Che cos'è l'autenticazione
Metodi di autenticazione e best practice
Fin dagli albori della civiltà, l'umanità ha cercato modi sicuri e convenienti per autenticare le identità, per consentire l'accesso solo a chi è autorizzato e per essere sempre un passo avanti agli attori delle minacce. I tratti del viso, i token, la crittografia, le firme, le impronte digitali e le password erano solo alcuni dei metodi di autenticazione utilizzati prima dell'era digitale. L'evoluzione di queste tecniche alimenta l'autenticazione di oggi.
Ad esempio, invece di affidarci all'occhio umano per riconoscere i tratti del viso, ci affidiamo agli strumentibiometrici di per autenticare una persona in base all'iride, alla retina, alle impronte digitali, alla voce o ad altre caratteristiche biologiche distinte. Allo stesso modo, al posto dei token fisici, i sistemi di sicurezza rilasciano token digitali agli utenti che hanno dimostrato la propria identità.
Tuttavia, gli attori delle minacce continuano a trovare modi per aggirare l'autenticazione. In un'epoca precedente, i criminali potevano falsificare i sigilli per aggirare la sicurezza. Oggi icriminali informatici di rubano token di sessione per aggirare l'MFA (autenticazione a più fattori), a volte con effetti devastanti. Ad esempio, gli hacker di hanno dirottato i token di sessione per impossessarsi in modo spettacolare di tre canali YouTube di Linus Media Group.
I team di cybersecurity di giganti della tecnologia come Google, Microsoft e Apple cercano costantemente di migliorare i loro sistemi di autenticazione per proteggere gli utenti e le organizzazioni da attacchi di cybersecurity sempre più intelligenti e frequenti.
Tuttavia, molti utenti preferiscono avere più comodità che sicurezza, il che spiegherebbe la lenta adozione dell'MFA da parte degli utenti Microsoft, nonostante 25,6 miliardi di tentativi di dirottamento di account utilizzando password rubate con la forza bruta nel 2021. Questo potrebbe anche spiegare perché Microsoft ha disabilitato l'autenticazione Basic per Exchange Online a favore dell'autenticazione moderna, che prevede opzioni come MFA, smart card, autenticazione basata su certificati (CBA) e fornitori di identità di terze parti Security Assertion Markup Language (SAML).
Leggete la nostra guida approfondita per saperne di più:
- Significato dell'autenticazione.
- Autenticazione a due fattori vs. autenticazione a più fattori.
- Autenticazione e autorizzazione.
- Metodi di autenticazione.
- Autenticazione senza password.
Significato dell'autenticazione
L'autenticazione è un metodo di cybersecurity che aiuta a verificare l'identità di un sistema o di un utente. Il metodo di autenticazione più comune è quello dei nomi utente e delle password. Altri metodi di autenticazione, come la verifica biometrica, sono più sofisticati e approfonditi. Un esempio di autenticazione è rappresentato dal tentativo di accedere alla propria posta elettronica: è necessario inserire il nome utente e la password per accedere alla casella di posta.
Perché l'autenticazione è importante?
L'autenticazione è fondamentale per proteggere la nostra sicurezza e la nostra privacy. Compiamo molti tipi di azioni online, dal lavoro alla comunicazione, dagli acquisti all'archiviazione di dati privati, in genere da remoto. L'autenticazione aiuta a preservare l'integrità di qualsiasi spazio digitale, come banche, piattaforme di cloud computing, pagine di social media e altri, riducendo il rischio di accesso non autorizzato. È grazie all'autenticazione che possiamo fidarci di sistemi e identità fisicamente invisibili.
Alcuni strumenti di autenticazione possono anche rallentare o bloccare un attacco informatico. Ad esempio, un criminale informatico con un nome utente e una password rubati può introdursi in un account per rubare dati, rilasciare malware o avviare un attaccoMan-in-the-Middle (MitM) all'indirizzo . Tuttavia, i loro movimenti laterali possono essere fermati in un sistema con protocolli di autenticazione più profondi.
L'autenticazione è essenziale anche perché aumenta la responsabilità dell'utente. Un utente autenticato può essere meno propenso a intraprendere attività dannose perché sa di essere tracciato. L'autenticazione può aiutare le organizzazioni di alcuni settori a rispettare le leggi sulla sicurezza e sulla privacy, migliorando la sicurezza dei dati.
A cosa serve l'autenticazione?
L'autenticazione può essere utilizzata per vari scopi:
- Sicurezza dei dispositivi: Tutti i tipi di dispositivi con sistemi operativi implementano l'autenticazione per la sicurezza, compresi desktop, laptop, smartphone, tablet e persino una vasta gamma di dispositivi Internet of Things (IoT).
- Sicurezza dell'account: Molteplici piattaforme sfruttano l'autenticazione per migliorare la sicurezza degli account. Ad esempio, gli account di posta elettronica e dei social media utilizzano l'autenticazione per impedire agli utenti non autorizzati di accedere agli account. Le piattaforme finanziarie proteggono l'online banking, i pagamenti digitali e l'e-commerce dalle frodi con l'autenticazione.
- Cloud computing: Poiché sempre più organizzazioni passano a piattaforme di cloud computing come Microsoft Azure, l'autenticazione viene utilizzata per la sicurezza di asset, dati e operazioni. L'autenticazione viene utilizzata anche per la sicurezza delle organizzazioni con asset on-premises, come le reti e i sistemi che adottano il lavoro remoto.
- Controllo degli accessi: L'autenticazione non viene utilizzata solo per la sicurezza esterna, ma anche per quella interna. Le organizzazioni possono utilizzare l'autenticazione per garantire che il personale possa accedere a reti, applicazioni e dati in base alla necessità di sapere.
Autenticazione e autorizzazione
Sebbene l'autenticazione e l'autorizzazione sembrino simili e i due termini siano talvolta usati in modo errato in modo intercambiabile, si tratta di due concetti diversi nell'ambito della cybersecurity. Per farla breve, l'autorizzazione è il processo di verifica dell'identità tramite credenziali di accesso, tratti somatici, voce o token di autenticazione. L'autorizzazione è ciò che avviene dopo l'autenticazione. Una volta che il sistema ha autenticato l'identità di un sistema o di una persona, consente all'entità di accedere alle risorse o di eseguire azioni in base ai suoi privilegi.
La spiegazione breve di autenticazione e autorizzazione è che la prima determina se a un'entità è consentito l'accesso, mentre la seconda determina quali risorse possono essere utilizzate dopo l'autorizzazione.
Fattori di autenticazione comunemente utilizzati
Chiunque abbia utilizzato un sistema operativo moderno o lavorato su una piattaforma di cloud computing sa che esistono diversi tipi di metodi e strumenti di autenticazione, come PIN (Personal Identification Numbers), impronte digitali, token e indirizzi IP. Questi metodi o strumenti rientrano in diverse categorie chiamate fattori di autenticazione.
Fattori di conoscenza
Per fattore di conoscenza si intende qualsiasi cosa che un utente conosce, come una password o una risposta a una domanda di sicurezza. I fattori di conoscenza sono in genere veloci, ma vulnerabili alle violazioni. Ad esempio, le password possono essere rubate. Le password deboli sono suscettibili di attacchi di forza bruta, come gliattacchi al dizionario .
Si consiglia vivamente di imparare come creare una password forte per proteggere i propri account. Potete anche prendere in considerazione l'utilizzo di un top password manager per gestire il vostro elenco di credenziali di accesso complesse.
Fattori di possesso
Un fattore di possesso può essere più sicuro di un fattore di conoscenza perché richiede che l'utente sia in possesso di un determinato oggetto, come un token o uno smartphone, per dimostrare la propria identità. Ad esempio, un sistema può inviare una password una tantum allo smart device di un utente che cerca di accedere. Tuttavia, nemmeno i fattori di possesso sono perfetti, in quanto gli oggetti possono essere dirottati o rubati.
Fattori di ereditarietà
Uno dei fattori di autenticazione più sicuri è il fattore ereditario, perché si basa sulle caratteristiche fisiche uniche dell'utente, come l'impronta digitale o l'iride.
Il principale svantaggio di affidarsi ai fattori ereditari è che l'hardware del sistema deve essere in grado di assorbire ed elaborare i dati biometrici, sebbene la maggior parte dei dispositivi moderni disponga di tali caratteristiche.
Un fattore di eredità può anche rivelarsi troppo efficace in rare circostanze. Ad esempio, si sono verificati diversi casi in cui i parenti stretti non hanno potuto accedere alle criptovalute del figlio defunto perché il dispositivo era protetto da un fattore di eredità.
Fattori di localizzazione
Un'organizzazione, ad esempio un servizio di streaming, può utilizzare un fattore di localizzazione come il geo-blocking per limitare l'accesso agli utenti di luoghi specifici. Ad esempio, un servizio di streaming come Netflix USA può bloccare la visione di alcuni contenuti agli utenti del Canada. Tuttavia, i fattori di localizzazione di solito prevedono delle soluzioni. Ad esempio, chi si trova in Canada potrebbe teoricamente utilizzare unaVPN privata per mascherare la propria posizione e accedere a Netflix USA.
Fattori comportamentali
Un fattore di autenticazione basato sul comportamento richiede all'utente di eseguire determinate azioni per dimostrare la propria identità. Ad esempio, può essere richiesto di disegnare determinati schemi o di risolvere un rompicapo per dimostrare che si tratta di un essere umano e non di un bot. Il reCAPTCHA di Google utilizza un motore di analisi dei rischi e traccia i movimenti del mouse per verificare il comportamento umano.
Tipi di autenticazione
Autenticazione basata su password
La forma più comune di autenticazione, quella basata sulla password, consiste nel verificare l'identità di un utente chiedendogli di fornire una password che corrisponda completamente a quella memorizzata. Il sistema rifiuterà una password che non corrisponde a quella memorizzata anche di un solo carattere.
Come già detto, gli hacker possono indovinare molto rapidamente le password deboli utilizzando gli strumenti più recenti. Per questo motivo gli utenti dovrebbero impostare password lunghe almeno 10 caratteri e complesse e cambiarle periodicamente.
Autenticazione a più fattori (MFA)
L'MFA è nato per necessità. Anche la password più sofisticata può essere rubata. Con l'autenticazione a più fattori di , gli utenti non autorizzati possono dover autenticare la propria identità in un altro modo se attivano il sistema di sicurezza del sistema. Ad esempio, se un sistema identifica un nuovo dispositivo o un nuovo indirizzo IP durante un tentativo di accesso, potrebbe richiedere un PIN o un token, anche se l'utente presenta le credenziali di accesso corrette.
Autenticazione a due fattori (2FA)
Molti si chiedono quale sia la differenza tra 2FA e MFA. La risposta è che la 2FA è essenzialmente un sottoinsieme della MFA. Come già detto, l'MFA richiede due o più fattori di autenticazione. La 2FA ne richiede solo due, in genere una password e un codice di accesso inviato a un account e-mail o a un dispositivo mobile. Per saperne di più, potete leggere lebasi dell'autenticazione a due fattori su .
Mentre gli utenti delle pagine dei social media utilizzano la 2FA per proteggere i propri account, alcune piattaforme stanno purtroppo monetizzando la sicurezza degli account. Per esempio, potreste aver letto di Twitter e l'autenticazione a due fattori, dove la piattaforma sta modificando drasticamente le impostazioni di sicurezza. Dal 19 marzo, gli utenti non possono utilizzare la 2FA basata su SMS senza pagare un abbonamento.
Tuttavia, gli utenti hanno altre opzioni (per ora). Ad esempio, possono impostare l'autenticazione a due fattori su Twitter utilizzando una chiave hardware per una sicurezza avanzata. Una chiave hardware è uno strumento di sicurezza migliore degli SMS, che si prestano a un attacco di tipo swim-swap.
Autenticazione a fattore singolo (SFA)
Come suggerisce il nome, la SFA richiede agli utenti di offrire un solo elemento di autenticazione. In genere, la password è il tipo di SFA più comune. Sebbene l'SFA possa essere più conveniente dell'MFA, può essere molto meno sicuro, soprattutto se il tipo di autenticazione è debole. L'SFA è anche vulnerabile agli attacchi di social engineering come il phishing.
Autenticazione basata su certificati
Con questo tipo di autenticazione, un sistema utilizza un certificato digitale. L'autenticazione basata su certificati è più sicura delle password perché i certificati sono sofisticati, utilizzano chiavi e sono revocabili dall'autorità che li ha emessi. Le organizzazioni di alto profilo, come i governi, utilizzano questa tecnica crittografica per aumentare la sicurezza.
Autenticazione biometrica
Come accennato, l'autenticazione biometrica si basa su caratteristiche fisiche uniche come le impronte digitali, la voce e l'iride per proteggere i sistemi. L'autenticazione biometrica è la forma di autenticazione più sicura e conveniente.
Autenticazione basata su token
Le applicazioni Web, le API e altri sistemi utilizzano spesso i token per autenticare gli utenti. In poche parole, un token è un identificatore univoco rilasciato a un utente autorizzato. Se da un lato i token sono sempre più utilizzati a causa dell'aumento degli ambienti di lavoro ibridi, dall'altro aumentano anche i furti di token.
Basic autenticazione
Un sistema di autenticazione di base richiede solo un nome utente e una password per autenticare un utente. I sistemi che utilizzano metodi di base sono più suscettibili agli hacker. Al giorno d'oggi, solo le risorse di test interne o i sistemi pubblici, come il WiFi pubblico, utilizzano l'autenticazione di base. L'autenticazione Basic è il motivo principale per cui gli utenti devono fare più attenzione quando utilizzano il WiFi pubblico.
Autenticazione senza password
Poiché gli utenti e le organizzazioni richiedono una maggiore comodità in termini di sicurezza, le opzioni di autenticazione senza password, come la biometria, le chiavi di sicurezza, i token e i codici monouso, si stanno diffondendo sempre di più negli ambienti aziendali e nelle piattaforme utilizzate dai consumatori.
Oltre a una maggiore comodità, l'autenticazione senza password può garantire una maggiore sicurezza, perché molti utenti continuano a usare password deboli o sono vittime di attacchi di phishing che attaccano le credenziali.
Autenticazione basata sulla conoscenza (KBA)
Il KBA è un tipo di autenticazione che verifica la conoscenza delle informazioni salvate da una persona per autenticarne l'identità. Esempi di KBA sono la risposta a domande sulla strada in cui si è cresciuti, sul colore preferito o sul nome da nubile della madre.
Ci sono diversi motivi per cui il KBA è un metodo di autenticazione debole. Con un numero maggiore di dati degli utenti disponibili pubblicamente sulle bacheche e sulle piattaforme di social media come LinkedIn e Facebook, è più facile per un attore delle minacce procurarsi i dati necessari per aggirare il KBA. Inoltre, è meno probabile che gli utenti impostino risposte complesse alle domande segrete piuttosto che password complesse.
Autenticazione reciproca
L'autenticazione reciproca, nota anche come autenticazione bidirezionale, è un tipo di autenticazione in cui entrambe le parti di una connessione si verificano a vicenda, in genere con certificati digitali. Sebbene l'autenticazione reciproca sia utilizzata più comunemente da protocolli di comunicazione come Transport Layer Security (TLS) e Secure Sockets Layer (SSL), molti dispositivi Internet of Things (IoT) utilizzano questa tecnica anche nelle connessioni tra dispositivi.
Autenticazione via SMS
L'autenticazione via SMS utilizza i messaggi di testo come componente dell'MFA. L'autenticazione via SMS funziona al meglio quando i metodi di autenticazione non sono sofisticati. Ad esempio, un vettore wireless ha avuto la brillante idea di mescolare l'autenticazione via SMS con un annuncio pubblicitario, che potrebbe consentire agli attori delle minacce di progettare attacchi smishing più convincenti.
Autenticazione di rete o del server
L'autenticazione di rete si riferisce all'identificazione degli utenti che cercano di accedere a una rete o a un server. Questo tipo di autenticazione è utilizzato nei protocolli di comunicazione, nelle VPN, nei firewall e nei sistemi di controllo dell'accesso alle applicazioni.
Autenticazione con chiave segreta
In un sistema che utilizza l'autenticazione a chiave segreta, l'utente e il sistema condividono una chiave di sessione crittografica nota solo alle due parti. Queste chiavi sono simmetriche. In altre parole, funzionano per la crittografia e la decrittografia. I protocolli di comunicazione come Secure Sockets Layer (SSL) utilizzano l'autorizzazione a chiave segreta per garantire la sicurezza del trasferimento dei dati, ad esempio tra un browser web e un sito web.
Chiave di sicurezza fisica
Una chiave di sicurezza fisica è un pezzo di hardware che aiuta un utente a dimostrare la propria identità ed è un esempio di fattore di possesso. Una chiave di sicurezza fisica genera in genere un codice univoco che viene condiviso con un sistema per l'autenticazione. Le chiavi di sicurezza fisiche sono state utilizzate solo da organizzazioni di alto profilo, come banche e agenzie di intelligence, oltre un decennio fa.
Tuttavia, molti tipi diversi di piattaforme, come i giochi, il commercio elettronico e i social media, consentono oggi agli utenti di proteggere i propri account con chiavi di sicurezza fisiche. Ad esempio, gli utenti possono abilitare l'autenticazione con chiave hardware di Facebook per iOS e Android per un ulteriore livello di sicurezza del fattore di possesso intorno ai loro account.
Le migliori pratiche di autenticazione
- Fate attenzione al malware progettato per rubare credenziali o dati sensibili, come alcuni tipi di Trojan, spyware e keylogger. Informatevi anche su su come rimuovere un keylogger, perché può raccogliere sequenze di tasti, screenshot e altre informazioni per ingannare un sistema di autenticazione.
- Impostate password lunghe almeno dieci caratteri e con un mix di numeri, simboli e alfabeti.
- Evitate di utilizzare schemi noti nelle password, come la data di nascita o il nome di una celebrità preferita.
- Non conservate mai le vostre credenziali di accesso in bella vista, ad esempio su un foglio di carta sulla scrivania. Crittografate le password nei dispositivi.
- Date una mano alla vostra password utilizzando metodi MFA come l'identificazione biometrica o una chiave di sicurezza.
- Diffidate degli attacchi di social engineering progettati per rubare le vostre credenziali.
- Evitate di riutilizzare la vostra password; in caso contrario, una password rubata potrebbe causare la violazione di più account.
- Cambiate regolarmente la password. Per comodità, provate a utilizzare un gestore di password affidabile.
- Incoraggiate l'amministratore di rete della vostra organizzazione a limitare la durata delle sessioni per evitare il dirottamento delle stesse.
- Gli amministratori devono monitorare i registri di autenticazione e i dati di rete per reagire rapidamente alle attività sospette, come i tentativi di accesso multipli da indirizzi IP sospetti.
- Le organizzazioni dovrebbero considerare l'adozione di un' architettura a fiducia zero per una maggiore sicurezza.
