Multi Factor Authentication cos’è e perché, oggi, è fondamentale per uscire dalla crisi di identità… digitale
Multi Factor Authentication perché oggi è così importante?
A rispondere ci pensa il nostro Fabrizio Puppo, che dentro il nostro Gruppo fa il Solution Architect e che è il protagonista della nuova attesa puntata di #LanServiceON la piattaforma di contenuti di altissimo valore creata dai nostri top specialist. Un ciclo di interviste video e testi multipiattaforma che andranno a raccontare come e cosa fare subito per integrare in azienda le soluzioni migliori di cybersecurity, cloud security, VDI, sviluppo applicativo, Data Center, backup, disaster recovery.
#LanServiceON – La crisi dell’identità digitale Parte 1
Innanzitutto, occorre fare un passo indietro e comprendere di che cosa stiamo esattamente parlando. Ormai una grossa fetta delle nostre vite e delle attività professionali si svolge on line, spesso e volentieri anche da dispositivi mobili. Non c’è troppo da stupirsi, dunque, che gli account digitali attraverso i quali accediamo ai servizi che ci consentono di lavorare o di svagarci siano sempre più preda dei cybercriminali. Infatti, sempre più spesso abbiamo notizia di grandi attacchi portati con successo da gruppi hacker, ma si tratta purtroppo soltanto della punta dell’iceberg. In effetti, giorno dopo giorno, si verificano milioni di piccoli attacchi di cui non abbiamo notizia, ma che portano in dote un ricco bottino ai criminali informatici. Come proteggere allora i nostri account? Certo ci sono le password a proteggerci ma, purtroppo la grande maggioranza degli utenti tende a utilizzare semplici combinazioni o parole facili da ricordare, che possono essere facilmente recuperate dai cybercriminali con appositi software di hacking facilmente reperibili sul Dark Web.
#LanServiceON – La crisi dell’identità digitale Parte 2
Non solo: la proliferazione dei servizi on line fa sì che le persone tendano a utilizzare sempre la stessa password, o al massimo varianti della stessa: in questo modo ai cybercriminali può bastare impossessarsi di una sola password per accedere con facilità a decine di servizi on line. Insomma, l’abbiamo capito: le semplici password non sono sufficienti a garantire la nostra sicurezza on line. Ecco perché, sempre di più, c’è bisogno della multi factor Authentication: secondo la definizione dell’Agenzia per la cybersicurezza nazionale (ACN) si tratta di un metodo di autenticazione in cui l’utente deve fornire più di un fattore per qualificare la propria identità e ottenere quindi l’accesso a una risorsa. Ma che cos’è un fattore di autenticazione? Si tratta di un modo per confermare la propria identità quando si prova ad accedere a un servizio digitale.
Esempi di tali fattori sono: qualcosa che solo l’utente conosce (tipicamente una password), o qualcosa che possiede (come una smart card o un token che genera una One Time Password), o che lo caratterizza a livello biometrico (impronta digitale, volto, iride ecc.). L’autenticazione a più fattori riduce il rischio di violazioni e furti di identità, poiché un attaccante deve ottenere tutti i fattori che il processo di autenticazione richiede per accedere alla risorsa. Ovviamente i fattori di autenticazione legati alla conoscenza risultano più facili da violare per gli hacker, (ad tramite attacchi di phishing o spyware), mentre impossessarsi degli altri fattori, in particolare quelli biometrici, diventa quasi impossibile.
#LanServiceON – La crisi dell’identità digitale Parte 3
La differenza tra autentificazione a due fattori e multi-fattore
Sul web si fa un po’ confusione tra autentificazione a due fattori e multifattoriale, ma in realtà la differenza esiste ed è abbastanza intuitiva. L’autenticazione a due fattori (2FA) è un metodo di autenticazione che richiede all’utente di fornire esattamente due fattori di verifica per poter accedere a un sito web, a un’applicazione o a una risorsa. Dunque non è altro un sottoinsieme della più generale autenticazione multifattoriale, la quale richiede invece l’impiego di almeno due forme di autenticazione che, però, possono essere anche di più, anche se di solito non si va oltre i tre fattori per ragioni legate all’esperienza utente
#LanServiceON – La crisi dell’identità digitale Parte 4
Perché usare la multi-factor authentication
In effetti, come utenti – nonostante l’aumentata sicurezza – tendiamo a non fare i salti di gioia in presenza dell’autenticazione multi-fattore, che viene vista come un inutile ostacolo tra noi e il servizio a cui dobbiamo accedere. Per alcuni particolari servizi, come e-mail aziendali, desktop remoto e reti private virtuali (VPN), l’utilizzo della MFA si è ormai imposto come indispensabile anche se i passaggi di autenticazione devono essere disegnati nel modo più semplice possibile. Per evitare che l’utente, spazientito, rinunci ad accedere al servizio.
Anche per questo motivo lo schema di autentificazione multi-fattore tende più o meno sempre lo stesso. Innanzitutto, l’applicazione/sito web richiede l’accesso all’utente, richiedendo la conoscenza di un primo fattore. Che, quasi sempre, è un qualcosa che l’utente “conosce”, come la classica combinazione nome utente/password. Una volta convalidato questo fattore, il sito/app richiede un secondo fattore, che è quasi sempre di possesso, dunque qualcosa che l’utente “ha”, come ad esempio un token di sicurezza, un documento identificativo, ecc). Soltanto una volta che il sito/l’app ha convalidato anche il secondo fattore, all’utente viene concesso l’accesso alla risorsa on line. Una possibilità che si fa affermando è quella delle notifiche Push, ad esempio come succede con i servizi Google: invece di affidarsi alla ricezione e all’immissione di un token 2FA, i siti Web e le app possono inviare all’utente una notifica push informandolo di come sia in corso un tentativo di autenticazione. Il proprietario può approvare o negare l’accesso con un solo tocco, quasi sempre sul proprio dispositivo mobile: si tratta quindi di una forma di autenticazione multifattoriale molto semplice, che non richiede codici da inserire e nessuna interazione aggiuntiva.
Come abbiamo anticipato in precedenza può essere previsto un terzo passaggio per aumentare ulteriormente la sicurezza per servizi particolarmente a rischio. Ad esempio il sistema SPID, fondamentale nel nostro Paese per l’interazione con la PA, è basato su tre livelli di sicurezza di autenticazione informatica. Il processo di autenticazione informatica è diretto alla verifica dell’identità digitale associata a un soggetto ai fini della erogazione di un servizio fornito in rete. Alla verifica di identità è associato un livello di sicurezza o di garanzia (level of assurance – LoA ) progressivamente crescente in termini di sicurezza.Autenticazione a due fattori per l’ID Apple
Anche un’azienda da sempre attenta alla sicurezza come Apple ha deciso di dotare l’ID Apple della MFA: nel sito ufficiale si può leggere come “L’autenticazione a due fattori, un ulteriore livello di sicurezza per l’ID Apple, è una funzione progettata per assicurare che solo tu possa accedere al tuo account, anche se qualcun altro conosce la tua password”. In questo caso l’autenticazione si basa su domande a cui rispondere, su un codice di verifica e la disponibilità di numero di telefono autorizzato.
Autentificazione multifattoriale Amazon
Spazio alla MFA c’è anche su Amazon. In particolare: “L’ Autenticazione a più fattori si verifica quando l’attività di accesso appare diversa perché hai cancellato i cookie o stai effettuando l’accesso da un nuovo browser, dispositivo o da una nuova posizione”. Per confermare l’accesso in questi casi, è possibile che l’utente debba confermare il suo accesso inserendo un codice di verifica a sei cifre che inviamo all’indirizzo e-mail o al numero di cellulare, confermando l’accesso tramite in-app Amazon per dispositivi mobili o rispondendo a una domanda di sicurezza.
