Riutilizzare le password o affidarsi ai codici di autenticazione inviati via SMS può sembrare sufficientemente sicuro, ma questi metodi presentano ancora dei punti deboli. Anche le forme più comuni di autenticazione a due fattori possono essere vulnerabili agli attacchi di phishing.
Un modo per risolvere questo problema consiste nell’utilizzare una chiave di sicurezza fisica come la YubiKey. Le chiavi di sicurezza hardware sono ampiamente utilizzate da privati e organizzazioni che desiderano una protezione più solida contro il phishing e la presa di controllo degli account.
Tuttavia, se hai solo sentito nominare la YubiKey in passato, potresti non capire subito cosa fa, in cosa differisce da un’app di autenticazione o quale modello dovresti scegliere.
In questa guida spiegheremo come funziona la YubiKey, i diversi tipi disponibili, come configurarla, i suoi vantaggi e svantaggi e cosa dovresti preparare prima di affidarti a essa per i tuoi account importanti.
Cos’è una YubiKey?
La YubiKey è una chiave di sicurezza hardware prodotta da Yubico, un’azienda di sicurezza con sede a Stoccolma, in Svezia.
A seconda del modello e del dispositivo, puoi autenticarti inserendo la chiave in una porta USB e toccando la sua area di contatto, oppure avvicinandola a uno smartphone compatibile con la tecnologia NFC.
Tra le caratteristiche principali della YubiKey troviamo:
- Non richiede batterie
- Non richiede una connessione di rete
- Molti utilizzi comuni non richiedono driver dedicati
- Una singola chiave può essere utilizzata con più servizi e dispositivi
- Sono disponibili modelli per USB-A, USB-C, Lightning e NFC
- Funziona su diverse piattaforme tra cui Windows, macOS, Linux, iOS e Android
Una YubiKey è essenzialmente qualcosa che possiedi fisicamente e che può essere utilizzato come parte del processo di autenticazione.
Perché usare una chiave di sicurezza hardware?
Le password da sole non bastano
Le password possono essere indovinate, trafugate tramite phishing, esposte in violazioni di dati o riutilizzate su più servizi.
Se si usa la stessa password su diversi siti web, una violazione su un servizio può potenzialmente mettere a rischio anche altri account.
Questo è uno dei motivi per cui l’autenticazione a due fattori, o 2FA, è diventata sempre più comune.
La tradizionale autenticazione a due fattori ha ancora dei punti deboli
L’autenticazione a due fattori aggiunge un ulteriore passaggio di verifica oltre alla password. Tuttavia, non tutti i metodi di autenticazione offrono lo stesso livello di protezione.
| Metodo di autenticazione | Vantaggio | Potenziale debolezza |
|---|---|---|
| Codice via SMS o email | Facile da configurare | Può essere vulnerabile a SIM swapping, intercettazioni o phishing |
| App di autenticazione (TOTP) | Più sicura degli SMS | I codici possono comunque essere inseriti in un sito di phishing |
| Notifica push | Comoda | Può essere vulnerabile a richieste di approvazione ripetute o attacchi di stanchezza MFA |
| Chiave di sicurezza hardware come YubiKey | Utilizza un dispositivo fisico | Richiede di pianificare lo smarrimento o la sostituzione |
Con i codici SMS e le password monouso, un utente malintenzionato può creare una pagina di login falsa che sembra quasi identica al sito web reale.
Se la vittima inserisce sia la password sia il codice di verifica su quella pagina, l’attaccante potrebbe inoltrare tali credenziali al servizio legittimo ed effettuare l’accesso.
La YubiKey è progettata per resistere al phishing
Uno dei maggiori vantaggi della YubiKey è il supporto a standard come FIDO2 e WebAuthn.
Con l’autenticazione basata su WebAuthn, le credenziali sono vincolate al sito web o al servizio legittimo. Un dominio falso non può semplicemente richiedere la stessa autenticazione e riutilizzarla altrove.
Di conseguenza, anche se visiti accidentalmente una pagina di phishing convincente, la chiave di sicurezza è progettata per non autenticarla come il servizio legittimo.
Ciò rende le chiavi di sicurezza hardware particolarmente utili per proteggere gli account di grande valore.
Come funziona la YubiKey?
Crittografia a chiave pubblica
Per l’autenticazione basata su FIDO, la YubiKey utilizza la crittografia a chiave pubblica.
Quando registri una chiave di sicurezza presso un servizio:
- La chiave crea una coppia di chiavi crittografiche.
- La chiave pubblica viene registrata presso il servizio.
- La corrispondente chiave privata rimane sulla chiave di sicurezza.
Quando in seguito effettui l’accesso:
- Il servizio invia una sfida crittografica.
- La YubiKey firma tale sfida utilizzando la chiave privata.
- Il servizio verifica la firma utilizzando la chiave pubblica precedentemente registrata.
La chiave privata non ha bisogno di essere inviata attraverso internet.
Inoltre, servizi diversi possono utilizzare credenziali separate, riducendo il rischio che un servizio compromesso ne infici un altro.
La YubiKey supporta molteplici protocolli di autenticazione
Un motivo per cui la serie YubiKey 5 è così popolare è che supporta sia tecnologie di autenticazione moderne che legacy.
A seconda del modello, i protocolli supportati possono includere:
- FIDO2 / WebAuthn: Autenticazione moderna utilizzata per l’accesso senza password e passkey
- FIDO U2F: Un precedente standard FIDO progettato principalmente per l’autenticazione a due fattori
- OTP: Password monouso che possono essere inserite come input da tastiera
- Smart card PIV: Autenticazione basata su certificati spesso utilizzata in ambienti aziendali
- OpenPGP: Utilizzato per la firma crittografica e la cifratura
- OATH TOTP/HOTP: Consente di memorizzare le credenziali per i codici di autenticazione sulla chiave e di utilizzarle con Yubico Authenticator
Questo rende alcuni modelli di YubiKey utili non solo per i moderni account web, ma anche per sistemi aziendali e ambienti di autenticazione meno recenti.
Cosa succede se qualcuno ruba la tua YubiKey?
Una preoccupazione comune è se qualcuno possa semplicemente raccogliere una YubiKey smarrita e accedere immediatamente ai tuoi account.
Nella maggior parte delle configurazioni, la chiave da sola non basta.
Ad esempio:
- Nella tradizionale autenticazione a due fattori, l’attaccante avrebbe comunque bisogno del tuo nome utente e della tua password.
- L’autenticazione senza password potrebbe richiedere il PIN della YubiKey.
- I modelli YubiKey Bio possono utilizzare la verifica tramite impronta digitale.
- Tentativi ripetuti di inserimento di un PIN errato possono bloccare la relativa funzione di autenticazione.
- La chiave fisica in sé non indica a quali account online appartenga.
Tuttavia, l’esatto livello di sicurezza dipende da come è stata configurata la chiave.
Alcune funzioni della YubiKey possono operare senza un PIN. La funzionalità di password statica, ad esempio, richiede particolare attenzione.
Per gli account importanti, utilizza un’adeguata protezione tramite PIN e mantieni un altro metodo di recupero sicuro.
Modelli e linee di prodotti YubiKey
Yubico offre diverse famiglie di YubiKey. Le differenze principali riguardano i protocolli supportati, il tipo di connettore, il supporto NFC e l’autenticazione biometrica.
Serie YubiKey 5
La serie YubiKey 5 è la gamma multi-protocollo per uso generale.
Supporta tecnologie come FIDO2, U2F, OTP, PIV e OpenPGP.
| Modello | Connettore | NFC | Utilizzo principale |
|---|---|---|---|
| YubiKey 5 NFC | USB-A | Sì | Modello per uso generale per computer con USB-A e telefoni abilitati NFC |
| YubiKey 5C NFC | USB-C | Sì | Opzione versatile per computer e smartphone moderni |
| YubiKey 5Ci | USB-C / Lightning | No | Progettata per dispositivi che utilizzano USB-C o Lightning |
| YubiKey 5C | USB-C | No | Modello USB-C base |
| YubiKey 5 Nano | USB-A | No | Modello compatto progettato per rimanere collegato |
| YubiKey 5C Nano | USB-C | No | Modello USB-C compatto progettato per rimanere collegato |
La disponibilità dei prodotti e le specifiche possono variare, quindi verifica le informazioni aggiornate sui prodotti Yubico prima dell’acquisto.
Serie YubiKey Bio
La serie YubiKey Bio aggiunge l’autenticazione tramite impronta digitale.
I dati dell’impronta digitale vengono memorizzati all’interno della chiave di sicurezza anziché essere inviati a un computer o a un servizio cloud.
La serie Bio supporta FIDO2/WebAuthn e FIDO U2F ed è progettata principalmente per l’autenticazione moderna e il login senza password.
Sono disponibili versioni USB-A e USB-C.
Serie Security Key
La serie Security Key si concentra su FIDO2 e U2F.
Non offre tutte le funzionalità aggiuntive presenti nella serie YubiKey 5, come OTP, PIV e OpenPGP.
Tuttavia, se il tuo obiettivo principale è proteggere account online popolari con l’autenticazione a due fattori basata su FIDO o con le passkey, la serie Security Key potrebbe essere sufficiente.
Sono disponibili modelli USB-A/NFC e USB-C/NFC.
Serie YubiKey 5 FIPS
La serie YubiKey 5 FIPS è progettata per organizzazioni con specifici requisiti di conformità e sicurezza governativa.
Questi modelli sono generalmente destinati ad agenzie governative, settori regolamentati e ambienti aziendali piuttosto che all’uso personale generale.
Quale YubiKey dovresti scegliere?
Un modo semplice per scegliere è partire dai tuoi dispositivi e poi considerare quali protocolli di autenticazione ti servono realmente.
| Caso d’uso | Opzione consigliata |
|---|---|
| Uso generale su computer e smartphone | YubiKey 5C NFC o YubiKey 5 NFC |
| Solo autenticazione basata su FIDO | Serie Security Key |
| Autenticazione con impronta digitale | Serie YubiKey Bio |
| Tenere la chiave collegata in modo permanente a un laptop o desktop | YubiKey 5C Nano o YubiKey 5 Nano |
| Necessità di connettività Lightning diretta | YubiKey 5Ci |
| Necessità di compatibilità con PIV, OpenPGP, OTP o sistemi aziendali più ampi | Serie YubiKey 5 |
Per prima cosa verifica se i tuoi dispositivi utilizzano principalmente USB-A o USB-C.
Quindi decidi se ti serve l’NFC per l’autenticazione tramite smartphone.
Per molti utenti con hardware moderno, la YubiKey 5C NFC è una delle opzioni più flessibili perché combina la connettività USB-C con l’NFC.
Cosa puoi fare con una YubiKey?
Autenticazione a due fattori
Uno degli usi più comuni è l’aggiunta della YubiKey come secondo fattore di autenticazione.
Invece di inserire un codice SMS o proveniente da un’app di autenticazione, inserisci o avvicini la chiave e confermi la richiesta di autenticazione.
Autenticazione senza password
I servizi che supportano FIDO2 possono consentire l’autenticazione senza inserire una password tradizionale.
A seconda della configurazione, potresti autenticarti con:
- Un PIN e un tocco fisico
- Un’impronta digitale su una YubiKey Bio
- Una credenziale FIDO memorizzata sulla chiave di sicurezza
Eliminare le password tradizionali può ridurre i rischi associati al riutilizzo e alla fuga di password.
Autenticazione per computer e aziende
La YubiKey può essere utilizzata anche in ambienti di autenticazione aziendali, inclusi l’accesso ai computer, l’autenticazione basata su certificati e i sistemi di Single Sign-On.
La funzionalità esatta dipende dal sistema operativo, dal protocollo di autenticazione e dalla configurazione dell’organizzazione.
Crittografia e firme digitali
I modelli che supportano OpenPGP possono archiviare chiavi crittografiche utilizzate per la cifratura e le firme digitali.
La YubiKey può anche essere utilizzata in alcune configurazioni di autenticazione SSH.
Servizi popolari che supportano la YubiKey
La YubiKey può essere utilizzata con molti dei principali servizi, tra cui:
- Google e Google Workspace
- Microsoft
- GitHub
- Dropbox
- Salesforce
- X
La compatibilità varia a seconda del servizio e del metodo di autenticazione.
Yubico gestisce un catalogo Works with YubiKey che può essere utilizzato per verificare la compatibilità attuale.
Vantaggi della YubiKey
Forte resistenza al phishing
L’autenticazione FIDO2/WebAuthn è progettata per impedire che le credenziali vengano utilizzate su un dominio non autorizzato.
Ciò offre una protezione molto più forte contro il phishing delle credenziali rispetto ai codici di autenticazione inseriti manualmente.
Autenticazione rapida
Non è necessario aprire un’app, attendere un messaggio di testo o digitare manualmente un codice a sei cifre.
In molti casi, l’autenticazione richiede solo di inserire o avvicinare la chiave e toccarla.
Nessuna batteria o ricarica
La YubiKey non richiede ricarica, il che la rende comoda come dispositivo di autenticazione a lungo termine.
Robusto design fisico
Le YubiKey sono progettate per l’uso quotidiano e possono essere trasportate su un portachiavi.
Le chiavi private rimangono sul dispositivo
Per l’autenticazione a chiave pubblica, le chiavi private rimangono sulla chiave di sicurezza anziché essere trasmesse al servizio.
Funziona su più dispositivi
La stessa chiave fisica può essere utilizzata su più computer, telefoni e servizi compatibili.
Questo può essere particolarmente utile se passi regolarmente da un dispositivo all’altro.
Svantaggi e aspetti da considerare
La YubiKey non è la soluzione migliore per ogni situazione.
Prima di adottarne una, considera le seguenti limitazioni.
Costo iniziale
A differenza di molte app di autenticazione, le chiavi di sicurezza hardware devono essere acquistate.
Idealmente, dovresti anche avere una seconda chiave disponibile come riserva.
Smarrimento fisico
Poiché la YubiKey è un dispositivo fisico, può essere smarrita.
Se una chiave è il tuo unico metodo di autenticazione, perderla può rendere difficile il recupero dell’account.
Si consiglia vivamente una chiave di riserva e dei codici di recupero.
Non tutti i servizi supportano le chiavi di sicurezza
Il supporto a FIDO2 e WebAuthn è cresciuto in modo significativo, ma la compatibilità varia ancora a seconda del sito web, dell’applicazione e dell’organizzazione.
Alcuni account potrebbero ancora richiedere altri metodi di autenticazione.
Ciascun servizio deve essere registrato
Una nuova YubiKey deve generalmente essere aggiunta singolarmente a ogni servizio che desideri proteggere.
La tua chiave principale e quella di riserva non si sincronizzano automaticamente.
Devi portarla con te
A seconda della tua configurazione, potresti dover tenere la chiave su un portachiavi o lasciare un modello Nano collegato a un computer.
Inserimento accidentale di OTP sui modelli Nano
Se un modello Nano rimane collegato a un computer, toccare accidentalmente il contatto potrebbe attivare l’invio di un OTP, digitando una lunga stringa nell’applicazione attiva.
Questo comportamento può essere modificato nella configurazione OTP della chiave.
Prima di iniziare: prepara una chiave di riserva e un metodo di recupero
Una delle parti più importanti dell’utilizzo di una chiave di sicurezza hardware è la pianificazione in caso di smarrimento o guasto.
Registra una chiave di sicurezza di riserva
Yubico consiglia di avere una chiave di riserva, proprio come tenere un mazzo di chiavi di casa o dell’auto di scorta.
Registra la seconda chiave con ogni servizio importante.
Le YubiKey principale e di riserva non condividono automaticamente le registrazioni, quindi normalmente ciascuna chiave deve essere registrata separatamente.
Conserva la chiave di riserva in un luogo sicuro
Non portare con te la chiave principale e quella di riserva insieme.
Conserva quella di scorta in un altro luogo sicuro.
Salva i codici di recupero
Molti servizi generano codici di recupero di emergenza quando viene abilitata l’autenticazione a due fattori.
Conservali in un luogo sicuro, preferibilmente separato dai tuoi dispositivi principali.
Considera un ulteriore metodo di autenticazione
Ove opportuno, puoi anche mantenere un’altra opzione di recupero, come un’app di autenticazione.
La YubiKey di riserva non deve necessariamente essere lo stesso identico modello della tua chiave principale. Deve solo supportare il protocollo di autenticazione richiesto dai servizi che utilizzi.
Come configurare una YubiKey
I passaggi esatti variano a seconda del servizio, ma il processo generale è simile.
1. Collega la chiave
Inserisci la YubiKey nella porta USB del tuo computer.
Per gli smartphone e i modelli di YubiKey supportati, puoi anche utilizzare l’NFC.
2. Configura un PIN quando richiesto
FIDO2 può utilizzare un PIN per l’autenticazione senza password e altri scenari di verifica dell’utente.
La YubiKey supporta PIN separati per diverse funzioni, come:
- FIDO2
- PIV
- OpenPGP
Queste credenziali sono gestite in modo indipendente.
Il software di gestione di Yubico può essere utilizzato per configurare le funzioni supportate.
Se utilizzi PIV o OpenPGP, assicurati di modificare le credenziali predefinite prima di affidarti ad esse per applicazioni sensibili.
3. Registra la chiave di sicurezza presso un servizio
Ad esempio, con un account Google, il processo generale è:
- Apri le impostazioni di sicurezza del tuo account Google.
- Apri le impostazioni della verifica in due passaggi o della passkey/chiave di sicurezza.
- Scegli l’opzione per aggiungere una chiave di sicurezza o una passkey.
- Inserisci o avvicina la tua YubiKey quando richiesto.
- Tocca la chiave se richiesto.
- Assegna alla chiave un nome riconoscibile.
L’interfaccia esatta potrebbe cambiare nel tempo.
4. Registra la tua chiave di riserva
Ripeti il processo di registrazione con la tua YubiKey di scorta.
Questo è anche il momento ideale per salvare eventuali codici di recupero offerti dal servizio.
Come prevenire l’inserimento accidentale di OTP sui modelli Nano
Se un modello Nano rimane collegato al tuo computer e digita frequentemente una lunga stringa OTP a causa di tocchi accidentali, puoi regolare gli slot OTP.
Utilizzando il software di gestione della YubiKey:
- Apri la configurazione OTP.
- Individua lo Slot 1 e lo Slot 2.
- Configura il comportamento OTP desiderato per i tocchi brevi e lunghi.
Ad esempio, spostare l’output OTP sullo slot del tocco lungo può ridurre l’attivazione accidentale.
Se utilizzi già entrambi gli slot per altri scopi, rivedi la tua configurazione prima di apportare modifiche.
Cosa fare se perdi la tua YubiKey?
Se perdi la tua chiave, agisci il prima possibile.
- Accedi utilizzando la tua chiave di riserva, il codice di recupero o un altro metodo di autenticazione registrato.
- Apri le impostazioni di sicurezza per ogni account importante.
- Rimuovi la chiave di sicurezza smarrita.
- Registra una chiave sostitutiva.
Se non disponi di una chiave di scorta, di un codice di recupero o di un metodo di autenticazione alternativo, potresti dover utilizzare la procedura di recupero dell’account del servizio.
Il recupero può richiedere tempo e il successo non è sempre garantito.
Una YubiKey normalmente non contiene un elenco visibile dei tuoi nomi utente e password, quindi il semplice ritrovamento della chiave non rivela automaticamente a nessuno quali account essa protegga.
Tuttavia, una chiave smarrita dovrebbe comunque essere rimossa dai tuoi account non appena possibile.
Domande frequenti
Chiunque può usare la mia YubiKey se la trova?
Possedere la chiave da sola di solito non basta per accedere ai tuoi account.
La tradizionale autenticazione a due fattori richiede comunque la password dell’account, mentre alcune configurazioni FIDO2 richiedono un PIN o un’altra verifica dell’utente.
Tuttavia, la protezione esatta dipende da come sono stati configurati la chiave e l’account.
Con quanti account si può utilizzare una singola YubiKey?
Per la tradizionale autenticazione a due fattori in stile FIDO/U2F, una singola YubiKey può essere registrata con moltissimi servizi.
Le credenziali individuabili, a volte chiamate credenziali residenti o passkey memorizzate direttamente sul dispositivo, hanno una capacità di archiviazione limitata.
La capacità esatta dipende dal modello di YubiKey e dal firmware.
Il contatto metallico è un lettore di impronte digitali?
Non sui modelli standard YubiKey 5 o Security Key.
Il contatto sensibile al tocco rileva l’interazione fisica, ma non scansiona la tua impronta digitale.
Se desideri l’autenticazione biometrica, scegli un modello YubiKey Bio.
Ho ancora bisogno di una YubiKey se uso già le passkey sul telefono?
Per molte persone, una passkey basata su smartphone può offrire sufficiente sicurezza e comodità.
Una chiave di sicurezza fisica può comunque essere utile quando vuoi:
- Evitare di dipendere interamente da Apple, Google o un altro ecosistema di sincronizzazione cloud
- Autenticarti in ambienti in cui gli smartphone sono limitati
- Aggiungere una protezione più forte ad account particolarmente importanti
- Utilizzare lo stesso dispositivo di autenticazione su più computer e piattaforme
- Mantenere le credenziali di autenticazione su un dispositivo fisico dedicato
La YubiKey e le passkey basate su smartphone non sono necessariamente in competizione tra loro. Possono anche essere utilizzate insieme come parte di una più ampia strategia di recupero e autenticazione.
Cosa devo controllare se la mia YubiKey non funziona?
Verifica quanto segue:
- Assicurati che il dispositivo sia collegato correttamente
- Conferma che il sistema operativo riconosca il dispositivo USB
- Verifica che l’interfaccia richiesta, come FIDO, OTP o CCID, sia abilitata
- Assicurati che il servizio che stai utilizzando supporti il metodo di autenticazione scelto
- Se usi l’NFC, conferma che sia il telefono che la YubiKey lo supportino
- Quando tocchi la chiave, assicurati che il dito tocchi correttamente l’area sensibile al tocco
Dove posso acquistare una YubiKey?
Le YubiKey sono disponibili tramite Yubico e rivenditori autorizzati in molte regioni.
Disponibilità, prezzi, selezione dei prodotti, tasse e spedizione variano a seconda del paese, quindi controlla il sito web ufficiale di Yubico o un rivenditore locale autorizzato per le opzioni di acquisto attuali.
L’utilizzo della YubiKey in aziende e organizzazioni
La YubiKey è comunemente utilizzata anche in ambienti aziendali.
I potenziali casi d’uso includono:
- Dipendenti che non possono utilizzare smartphone aziendali
- Fornitori esterni e collaboratori
- Centri dati, fabbriche e altri luoghi in cui i telefoni potrebbero essere limitati
- Postazioni di lavoro condivise
- Account amministrativi privilegiati
- Sistemi di identità aziendali e Single Sign-On
Le distribuzioni su larga scala richiedono una pianificazione aggiuntiva.
Le organizzazioni devono considerare aspetti quali:
- Configurazione iniziale del PIN
- Distribuzione delle chiavi
- Procedure di sostituzione
- Formazione dei dipendenti
- Politiche di recupero
- Costo hardware iniziale
Yubico offre anche opzioni di distribuzione e abbonamento orientate alle aziende che gestiscono chiavi di sicurezza su larga scala.
Conclusione
Ecco i punti principali da ricordare:
- La YubiKey è una chiave di sicurezza fisica progettata per offrire una forte autenticazione e resistenza al phishing.
- L’autenticazione basata su FIDO utilizza la crittografia a chiave pubblica e le chiavi private rimangono sulla chiave di sicurezza.
- La serie YubiKey 5 supporta molteplici tecnologie tra cui FIDO2, U2F, OTP, PIV e OpenPGP.
- Per l’uso generale, la YubiKey 5C NFC è una scelta versatile per i dispositivi USB-C, mentre la YubiKey 5 NFC è adatta per gli ambienti USB-A.
- La serie Security Key è indicata se hai principalmente bisogno di un’autenticazione basata su FIDO.
- La serie YubiKey Bio aggiunge la verifica tramite impronta digitale.
- Si consigliano vivamente una chiave di riserva e un metodo di recupero.
Non è necessario proteggere ogni account con una YubiKey fin dal primo giorno.
Un approccio pratico consiste nell’iniziare con gli account che causerebbero i danni maggiori in caso di compromissione, come il tuo account di posta elettronica principale, lo spazio di archiviazione cloud, il password manager, gli account per sviluppatori, i sistemi finanziari o aziendali e altri servizi che controllano l’accesso a dati importanti.
