per accedere al sito della banca, invece, le passkey non incrementano la sicurezza a sufficienza, e rimane la necessità di un sistema di autenticazione MFA con canale separato.
MircoT quindi non c'è rischio che vengano sniffate nel percorso.
Cosa che dovrebbe essere garantita dalla cifratura della connessione, che guarda caso, usa lo stesso meccanismo chiave pubblica/privata e potrebbe autenticare il client nello stesso modo. Se è compromessa la connessione cifrata, hai già un problema. Sarebbero più utili su connessioni non cifrate. E se ad essere compromesso è il client, che sia una password o una passkey cambia poco, specialmente se il software front-facing ha accesso diretto al sistema di autenticazione ed una vulnerabilità permette di accedervi direttamente. Che acceda alla password, o alle passkey non cambia nulla.
