---

Συνοπτικά:

• Το FIDO2 είναι το πλαίσιο ταυτοποίησης που συνδυάζει το WebAuthn API και το πρωτόκολλο CTAP2, δημιουργώντας μια ασφαλή και ανθεκτική στη phishing τεχνολογία διαφορετικών επιπέδων. Οι πρωτοκολλητές του εξελίσσονται με εκδόσεις και υποκατηγορίες, ενισχύοντας την ασφάλεια και την διαχείριση των συσκευών αυθεντικοποίησης. Η σωστή εφαρμογή των πρωτοκόλλων απαιτεί αυστηρό origin binding και έλεγχο attestation, για να διασφαλίζεται η ασφάλεια του συστήματος.

---

Το FIDO2 ορίζεται ως το πλαίσιο ταυτοποίησης που συνδυάζει δύο κύρια στοιχεία: το WebAuthn API και το πρωτόκολλο CTAP2. Οι τύποι πρωτοκόλλων ταυτοποίησης FIDO2 WebAuthn δεν είναι απλώς τεχνικές λεπτομέρειες. Καθορίζουν αν ένα σύστημα αντέχει σε επιθέσεις phishing ή όχι. Η FIDO Alliance και η W3C τυποποίησαν αυτή την αρχιτεκτονική ώστε να αντικαταστήσει οριστικά τους κωδικούς πρόσβασης σε browser-based και εταιρικά περιβάλλοντα. Η κατανόηση κάθε επιπέδου του οικοσυστήματος είναι απαραίτητη για κάθε τεχνικό που σχεδιάζει ή αξιολογεί υποδομές ταυτοποίησης.

1. Ποιοι είναι οι βασικοί τύποι πρωτοκόλλων ταυτοποίησης FIDO2;

Το FIDO2 αποτελείται από δύο διακριτά πρωτόκολλα που λειτουργούν σε διαφορετικά επίπεδα της αρχιτεκτονικής. Το WebAuthn API λειτουργεί μεταξύ browser και server, ενώ το CTAP2 λειτουργεί μεταξύ client και συσκευής αυθεντικοποίησης. Η συνεργασία WebAuthn και CTAP2 δημιουργεί την πλήρη αλυσίδα ελέγχου ταυτοποίησης.

Τα δύο πρωτόκολλα έχουν διαφορετικό ρόλο:

• WebAuthn API: Καθορίζει πώς ο browser επικοινωνεί με τον server για δημιουργία και επαλήθευση πιστοποιητικών. Τυποποιείται από τη W3C και υλοποιείται σε όλους τους σύγχρονους browsers.
• CTAP2 (Client to Authenticator Protocol 2): Ορίζει πώς ο client (browser ή εφαρμογή) επικοινωνεί με την εξωτερική συσκευή αυθεντικοποίησης, όπως ένα hardware security key.
• Ανθεκτικότητα στο phishing: Επιτυγχάνεται μόνο όταν και τα δύο πρωτόκολλα εφαρμόζονται σωστά, με αυστηρό origin binding.

Επαγγελματική συμβουλή: Η σαφής διάκριση WebAuthn ως API και FIDO2 ως πλαίσιο αποτρέπει αρχιτεκτονικά λάθη στη φάση σχεδιασμού. Πολλές υλοποιήσεις αποτυγχάνουν επειδή αντιμετωπίζουν τους δύο όρους ως συνώνυμα.

2. Ποιες είναι οι εκδόσεις και υποκατηγορίες των πρωτοκόλλων;

Το οικοσύστημα FIDO2 εξελίσσεται με συγκεκριμένες εκδόσεις που προσθέτουν δυνατότητες. Τα τεχνικά πρότυπα της FIDO Alliance (φεβρουάριος 2026) ορίζουν το WebAuthn Level 3 και CTAP 2.2 ως τις τρέχουσες εκδόσεις αναφοράς. Κάθε έκδοση εισάγει νέες δυνατότητες που επηρεάζουν άμεσα τις επιλογές υλοποίησης.

Κατηγορίες συσκευών αυθεντικοποίησης στο CTAP2

1. Platform authenticators: Είναι ενσωματωμένοι στη συσκευή του χρήστη, όπως το Windows Hello, το Touch ID της Apple ή το Face Unlock σε Android. Δεν απαιτούν εξωτερικό υλικό.
2. Roaming authenticators: Είναι ανεξάρτητες φυσικές συσκευές, όπως τα hardware security keys. Συνδέονται μέσω USB, NFC ή Bluetooth και λειτουργούν σε πολλαπλές συσκευές.
3. Hybrid authenticators: Συνδυάζουν στοιχεία και των δύο κατηγοριών, επιτρέποντας cross-device authentication μέσω QR code και Bluetooth.

Χαρακτηριστικά πρωτοκόλλου που καθορίζουν την ασφάλεια

 

Οι τρόποι μεταφοράς μηνυμάτων CTAP2 περιλαμβάνουν USB, NFC και Bluetooth. Τα μηνύματα κωδικοποιούνται σε CBOR και προσαρμόζονται ανά τεχνολογία μεταφοράς. Αυτό σημαίνει ότι ένα hardware security key μπορεί να λειτουργεί με USB σε σταθερό υπολογιστή και με NFC σε κινητό, χωρίς αλλαγή στη λογική αυθεντικοποίησης.

Επαγγελματική συμβουλή: Κατά την επιλογή συσκευής αυθεντικοποίησης για εταιρικό περιβάλλον, ελέγξτε αν υποστηρίζει CTAP 2.2 και όχι μόνο CTAP 2.0. Η έκδοση 2.2 προσθέτει enterprise attestation και βελτιωμένη διαχείριση PIN.

3. Πώς διαφέρουν passkeys, security keys και άλλοι τύποι πιστοποιητικών;

Τα passkeys είναι syncable πιστοποιητικά που επιτρέπουν αυθεντικοποίηση σε πολλαπλές συσκευές μέσω cloud συγχρονισμού. Τα device-bound security keys αποθηκεύουν το ιδιωτικό κλειδί αποκλειστικά στη φυσική συσκευή. Η διαφορά αυτή έχει άμεσες επιπτώσεις στην ασφάλεια και τη διαχειρισιμότητα.

Ανάλυση κάθε τύπου:

• Passkeys (συγχρονιζόμενα πιστοποιητικά): Αποθηκεύονται σε cloud υπηρεσίες όπως το iCloud Keychain ή το Google Password Manager. Προσφέρουν ευκολία χρήσης και ανάκτηση σε περίπτωση απώλειας συσκευής. Κατάλληλα για καταναλωτικές εφαρμογές και υπηρεσίες με μεγάλη βάση χρηστών.
• Device-bound security keys: Το ιδιωτικό κλειδί δεν εξέρχεται ποτέ από τη συσκευή. Η απώλεια της συσκευής σημαίνει απώλεια πρόσβασης χωρίς εναλλακτική μέθοδο ανάκτησης. Ιδανικά για εταιρικά περιβάλλοντα υψηλής ασφάλειας.
• Platform-bound passkeys: Δεμένα σε συγκεκριμένη συσκευή χωρίς δυνατότητα συγχρονισμού. Συνδυάζουν στοιχεία και των δύο κατηγοριών.
• Enterprise security keys: Υποστηρίζουν enterprise attestation και κεντρική διαχείριση μέσω MDM (Mobile Device Management). Επιτρέπουν στον οργανισμό να επαληθεύει ότι χρησιμοποιείται εγκεκριμένη συσκευή.

Για εταιρικά περιβάλλοντα, τα device-bound security keys παρέχουν υψηλότερο επίπεδο ελέγχου. Η μετάβαση σε passwordless authentication μέσω FIDO2 εξαρτάται από πολιτικές ασφαλούς χρήσης συσκευών, όπως βιομετρικά και κλείδωμα οθόνης. Χωρίς αυτές τις πολιτικές, ακόμα και τα passkeys μπορούν να αποτελέσουν αδύναμο σημείο.

4. Ποια είναι τα κρίσιμα χαρακτηριστικά ασφάλειας για τεχνικούς;

Η ασφάλεια FIDO2 στηρίζεται στο origin binding και στην αυστηρή επικύρωση του RP ID από τον server. Αυτό σημαίνει ότι ένα πιστοποιητικό που δημιουργήθηκε για το example.com δεν μπορεί να χρησιμοποιηθεί σε άλλο domain. Η αρχή αυτή εξαλείφει τις επιθέσεις phishing στο επίπεδο πρωτοκόλλου.

Τα κρίσιμα σημεία υλοποίησης:

• RP ID validation: Ο server πρέπει να επαληθεύει ότι το RP ID στο αίτημα αντιστοιχεί στο αναμενόμενο domain. Παράλειψη αυτού του ελέγχου ακυρώνει την προστασία από phishing.
• Attestation statement validation: Ο server πρέπει να επικυρώνει το attestation statement για να βεβαιωθεί ότι η συσκευή είναι αυθεντική και εγκεκριμένη.
• User verification enforcement: Η απαίτηση βιομετρικού ή PIN διασφαλίζει ότι ο φυσικός κάτοχος της συσκευής είναι παρών κατά την αυθεντικοποίηση.
• Challenge freshness: Κάθε αίτημα αυθεντικοποίησης πρέπει να περιέχει μοναδικό challenge για αποφυγή replay attacks.
• Secure transport: Το WebAuthn απαιτεί HTTPS. Χωρίς TLS, το πρωτόκολλο δεν λειτουργεί σε παραγωγικό περιβάλλον.

Χωρίς σωστό origin binding και RP ID validation, το FIDO2 σύστημα παραμένει ευάλωτο σε επιθέσεις, ακόμα και με ποιοτικό υλικό αυθεντικοποίησης. Η παράβλεψη του origin binding είναι το πιο συχνό λάθος στις υλοποιήσεις WebAuthn.

Η επικύρωση των attestation statements από τον server αποτελεί απαίτηση για εταιρικά περιβάλλοντα υψηλής ασφάλειας. Χωρίς αυτή, ο οργανισμός δεν μπορεί να γνωρίζει αν η συσκευή που χρησιμοποιείται είναι εγκεκριμένη ή όχι. Αυτό είναι ιδιαίτερα σημαντικό σε περιβάλλοντα με αυστηρές απαιτήσεις συμμόρφωσης.

5. Πώς συγκρίνονται οι τύποι πρωτοκόλλων ως προς συμβατότητα και χρήση;

Η επιλογή τύπου πρωτοκόλλου εξαρτάται από τις ανάγκες του οργανισμού και το προφίλ ασφάλειας που απαιτείται. Η WebAuthn πιστοποίηση μέσω platform authenticators προσφέρει τη μεγαλύτερη ευκολία χρήσης, ενώ τα hardware security keys παρέχουν τον υψηλότερο βαθμό ελέγχου.

 

Για εταιρικές εφαρμογές υψηλής ασφάλειας, τα device-bound hardware security keys παραμένουν η προτεινόμενη επιλογή. Για καταναλωτικές υπηρεσίες με μεγάλη βάση χρηστών, τα syncable passkeys προσφέρουν καλύτερη ισορροπία μεταξύ ασφάλειας και εμπειρίας χρήστη. Η ασφαλής αυθεντικοποίηση για επιχειρήσεις απαιτεί σαφείς πολιτικές για το ποιος τύπος συσκευής επιτρέπεται ανά ρόλο.

6. Πώς λειτουργεί το WebAuthn API στην πράξη;

Το WebAuthn API εκθέτει δύο βασικές μεθόδους: navigator.credentials.create() για εγγραφή και navigator.credentials.get() για αυθεντικοποίηση. Κάθε κλήση δημιουργεί ή χρησιμοποιεί ένα ζεύγος δημόσιου-ιδιωτικού κλειδιού. Ο server αποθηκεύει μόνο το δημόσιο κλειδί, οπότε δεν υπάρχει κίνδυνος διαρροής μυστικού.

Κατά την εγγραφή, ο server στέλνει ένα challenge και τα στοιχεία του RP. Η συσκευή αυθεντικοποίησης δημιουργεί το ζεύγος κλειδιών και επιστρέφει το δημόσιο κλειδί μαζί με το attestation statement. Κατά την αυθεντικοποίηση, ο server στέλνει νέο challenge και η συσκευή υπογράφει με το ιδιωτικό κλειδί. Ο server επαληθεύει την υπογραφή με το αποθηκευμένο δημόσιο κλειδί.

Αυτή η αρχιτεκτονική εξαλείφει τον κίνδυνο credential stuffing, καθώς δεν υπάρχει κωδικός πρόσβασης που μπορεί να κλαπεί από βάση δεδομένων. Η passwordless λειτουργία βασίζεται ακριβώς σε αυτή την αρχή: ο χρήστης αποδεικνύει την ταυτότητά του με κρυπτογραφική υπογραφή, όχι με μυστικό που μπορεί να αντιγραφεί.

7. Ποια είναι τα συχνά λάθη στην υλοποίηση FIDO2 WebAuthn;

Η υλοποίηση FIDO2 εμπεριέχει συγκεκριμένες παγίδες που μπορούν να ακυρώσουν την ασφάλεια του συστήματος. Το πιο κρίσιμο λάθος είναι η παράλειψη επαλήθευσης του origin binding στον server. Ένα σύστημα που δεν ελέγχει αυστηρά το RP ID παραμένει ευάλωτο ακόμα και αν χρησιμοποιεί ακριβό hardware.

Άλλα συχνά λάθη περιλαμβάνουν:

• Αποδοχή αδύναμου attestation: Ορισμένες υλοποιήσεις αποδέχονται «none» attestation χωρίς πολιτική, επιτρέποντας οποιαδήποτε συσκευή.
• Μη επιβολή user verification: Αν ο server δεν απαιτεί UV flag, ο χρήστης μπορεί να αυθεντικοποιηθεί χωρίς βιομετρικό ή PIN.
• Επαναχρησιμοποίηση challenge: Η μη ανανέωση του challenge ανοίγει τον δρόμο σε replay attacks.
• Λανθασμένη διαχείριση credential ID: Η μη μοναδική αντιστοίχιση credential ID σε χρήστη μπορεί να οδηγήσει σε σύγχυση λογαριασμών.

Η σωστή διαχείριση attestation και η επιβολή πολιτικών user verification αποτελούν τις δύο πιο κρίσιμες απαιτήσεις για ασφαλή υλοποίηση. Χωρίς αυτές, ακόμα και η καλύτερη συσκευή αυθεντικοποίησης δεν παρέχει την αναμενόμενη προστασία.

Βασικά συμπεράσματα

Η ασφαλής υλοποίηση FIDO2 απαιτεί σωστή εφαρμογή τόσο του WebAuthn API όσο και του CTAP2, με αυστηρό origin binding, επικύρωση attestation και επιβολή user verification σε κάθε αίτημα.

 

Λύσεις Smartmanagement για FIDO2 WebAuthn

Η Smartmanagement, ως εξουσιοδοτημένος διανομέας Yubico στην Ελλάδα, προσφέρει hardware security keys που υλοποιούν πλήρως τα πρωτόκολλα FIDO2 WebAuthn. Τα YubiKey Bio Series συνδυάζουν βιομετρική επαλήθευση με device-bound αρχιτεκτονική, εξαλείφοντας την ανάγκη για κωδικούς πρόσβασης. Για οργανισμούς που χρειάζονται ευρεία συμβατότητα, τα YubiKey 5 Series υποστηρίζουν USB, NFC και CTAP 2.2. Η Smartmanagement αναφέρει μείωση κλήσεων υποστήριξης κατά 92% και είσοδο τέσσερις φορές ταχύτερη μετά την υιοθέτηση YubiKey. Περισσότεροι από 5.000 οργανισμοί παγκοσμίως χρησιμοποιούν αυτή την τεχνολογία για WebAuthn χωρίς αδύναμα passwords.

Συχνές ερωτήσεις

Τι είναι το FIDO2 και πώς σχετίζεται με το WebAuthn;

Το FIDO2 είναι το πλαίσιο ταυτοποίησης που αποτελείται από το WebAuthn API και το πρωτόκολλο CTAP2. Το WebAuthn είναι το τμήμα που τυποποιεί την επικοινωνία browser-server, ενώ το CTAP2 ορίζει την επικοινωνία με τη συσκευή αυθεντικοποίησης.

Ποια η διαφορά μεταξύ passkeys και security keys;

Τα passkeys είναι συγχρονιζόμενα πιστοποιητικά που αποθηκεύονται σε cloud, ενώ τα security keys αποθηκεύουν το ιδιωτικό κλειδί αποκλειστικά στη φυσική συσκευή. Τα security keys προσφέρουν υψηλότερο εταιρικό έλεγχο, ενώ τα passkeys προσφέρουν μεγαλύτερη ευκολία χρήσης.

Γιατί το origin binding είναι κρίσιμο για την ασφάλεια FIDO2;

Το origin binding δεσμεύει κάθε πιστοποιητικό σε συγκεκριμένο domain, οπότε δεν μπορεί να χρησιμοποιηθεί σε ψεύτικο site. Χωρίς αυστηρό έλεγχο RP ID, το σύστημα παραμένει ευάλωτο σε επιθέσεις phishing ακόμα και με hardware security key.

Ποιες τεχνολογίες μεταφοράς υποστηρίζει το CTAP2;

Το CTAP2 υποστηρίζει USB, NFC και Bluetooth ως τεχνολογίες μεταφοράς μηνυμάτων. Τα μηνύματα κωδικοποιούνται σε CBOR και προσαρμόζονται ανά τεχνολογία, επιτρέποντας στην ίδια συσκευή να λειτουργεί σε διαφορετικά περιβάλλοντα.

Τι προσθέτει το CTAP 2.2 σε σχέση με το CTAP 2.0;

Το CTAP 2.2 εισάγει enterprise attestation, βελτιωμένη διαχείριση PIN και υποστήριξη για hybrid transport. Αυτές οι δυνατότητες είναι απαραίτητες για εταιρικά περιβάλλοντα που απαιτούν κεντρική διαχείριση και έλεγχο συσκευών.

Προτεινόμενα

• FIDO2 κλειδί ασφαλείας: τι αλλάζει
• FIDO2 – Smart Management Yubico
• F Κατηγορίες – Yubico | YubiKey, Ελλάδα
• FIDO2 Certified – προγράμματα πιστοποίησης του FIDO