Autenticazione a più fattori
L’autenticazione ad una piattaforma o sito deve raggiungere due obiettivi:
- garantire l’accesso sicuro alle informazioni in essa contenuta
- garantire l’effettiva identità di chi vi accede
Questi obiettivi vengono raggiunti solo se vengono soddisfatti 3 requisiti legati direttamente all’utente che vi accede:
- Conoscenza delle proprie credenziali
- Il possesso di qualcosa che possa garantire l’identità in modo (quasi) univoco
- L’inerenza ovvero qualcosa che sia inerente alla persona in modo univoco
Conoscenza
L’autenticazione che utilizziamo da sempre è quella composta da due informazioni. La prima in chiaro definita da un codice, un nome utente o una mail, la seconda composta da un codice “segreto” di varia complessità, definito password. Queste due informazioni soddisfano il requisito della Conoscenza.
Nel tempo ci si è accorti che non vi era la garanzia della protezione delle informazioni dell’utente proprietario delle credenziali. La coppia di credenziali (utente/password) può essere facilmente utilizzata da terzi soggetti per vari motivi: password troppo semplici, furto di credenziali,…
Possesso
E’ nata quindi la necessità di dare una certezza dell’utente che di fatto accedeva alle proprie informazioni e/o servizi. L’aggiunta di un codice ulteriore (token) prodotto da uno smartphone, da una chiavetta digitale o da qualche altro sistema posseduto solo dall’utente ci fornisce la garanzia del Possesso.
Inerenza
Per ottenere al termine una inviolabilità delle credenziali si può aggiungere un ulteriore elemento che sia realmente univoco: impronta digitale, dato biometrico, per esempio. Qualcosa che sia inerente a solo chi si sta connettendo ci da la garanzia dell’inerenza.
Si parla quindi di Autenticazione a più fattori (MFA – Multi-Factor Authentication) nel momento in cui vengono utilizzate più metodologie di riconoscimento che vanno a soddisfare i tre principi cardine per la garanzia dell’accesso.
Si parla di Autenticazione a due fattori (TFA / 2FA – Two Factor Authentication) quando i vincoli di accesso sono due come utente/password e codice aggiuntivo oppure utente/password e dato biometrico.
Non è sempre così semplice ed effettivamente sicuro tutto questo. L’evoluzione sia dei sistemi di sicurezza che dei sistemi di intrusione richiedono sempre maggior attenzione alle tecnologie in supporto ai fattori di autenticazione. A partire dal codice utente e dalla password si devono per forza applicare regole molto restrittive nella loro definizione. Capita spesso di veder utilizzare password corte, troppo semplici e, quindi, facilmente attaccabili.
Lo stesso utilizzo dei codici di accesso (token) definiti anche OTP (One Time Password) richiede modelli di definizione complessi che possano ridurre al minimo l’eventualità della stessa compromissione.
Anche noi in Aram abbiamo da anni sviluppato modelli aggiuntivi per l’autenticazione a più fattori. Il più utilizzato risulta ancora essere QrAuth, un sistema proprietario che coinvolge server/client/smartphone nell’autenticazione univoca e certa dell’utente.
Se vuoi chiedere una consulenza per la tua azienda per attivare l’autenticazione a più fattori contattaci e ti risponderemo.
Se vuoi approfondire il tema della sicurezza ti consigliamo questi articoli:
Utilizzo della carta di credito in Internet
