Bitwarden implementa l'accesso alla cassaforte su web via passkey

Dopo aver introdotto il supporto alle passkey, il noto gestore open source di password Bitwarden ha annunciato di aver implementato (in beta) la modalità di accesso via passkey per la cassaforte su web. Si tratta di una novità importante che va nella direzione di rendere l’accesso ai dati sensibili degli utenti stored nei vault online più sicuro.

Le passkey, a differenza delle tradizionali password impostate dagli utenti, sono più resistenti al phishing in quanto legate in modo univoco all'identità digitale dell'utente. Consentono infatti di accedere al vault web Bitwarden senza dover inserire la password master né effettuare l’autenticazione a due fattori tramite email o altri metodi. Di fatto per l'utente l'accesso potrà essere compiuto via "autenticazione biometrica, come il riconoscimento facciale o l'impronta digitale, o un altro metodo di sicurezza FIDO2".

Bitwarden abilita l'accesso via passkey sul web vault

L'implementazione delle passkey in Bitwarden per l'accesso al vault si basa sull'estensione PRF WebAuthn, uno standard emergente che consente di derivare una chiave di crittografia fissa e univoca da una passkey. In tal modo, utilizzando un dispositivo di autenticazione compatibile come una chiave di sicurezza hardware o sistemi biometrici, è possibile ottenere una chiave per crittografare e decrittografare in modo affidabile i dati sensibili contenuti nel vault.

Come spiegato dall'azienda, per decrittografare il vault gli utenti devono disporre della stessa chiave utilizzata per la cifratura. Poiché le passkey generano di volta in volta valori diversi a ogni autenticazione, l'estensione PRF consente di derivare un valore fisso che viene associato in modo univoco all'utente e al servizio online specifico.

Quando l'utente registra una passkey con la propria chiave di sicurezza, Bitwarden può così cifrare i dati presenti nel vault con la chiave di crittografia correlata. L'implementazione del password manager consente di utilizzare le passkey in modo affidabile per autenticarsi su una stessa piattaforma o servizio online, unendo i vantaggi delle modalità di accesso passwordless alla protezione della crittografia end-to-end.

Al momento la funzionalità è disponibile in versione beta per l'app web di Bitwarden, su browser basati su Chromium che supportano l'estensione PRF. Gli utenti di tutti i piani possono impostare fino a cinque passkey diverse, mentre il supporto verrà esteso in futuro a un numero superiore di client.