Cheile hardware FIDO2 sunt tot mai des recomandate ca metodă de autentificare rezistentă la phishing, dar pentru o organizație întrebarea practică nu este doar „avem 2FA?”, ci „ce modele acceptăm și de unde știm că sunt cele potrivite?”. Aici intră în scenă FIDO Metadata Service, un registru tehnic folosit de serverele FIDO pentru a verifica informații despre autentificatoare.
De ce nu ajunge o cheie hardware cumpărată la întâmplare
Pentru un utilizator obișnuit, o cheie de securitate pare simplă: o introduci în USB, o atingi și contul se deblochează. În spate însă există diferențe importante între modele. Unele chei sunt certificate FIDO, unele au protecții hardware pentru cheia privată, unele cer PIN sau verificare locală a utilizatorului, iar altele pot avea statusuri de securitate schimbate în timp.
Într-o firmă, aceste diferențe contează. Un administrator poate dori să accepte doar chei compatibile cu politica internă, să blocheze modele vechi, să ceară autentificatoare certificate sau să diferențieze între passkey-uri stocate pe dispozitiv și passkey-uri sincronizate printr-un furnizor cloud. Fără o sursă verificabilă, decizia devine manuală și greu de menținut.
Ce este FIDO Metadata Service
FIDO Metadata Service, prescurtat MDS, este serviciul prin care FIDO Alliance pune la dispoziția relying parties — adică serviciile sau organizațiile care acceptă autentificare FIDO — informații despre autentificatoare. Documentația FIDO descrie un „Metadata BLOB”, un fișier semnat digital care conține metadata statements pentru autentificatoare cunoscute.
Aceste metadata statements includ ancora de încredere necesară pentru verificarea atestării și descriu caracteristici ale autentificatorului, cum ar fi schemele acceptate, tipurile de protecție a cheii și alte proprietăți relevante. Important: FIDO arată explicit că aceste caracteristici pot fi folosite pentru politici privind ce autentificatoare sunt acceptabile la înregistrare sau autentificare.
Cum se face verificarea, pe scurt
Fluxul corect nu înseamnă că un angajat spune „am o cheie de la producătorul X” și organizația îl crede pe cuvânt. Serverul FIDO descarcă registrul MDS, verifică semnătura digitală a fișierului, îl păstrează local și caută intrarea corespunzătoare autentificatorului folosit.
În cazul FIDO2/WebAuthn, un element des întâlnit este AAGUID, identificatorul modelului de autentificator. Platforme precum Microsoft Entra folosesc politici de passkey care pot include restricții pe AAGUID, atestare, tipul passkey-ului și grupurile de utilizatori cărora li se aplică profilul. Microsoft avertizează însă că restricțiile de chei afectează atât înregistrarea, cât și autentificarea: dacă elimini un AAGUID permis anterior, utilizatorii care depind de acel model pot pierde accesul cu metoda respectivă.
Ce verifică organizația prin MDS
MDS poate ajuta la verificarea provenienței și a stării modelului, nu la „citirea” secretelor utilizatorului. Cheia privată rămâne în autentificator, iar serverul lucrează cu chei publice și dovezi criptografice.
În practică, organizația poate verifica dacă modelul este cunoscut, dacă este FIDO Certified, ce caracteristici declară, ce metode de protecție folosește și dacă există rapoarte de status asociate. Specificația FIDO menționează statusReports, inclusiv situații precum actualizări disponibile sau riscuri raportate. Aceste informații trebuie tratate ca semnale pentru politici de risc, nu ca decor tehnic.
De ce contează pentru parole și 2FA
CISA recomandă organizațiilor migrarea către MFA rezistent la phishing, observând că nu toate formele de MFA sunt la fel de sigure. Codurile SMS, codurile introduse manual și aprobările push pot fi vizate prin phishing, oboseală la notificări sau atacuri asupra numărului de telefon. Passkey-urile și cheile FIDO2 reduc acest risc deoarece folosesc criptografie cu cheie publică și sunt legate de domeniul pentru care au fost create.
Asta nu înseamnă că o cheie hardware rezolvă totul. Organizația trebuie să păstreze proceduri clare de recuperare a conturilor, inventar al metodelor de autentificare, politici pentru pierderea cheilor și reguli diferite pentru conturi privilegiate. Pentru administratori, contabili sau angajați cu acces la date sensibile, o politică mai strictă poate fi justificată.
Recomandări defensive pentru firme
Începeți cu o listă scurtă de modele acceptate, documentată și testată. Activați atestarea acolo unde platforma și scenariul o permit. Verificați AAGUID-urile cu furnizorul și cu documentația platformei de identitate. Nu schimbați restricțiile fără un plan de tranziție, pentru că puteți bloca utilizatori legitimi. Monitorizați statusurile publicate prin MDS și pregătiți un proces pentru înlocuirea modelelor care nu mai corespund politicii.
Pentru companiile mici din România, ideea principală este simplă: 2FA bun nu înseamnă doar „încă un cod”, ci o metodă care nu poate fi păcălită ușor printr-o pagină falsă. FIDO Metadata Service adaugă stratul de guvernanță: ajută organizația să știe ce chei acceptă, de ce le acceptă și când trebuie să schimbe politica.
