W miarę jak coraz więcej organizacji przechodzi na uwierzytelnianie bezhasłowe, wiele z nich staje przed krytycznym pytaniem: jak możemy zapobiec synchronizacji passkeys między urządzeniami? Kwestia ta jest szczególnie istotna dla przedsiębiorstw zabezpieczających dostęp pracowników, w których przenoszenie passkeys może wiązać się z ryzykiem braku zgodności lub nieautoryzowanym dostępem.
Secfense bezpośrednio odpowiada na to wyzwanie dzięki Mobile-Bound Passkeys. Podejście to zapewnia, że każde poświadczenie jest kryptograficznie powiązane z pojedynczym urządzeniem i nie może być eksportowane ani ponownie wykorzystywane w innym miejscu.
Czym są Mobile-Bound Passkeys?
Mobile-Bound Passkey to poświadczenie FIDO, które jest tworzone i przechowywane w Trusted Execution Environment (TEE ) na urządzeniu mobilnym użytkownika. W przeciwieństwie do synchronizowanych passkeys, które mogą być kopiowane lub przenoszone między platformami, Mobile-Bound Passkey są zablokowane na określonym komponencie sprzętowym. Zapobiega to nieautoryzowanemu powielaniu lub używaniu na innych urządzeniach.
Jakie gwarancje bezpieczeństwa zapewnia Secfense?
Secfense Mobile-Bound Passkeys zapewnia cztery kluczowe gwarancje:
- Klucz prywatny jest generowany w bezpiecznym środowisku.
Na Androidzie wykorzystuje to magazyn kluczy wspierany sprzętowo; na iOS wykorzystuje Secure Enclave. Zaufane środowisko wykonawcze zapewnia, że materiał klucza prywatnego jest odizolowany od głównego systemu operacyjnego. - Klucz prywatny nigdy nie opuszcza urządzenia.
Klucz jest z założenia nieeksportowalny. Nie może on być archiwizowany, kopiowany ani migrowany – nawet przez użytkownika końcowego. - Autentyczność urządzenia jest weryfikowana.
Podczas rejestracji urządzenie przechodzi weryfikację za pomocą atestu WebAuthn, który potwierdza, że klucz pochodzi z oryginalnego, zaufanego sprzętu. - Integralność poświadczenia jest powiązana z aplikacją Secfense Authenticator.
- Oprócz standardowej attestation WebAuthn, Secfense stosuje dodatkową warstwę weryfikacji integralności aplikacji. W tym celu wykorzystywane są platformowe interfejsy API:
- – Play Integrity API na Androidzie
- – App Attest na iOS
Dzięki nim możliwe jest potwierdzenie, że poświadczenie pochodzi z autentycznej, niezmodyfikowanej wersji aplikacji Secfense Authenticator zainstalowanej na zweryfikowanym urządzeniu. Podczas rejestracji część komunikacji WebAuthn jest podpisywana i przesyłana poza głównym kanałem (out-of-band), a następnie weryfikowana po stronie serwera, zanim poświadczenie zostanie uznane za zaufane.
Te mechanizmy kontroli bezpieczeństwa są egzekwowane podczas ceremonii tworzenia poświadczeń i weryfikowane po stronie serwera, zapewniając spójny i weryfikowalny model zaufania.
W jaki sposób WebAuthn Attestation to wspiera?
Secfense wyraźnie żąda poświadczenia podczas procesu rejestracji poświadczeń WebAuthn. W zależności od urządzenia:
- W systemie Android wymagany jest format android-key.
- W systemie iOS wymagamy formatu zaświadczenia Apple.
Obiekt atestacji jest osadzony w odpowiedzi WebAuthn i zawiera metadane urządzenia i klucza. Dane te są weryfikowane przez systemy zaplecza Secfense, aby upewnić się, że klucz został wygenerowany na zweryfikowanym urządzeniu przy użyciu obsługiwanego bezpiecznego sprzętu.
Dlaczego ma to znaczenie dla przedsiębiorstw
W przypadku organizacji stosujących passkeys do uwierzytelniania pracowników kluczowe znaczenie ma
- Zapobieganie ponownemu użyciu poświadczeń na niezarządzanych urządzeniach.
- Utrzymanie kontroli nad poziomami bezpieczeństwa tożsamości.
- Upewnij się, że tylko zweryfikowane, zgodne urządzenia są używane do uzyskiwania dostępu.
Secfense umożliwia to przy minimalnym wpływie na istniejącą infrastrukturę, jednak weryfikacja integralności poświadczeń wymaga integracji z aplikacją Secfense Authenticator oraz wykorzystania platformowych interfejsów attestation. Mobile-Bound Passkeys od Secfense płynnie integrują się z istniejącymi przepływami tożsamości, zapewniając jednocześnie silne zabezpieczenie i pełne egzekwowanie zasad.
Chcesz dowiedzieć się więcej?
Chętnie podzielimy się szczegółami implementacji w ramach umowy NDA.
→ Skontaktuj się z ekspertem Secfense, aby omówić Mobile-Bound Passkeys
→ Zobacz, jak bank BNP Paribas wdrożył passkeys na dużą skalę w zaledwie 3 miesiące
