Clavs da segirezza

FIDO stat per Fast IDentity Online. Quai èn plirs standards averts, senza licenza sco er protocols da la FIDO Alliance per l'autentificaziun segira e favuraivla per ils utilisaders en l'internet. I dat differentas implementaziuns da FIDO, tranter quellas FIDO U2F (Universal second Factor) e FIDO2, las qualas èn fitg derasadas en plattafurmas e webbrowsers moderns. Cun agid dals protocols è pussaivla in'autentificaziun senza pleds e resistenta a dus facturs sin basa da la criptografia public-Key.

Sche Vus vulais u stuais lavurar cun AGOV senza smartphone, èn clavs da segirezza l'alternativa a l'app AGOV access. Quai vala er per persunas che han smartphones che na sustegnan betg l'app AGOV access (sistem operativ fauss, apparat antiquà, hardware senza elements da segirezza, midà en moda inadmissibla tras rooting u jailbreak).

AGOV utilisescha clavs da segirezza sco autentificaziun da dus facturs fitg segira. La clav fisica è en quest connex l'emprim factur, entant ch'il PIN u la verificaziun biometrica preschenta il segund factur per l'utilisaziun da clav. Supplementarmain recumandain nus a tut las utilisadras ed a tut ils utilisaders da l'app AGOV access da colliar ina clav da segirezza cun lur conto dad AGOV. Quai pudais Vus far sin la pagina . Cun far quai segirais Vus l'access ad AGOV en cas che Vus perdais il recovery code, en cas che Voss smartphone è defect u va a perder u sch'ina midada da smartphone n'è betg vegnida fatga correctamain (il transferiment simpel da l'app na basta betg per quai, consultai per plaschair Tips per utilisadras ed utilisaders). Er sche Vus possedais il recovery code, èn utils facturs da login supplementars sco clavs da segirezza, perquai che cun duvrar mo il recovery code è necessaria ina nova examinaziun da l'identitad en AGOV.

AGOV pretenda autas normas da segirtad per l’autenticaziun – specialmein per l’access a servetschs electronics d’autoritads cun basegn da protecziun ault. Per annunziaziuns cun il nivel da fidonza «aut» (Level of Assurance 3, LOA3) valan prescripziuns obligatoricas tenor la directiva ICT Si001 - Protezione di base delle TIC nell’Amministrazione federale.

• Tgei significhescha FIDO2 Nivel 2 (L2) e pertgei ei quei in indispensabel?
  FIDO2 Nivel 2 (L2) ei in nivel da segirtad certificaus che pretenda mesiras supplementaras per la protecziun da datas d’autenticaziun sensiblas. Cun differenza al nivel 1 ston clavs da segirtad cunformas al nivel 2 contener in element da segirtad dedicau (Secure Element). Quel protegia il material criptografic cunter attaccas fisicas e software - schizun sche l’apparat ei vegnì compromiss. Mo cun questa protecziun verifitgabla e robusta ademplescha in autenticatur ils cundiziuns per l’utilisaziun en il context da l’administraziun federala sin nivel da fidonza «aut» (LOA3).
  
• Pertgei ei ina clav FIDO2 da nivel 1 buca avunda?
  Il nivel 1 da FIDO2 permetta era autencicaturs pur software ni apparats senza protecziun da hardware specifica. Quels porschan in tschert grad da protecziun da basa, mo buca ina protecziun verifitgada cunter attaccas el medem context da sistem (p.ex. sin in sistem operativ compromiss). Tenor las directivas ICT pretenda AGOV ina protecziun da hardware certificada, sco quella che FIDO2 nivel 2 ni pli ault porscha.
  
• Tgei vala per clavs da segirtad open source senza certificaziun?
  Clavs da segirtad sco la Nitrokey 3A mini pon tecnicamein satisfar standards da segirtad aults. Denton senza ina certificaziun formala manca la cumpetenza obligatorica. Per AGOV ei la certificaziun FIDO in indispensabel, perquei che ella documentescha la cumpetenza als standards da segirtad en moda transparenta ed unifitgada. Bucca certificau vul buca dir bucca segir – mo bucca certificau vul dir: bucca examinau tenor ils criteris obligatorics da AGOV.
  

Zusammenfassung

Criteri	FIDO2 Nivel 1	FIDO2 Nivel 2 (pretensiun da AGOV)
Protecziun da datas d’autenticaziun	Opcionala / basada sin software	Basada sin hardware (Secure Element)
Certificaziun tenor FIDO2	gea, nivel da basa	gea, cun profil da protecziun augmentau
Permissiun per l’utilisaziun en AGOV	na	gea

Passkeys èn ina metoda moderna e segira per s’annunziar senza pled-clav, nua che ina clav criptografica vegn memorisada sin il dispositiv da l’utilisader.

Per motivs da segirezza e regulaziuns, AGOV permetta dentant be clav criptograficas che vegnan memorisadas localmain en in chip da segirezza* - per exempel sin ina clav da segirezza FIDO2 u directamain sin il dispositiv.

Passkeys che vegnan sincronisadas tranter plirs apparats sur servetschs da cloud sco iCloud u Google vegnan consideradas sco main fidablas, perquai che ellas pon potenzialmain vegnir exportadas. Per garantir en mintga mument l’origin e l’integritad da las clavs, AGOV accepta be clavs colliadas cun il hardware, che na pon ni vegnir transferidas, ni exportadas, ni sincronisadas. L’app AGOV access e l’app swiyu per l’e-ID svizra adempleschan gia cumplettamain quests resquists.

Clavs da segirezza (FIDO2) sto l'utilisadra u l'utilisader final cumprar sezza u sez en ina butia d'electronica. Tut tenor producent e tut tenor gener (tip da colliaziun, PIN, biometric) custan questas clavs da segirezza tranter 20 e 120 francs.

Apple sustegna ils standards FIDO2/WebAuthn mo là nua che quai correspunda a lur ecosistem.

En la pratica, quai maina ad incompatibilitads u restricziuns, spezialmain cun apparats u navigaturs d’auters furniturs. Formalmain sa tegna Apple als standards - però betg cun la medema avertadad u profunditad sco Microsoft u Linux.

Recommondaziuns per il diever quotidian, inclus AGOV:
Per l'annunzcha cun üna clav da sgürezza FIDO2 sün MacOS computer pro agov.ch racumandain nus Google Chrome (o Microsoft Edge) sül Mac. Quists browers sustegnan la tecnologia da FIDO2/WebAuthn a moda la plü fidada – impustüt in cumbinaziun cun las clavs da sgürezza USB o Touch ID. Firefox nu vain racumandà, pervi cha quai po dar restricziuns o cumportaments sbagliats in cas da l'utilisaziun da FIDO2 sün MacOS. Eir Safari spordscha be ün sustegn limità.

Duvrai perquai da preferenza in chrom per la registraziun e per la login cun FIDO2 sin agov.ch.

Tut las clavs da segirezza FIDO2 che vegnan inditgadas cun ils suandants criteris da filter èn cumpatiblas cun AGOV:

• Protocol = fido2
  
• Certification = FIDO_CERTIFIED_L2
  
• Key Protection = hardware
  

La suandanta glista è disponibla mo en lingua englaisa ed ils criteris da filter menziunads qua survart ston Vus sezs far.

➪ FIDO MDS Explorer (opotonniee.github.io)

Exclusiun da responsabladad:
Las clavs da segirezza FIDO2 menziunadas duessan esser cumpatiblas cun AGOV, ma ellas n'èn betg vegnidas testadas. La funcziun irreproschabla da clavs da segirezza ch' èn cumpatiblas cun il FIDO2 na po betg vegnir garantida.