Accesso sicuro al proprio account Microsoft senza password, utilizzando una chiave di sicurezza o Windows Hello

Nota del redattore del 26/11/2018:
Questo post è stato aggiornato per includere informazioni sulla disponibilità di accesso senza password.

Salve, ragazzi,

non vedo l’ora di condividere con voi le novità di oggi! Abbiamo appena reso possibile l’accesso sicuro con il proprio account Microsoft utilizzando un dispositivo FIDO2 compatibile basato su standard, senza nome utente e senza password! FIDO2 consente agli utenti di utilizzare dispositivi basati su standard per eseguire facilmente l’autenticazione ai servizi online, sia in ambienti mobili che desktop. Questa funzionalità è ora disponibile negli Stati Uniti e sarà distribuita a livello globale nelle prossime settimane.

Questa combinazione di facilità d’uso, sicurezza e ampio supporto del settore trasformerà le cose sia a casa che nel mondo del lavoro moderno. Ogni mese, più di 800 milioni di persone utilizzano un account Microsoft per creare, connettersi e condividere da qualsiasi luogo a Outlook, Office, OneDrive, Bing, Skype e Xbox Live per lavorare e giocare. Ora tutti possono trarre vantaggio da questa semplice esperienza utente e da una sicurezza notevolmente migliorata.

Da oggi è possibile utilizzare un dispositivo FIDO2 o Windows Hello per accedere al proprio account Microsoft utilizzando il browser Microsoft Edge.

Guardate questo rapido video che mostra come funziona:

Microsoft intende eliminare le password e aiutare le persone a proteggere i propri dati e i propri account dalle minacce. Come membri della Fast Identity Online (FIDO) Alliance e del World Wide Web Consortium (W3C), stiamo lavorando con altri per sviluppare standard aperti per la prossima generazione di autenticazione. Sono felice di condividere con voi che Microsoft è la prima azienda di Fortune 500 a supportare l’autenticazione senza password utilizzando le specifiche WebAuthn e FIDO2 e che Microsoft Edge supporta la gamma più ampia di autenticatori rispetto ad altri browser principali.

Se volete maggiori dettagli su come funziona e su come iniziare, continuate a leggere.

Per iniziare

Per accedere con il tuo account Microsoft utilizzando una chiave di sicurezza FIDO2:

1. Se non lo hai già fatto, assicurati di eseguire l’aggiornamento a Windows 10 di ottobre 2018.
2. Vai alla pagina dell’account Microsoft su Microsoft Edge e accedi come faresti normalmente.
3. Seleziona Sicurezza > Altre opzioni di sicurezza e in Windows Hello e chiavi di sicurezza, vedrai le istruzioni per configurare una chiave di sicurezza. (Puoi acquistare una chiave di sicurezza da uno dei nostri partner, tra cui Yubico e Feitian Technologies che supportano lo standard FIDO2.*)
4. La prossima volta che esegui l’accesso, potrai fare clic su Altre opzioni > Usa una chiave di sicurezza o immettere il tuo nome utente. A quel punto, ti verrà chiesto di utilizzare una chiave di sicurezza per accedere.

E, come promemoria, ecco come accedere con il tuo account Microsoft utilizzando Windows Hello:

1. Verifica di aver eseguito l’aggiornamento a Windows 10 di ottobre 2018.
2. Se non lo hai già fatto, dovrai configurare Windows Hello. Se hai già configurato Windows Hello, sei pronto a partire!
3. La prossima volta che esegui l’accesso su Microsoft Edge, potrai fare clic su Altre opzioni > Usa Windows Hello o una chiave di sicurezza o immetti il tuo nome utente. A quel punto, ti verrà chiesto di utilizzare Windows Hello o una chiave di sicurezza per accedere.

Se hai bisogno di ulteriore assistenza, consulta il nostro articolo della guida dettagliato su come eseguire la configurazione.

*Ci sono un paio di funzionalità opzionali nelle specifiche FIDO2 che riteniamo fondamentali per la sicurezza, quindi funzioneranno solo le chiavi che hanno implementato queste funzionalità. Per saperne di più, leggi Cos’è una chiave di sicurezza compatibile con Microsoft?
.

Come funziona?

Senza farlo notare, abbiamo implementato le specifiche WebAuthn e FIDO2 CTAP2 nei nostri servizi per rendere tutto questo una realtà.

A differenza delle password, FIDO2 protegge le credenziali degli utenti utilizzando la crittografia delle chiavi pubbliche/private. Quando crei o registri una credenziale FIDO2, il dispositivo (il tuo PC o il dispositivo FIDO2) genera una chiave privata e pubblica sul dispositivo. La chiave privata viene archiviata in modo sicuro sul dispositivo e può essere utilizzata solo dopo che è stata sbloccata con un gesto locale, ad esempio un riconoscimento biometrico o un PIN. Il riconoscimento biometrico o il PIN non lasciano mai il dispositivo. Contemporaneamente alla memorizzazione della chiave privata, la chiave pubblica viene inviata al sistema di account Microsoft nel cloud e registrata con il tuo account utente.

Quando accedi in seguito, il sistema di account Microsoft fornisce un nonce al PC o al dispositivo FIDO2. Il tuo PC o dispositivo utilizza quindi la chiave privata per firmare il nonce. Il nonce e i metadati firmati vengono inviati al sistema di account Microsoft, dove vengono verificati utilizzando la chiave pubblica. I metadati firmati come indicato dalle specifiche WebAuthn e FIDO2 forniscono informazioni, ad esempio se l’utente era presente, e verificano l’autenticazione attraverso il gesto locale. Sono queste proprietà che rendono l’autenticazione con i dispositivi Windows Hello e FIDO2 non “a rischio di phishing” o rubabile facilmente tramite malware.

In che modo Windows Hello e i dispositivi FIDO2 implementano tutto questo? In base alle capacità del tuo dispositivo Windows 10, avrai un’enclave sicura integrata, nota come TPM (trusted platform module) hardware o TPM software. Il TPM memorizza la chiave privata, che richiede il viso, le impronte digitali o il PIN per lo sblocco. Allo stesso modo, un dispositivo FIDO2, come una chiave di sicurezza, è un piccolo dispositivo esterno con una propria enclave sicura integrata che memorizza la chiave privata e richiede il riconoscimento biometrico o PIN per lo sblocco. Entrambe le opzioni offrono l’autenticazione a due fattori in un unico passaggio, che richiede sia un dispositivo registrato che un riconoscimento biometrico o PIN per accedere con successo.

Consulta questo articolo sul blog Identity Standards, che contiene tutti i dettagli tecnici relativi all’implementazione.

Passaggi successivi

Moltissime cose stanno scaturendo dai nostri sforzi per ridurre e persino eliminare l’uso delle password. Attualmente stiamo creando la stessa esperienza di accesso da un browser con chiavi di sicurezza per gli account aziendali e dell’istituto di istruzione in Azure Active Directory. I clienti aziendali potranno vedere questa esperienza in anteprima all’inizio del prossimo anno e potranno consentire ai propri dipendenti di configurare le chiavi di sicurezza per i propri account per accedere a Windows 10 e al cloud.

Inoltre, poiché sempre più browser e piattaforme iniziano a supportare gli standard WebAuthn e FIDO2, l’esperienza senza password, oggi disponibile su Microsoft Edge e Windows, sarà disponibile ovunque!

Restate in contatto per maggiori dettagli all’inizio del prossimo anno!

Con i migliori saluti,
Alex Simons (@Twitter: @Alex_A_Simons)
CVP di Program Management
Microsoft Identity Division