Oggi, la sicurezza IT si sta muovendo verso l’autenticazione passwordless utilizzando tecnologie avanzate come la biometria, il PIN e la crittografia a chiave pubblica/privata. Tutto ciò è fattibile grazie a nuovi standard come Web Authentication API (WebAuthN) e Fast Identity Online (FIDO2) progettati per sostituire le password con dati biometrici e dispositivi che le persone utilizzano già all’interno delle aziende, quali chiavi di sicurezza, smartphone, scanner di impronte digitali o webcam.

Anche se l’autenticazione passwordless si basa su fondamenta solide, IT manager, professionisti e dipendenti nutrono diverse preoccupazioni su come i dati biometrici vengono raccolti, archiviati, utilizzati e che impatto potrebbe avere l’adozione di una strategia passwordless sulle loro applicazioni legacy.

Vediamo insieme di fare chiarezza su tre delle principali questioni oggetto di riflessione da parte di IT manager e decision maker.

Malinteso 1: PIN e Password sono la stessa cosa?

Ad oggi, molti dispositivi, che siano pc o smartphone, danno la possibilità di accedere con un numero di identificazione personale (PIN) invece di una password. Probabilmente ti sarai chiesto cosa sia esattamente un PIN e in cosa differisce da una password?

Un PIN può essere un insieme di numeri, anche se i criteri aziendali sempre più stringenti potrebbero consentire PIN complessi che includono caratteri speciali e lettere, sia maiuscole che minuscole.

Il modo più comune per implementare il PIN è associarlo ad una risorsa specifica come ad esempio un computer, una carta di credito o un telefono.

Il PIN può essere archiviato su un server o sul dispositivo. Nel caso di Windows 10, Microsoft utilizza un chip fisico chiamato Trusted Platform Module (TPM) che include più meccanismi di sicurezza fisica e algoritmi crittografici per rendere quasi impossibile la compromissione. Il PIN viene memorizzato solo sul PC client. Questo approccio è più sicuro della convalida sul server perché un utente malintenzionato dovrebbe ottenere l’accesso al computer stesso per rubare il PIN. Allo stesso modo, le nuove carte di credito con chip che vengono ora ampiamente distribuite, memorizzano il PIN localmente in modo che non vi sia alcuna possibilità di un compromesso su larga scala a livello di server.

Ed è qui che sta la differenza tra PIN e password: autenticazione locale e autenticazione remota.

Il PIN è una credenziale locale mentre una password è una credenziale centralizzata. Questa è una distinzione importante da capire perché se un utente malintenzionato scopre quale sia il tuo pin non può usarlo come fosse una password dal momento che il PIN è associato ad un dispositivo: in questo modo può essere utilizzato solo su quel particolare dispositivo registrato. La password invece può essere utilizzata da qualsiasi luogo.

Malinteso 2: Un sistema di accesso biometrico può essere violato o contraffatto?

Nell’articolo precedente abbiamo visto come Windows Hello consente agli utenti di accedere immediatamente ai propri dispositivi Windows 10 utilizzando la scansione delle impronte digitali, la scansione dell’iride o il riconoscimento facciale.

Microsoft comprende quanto sia fondamentale proteggere i dati biometrici dal furto. Per questo motivo, la tua “firma biometrica” è protetta localmente sul dispositivo e condivisa con nessun’altro all’infuori di te.

Ad esempio, in Windows Hello, la scansione dell’iride non viene gestita dalle nostre webcam o fotocamere dei telefoni: Microsoft vuole utilizzare “una combinazione di hardware e software speciali” per assicurarsi che il sistema non possa essere sconfitto. Lo scanner dell’iride si basa sulla tecnologia a infrarossi (potenzialmente, nel vicino infrarosso). Ciò significa che sarà in grado di funzionare in tutte le condizioni di illuminazione e di vedere l’iride attraverso gli occhiali, anche colorati.

Tutto questo sarà fattibile senza correre alla necessità di dover memorizzare i dati biometrici degli utenti. Infatti, questo valore biometrico (nel caso specifico l’iride) viene utilizzato come fattore iniziale per poi sbloccare un secondo fattore più sicuro: una chiave crittografica privata che funziona per autenticare un utente. Un metodo di attacco biometrico comune prevede il tentativo di falsificare la parte del corpo di una persona, con l’obiettivo di indurre il sistema a pensare che un falso sia reale. Qualsiasi attacco di spoofing o hacking richiederebbe prima che l’aggressore ottenga la custodia del dispositivo. Al di là dei vari livelli di protezione, molti sistemi biometrici oggi stanno costruendo il “liveness detection” per convalidare che una presentazione biometrica sia reale.

Malinteso 3: Implementare un’autenticazione passwordless influisce anche sulle mie app e protocolli legacy?

L’adozione di un’autenticazione passwordless quando si utilizzano ancora i protocolli legacy rappresenta una sfida. Tuttavia, a questo scopo, Microsoft sta sviluppando una password limitata nel tempo, una sorta di password monouso con un’ora corrente o un limite di tempo che l’utente potrebbe generare quando utilizza l’autorizzazione legacy.

Guardare al futuro significa quindi gettare il cuore oltre l’ostacolo e iniziare a pensare ad un universo autenticativo non più legato ai fatidici otto caratteri, con maiuscola, cifra e carattere speciale. Ma significa anche immaginare una realtà aziendale in grado di sfruttare appieno le possibilità in ambito sicurezza applicativa che l’ecosistema Microsoft è in grado di offrire.

Tutto più semplice con il giusto supporto,  contattaci!