Password e metodi di autenticazione: caratteristiche tecniche e nuove soluzioni

Nonostante i continui annunci di nuove soluzioni destinate ad eliminare la password, sembra che per ora continuerà ad essere lo strumento per garantire in modo semplice e intuitivo la sicurezza delle nostre informazioni. Ecco lo stato dell’arte sugli attuali metodi di autenticazione

Caratteristiche dei metodi di autenticazione

Un metodo di autenticazione è una funzionalità critica per accedere a risorse tecniche o informative protette. La scelta del metodo più adatto deve essere fatta tenendo conto dei seguenti elementi:
1. livello di sicurezza: un metodo di autenticazione deve garantire l’affidabilità di un’identità dichiarata ed essere sicuro, efficace e a prova di attacchi e di negligenze;
2. costo di implementazione: i costi per gestire un metodo di autenticazione possono essere limitati, come nel caso di una password, o diventare importanti a dipendenza del tipo dell’infrastruttura, come nel caso di autenticazione con token di sicurezza;
3. usabilità: l’autenticazione non è solo un problema tecnologico ma deve essere semplice e intuitiva per gli utenti che non percepiscono la complessità del problema ma pretendono che le loro informazioni siano al sicuro.

Metodi di autenticazione tramite password

La password è uno dei metodi più semplici di autenticazione e può essere usata senza alcun componente tecnico particolare. Facile da creare da parte di chiunque, è normalmente usata per accedere a servizi informatici aziendali o su internet. Permette, inoltre, di proteggere apparecchiature tecniche sia a livello personale che aziendale.

Nel caso di applicazioni personali, la sottrazione della password può comportare furti di dati e danni finanziari ma a livello aziendale i danni possono essere molto più gravi fino ad arrivare a veri e propri attacchi informatici nel caso del furto di credenziali amministrative dei sistemi.

Ne deriva che la password deve essere scelta con cura e usata con attenzione perché la sua sicurezza può essere messa a rischio sia dalla negligenza degli utenti che da attacchi informatici che possono essere impensabili per un non specialista.

Tra i principali rischi dovuti alla negligenza degli utenti possiamo citare:
• password costituite da testi banali (1234, password, abcd ecc.) o con indicazioni personali (anno di nascita, targa auto ecc.) che possono essere facilmente indovinate;
• password non protette perché scritte su foglietti, memorizzate su un file o su fogli Excel o inviata in chiaro tramite posta elettronica, perché possono essere facilmente scoperte;
• riutilizzo della password per servizi informatici o siti internet diversi. L’utilizzo della medesima password per accedere a Facebook, Amazon, al conto bancario e alle applicazioni aziendali, può mettere a rischio tutti i dati nel caso venga catturata;
• condivisione della propria password personale o aziendale con amici e colleghi con grossi rischi di attività improprie e potenzialmente pericolose da parte di terzi, sia a livello dei dati personali ma soprattutto dei dati aziendali;
• consegna volontaria delle password da parte degli utenti tratti in inganno da tecniche di ingegneria sociale quali attacchi di phishing, falsi tecnici, falsi reset delle password, ecc.

Il cattivo uso delle password da parte degli utenti è una delle principali cause di attacchi informatici e una formazione adeguata potrebbe aiutare a limitare i rischi. Purtroppo le campagne di sensibilizzazione destinate ad ottenere un uso corretto delle password hanno un impatto limitato presso gli utenti e spesso non vengono neanche prese in considerazione dalle aziende.

Tipi di attacchi alle password

Nel caso di un attacco a un sistema locale, se il malfattore ha un accesso fisico all’apparecchio da aggredire, può scoprire le password utilizzando metodi di attacco iterativi come l’attacco a dizionario, che ha lo scopo di trovare la password cercando all’interno di enormi elenchi di parole memorizzate, oppure l’attacco di forza bruta, provando con software opportuni tutte le combinazioni di caratteri. L’efficacia di questi tipi di attacchi iterativi è direttamente legata alla potenza di calcolo e di conseguenza ai costi dei computer.

Il solo modo di contrastare le tecniche fin qui elencate è quella di definire password sempre più lunghe (tra i 12 e 16 caratteri) in modo da rendere difficile la loro scoperta con le attuali potenze di calcolo.

Gli attacchi ai sistemi remoti si concentrano su tecniche differenti, quali l’istallazione di malware sull’apparecchio dell’utente per monitorare tutti i testi digitati sulla tastiera, oppure l’implementazione di varie tecniche in cui un attaccante è in grado di intromettersi tra l’utente e il server, ingannando e catturando, a sua insaputa, non solo la password ma tutti i messaggi trasmessi.

Il furto delle credenziali con tecniche di phishing è sicuramente un grosso problema per i potenziali danni che ne possono derivare dall’accesso non autorizzato ai dati protetti.

Una maggior attenzione e diffidenza su tutto quanto ci viene proposto in modo ambiguo da parte di sconosciuti che sfruttano la nostra ingenuità è una buona premessa per evitare il furto delle password o l’istallazione di malware per la cattura di informazioni.

Un ultimo problema relativo all’autenticazione è quello dei sempre più frequenti furti di massa delle credenziali di autenticazione presso i fornitori di servizi che li dovrebbero custodire più accuratamente. Questi nomi utenti e password possono essere usati per tentativi di accesso ad altri siti ma anche utilizzati per truffe o estorsioni come nelle recenti campagne di sextortion.

Metodi di autenticazione tramite token di sicurezza

Un token di sicurezza è un dispositivo fisico che viene utilizzato per ottenere un codice segreto (One Time Password, OTP) da inviare a un servizio informatico per l’autenticazione.

Esistono diversi tipi di dispositivi fisici, come i generatori di numeri o le calcolatrici, che permettono di ottenere i codici segreti sincronizzati con i server del servizio informatico.

L’utilizzo di un codice segreto per l’autenticazione ha lo svantaggio che deve essere inviato al server del servizio informatico digitandolo sulla tastiera. Se un attaccante installa un keylogger o un malware sul sistema dell’utente, è in grado di intercettare il codice digitato e usarlo per accedere al servizio in modo fraudolento.

Un caso particolare di questo metodo è la ricezione di codici segreti tramite SMS che, oltre al rischio appena indicato, possono essere intercettati anche a livello di traffico telefonico a causa dei problemi di sicurezza.

Per evitare questo problema sono stati sviluppati dei sistemi che, dopo l’autenticazione a livello locale con l’introduzione di un PIN o di un dato biometrico, trasmettono le credenziali di autenticazione in modo protetto al servizio informatico.

La diffusione sempre più vasta degli smartphone sta riducendo l’inconveniente principale dei sistemi basati su token, cioè la necessità di distribuirli fisicamente e di averli sempre con sé. Con l’utilizzo di app proprietarie su smartphone è possibile autenticarsi in locale e trasmettere i dati di autenticazione in modo protetto analogamente a quanto fatto con i dispositivi fisici.

Metodi di autenticazione biometrica

L’autenticazione biometrica è una tecnica di riconoscimento comoda ed immediata che utilizza delle caratteristiche biologiche delle persona per la sua autenticazione, quali ad esempio l’impronta digitale, la scansione del volto o dell’iride.

Per contro l’autenticazione biometrica è un sistema ottimo e ampiamente sperimentato per le credenziali memorizzate a livello locale come nel caso degli smartphone. In questo caso, oltre ad essere estremamente pratico da usare è anche molto sicuro per le soluzioni tecniche adottate, che rendono estremamente difficile il furto dei dati biometrici locali anche nel caso in cui un’attaccante entri in possesso dell’apparecchio.

Un limite del sistema è che nel caso di furto delle credenziali biometriche, questo tipo di autenticazione diventa inutilizzabile per l’impossibilità di cambiare i dati biometrici.

Autenticazione a più fattori

Presi singolarmente, i metodi di autenticazione visti finora hanno delle vulnerabilità che possono pregiudicare la corretta gestione della sicurezza. Combinando diversi metodi di autenticazione in modo complementare si riduce il livello di rischio e si aumenta la sicurezza dell’autenticazione.

I fattori caratteristici di ogni metodo di autenticazione possono essere raggruppare nelle seguenti categorie:
1. qualcosa conosciuto dall’utente – ad esempio, una password, una frase d’accesso, una numero personale di identificazione (PIN);
2. qualcosa posseduto dall’utente – ad esempio una smart card, un token di sicurezza, uno smartphone;
3. qualcosa inerente all’utente – una caratteristica biometrica, come la forma del viso, l’impronta digitale o ritmo di battitura dei tasti.

Nell’autenticazione a più fattori l’importante è che uno dei fattori sia la password che l’utente conosce e che permette di esprimere l’intenzionalità di un’azione e di prendere una decisione in base alla sua volontà senza che possa essere forzato da terzi.

Questo fattore per praticità viene normalmente trasmesso sul canale principale dove si sta svolgendo la comunicazione.

Un secondo fattore può essere qualcosa posseduto dall’utente o una sua caratteristica biometrica come un codice ottenuto tramite un token di sicurezza o un’impronta digitale ripresa tramite smartphone.

Il secondo fattore dovrebbe essere sempre trasmesso su un canale alternativo per evitare che possa essere catturato e utilizzato insieme al primo fattore. Spesso il secondo fattore viene ricevuto su un canale alternativo (ad esempio un codice inviato tramite SMS) ma poi viene rinviato sul canale principale con tutti i rischi di furto descritti in precedenza.

Conclusioni

Non esistono soluzioni tecnologiche di autenticazione che possono sostituire completamente la password; esse piuttosto possono servire come mezzo complementare per renderla più affidabile nel processo di autenticazione. Se esaminiamo ad esempio l’autenticazione biometrica possiamo constatare che oggi è utilizzata correntemente sugli smartphone ma abbiamo sempre una password che ci protegge rispetto ad un uso improprio del metodo di autenticazione. Se non esistesse la password sarebbe impossibile fare il reset dei dati biometrici per bloccare l’apparecchio.

La password può essere accettata immediatamente da chiunque perché, rispetto a soluzioni tecnologicamente più sicure, è più semplice da capire nel suo funzionamento ed estremamente intuitiva nel suo utilizzo. Questo conferma che la problematica dell’autenticazione non può essere affrontata esclusivamente con un approccio tecnologico ma deve tener conto anche degli aspetti cognitivi e di usabilità. L’autenticazione è un argomento in cui è fondamentalmente la facilità di utilizzo e la conferma viene dal cattivo uso delle password: si usano password semplici, ovvie e banali perché sono le più facili da usare.

Con nuove regole sulla sua gestione e con l’uso dei password manager, per gestire il sempre maggior numero di password, il problema della difficoltà di utilizzo della password potrebbe ridimensionarsi.

 

Fonte: CyberSecurity360