Gli hacker non si limitano a introdursi nei sistemi. A volte basta semplicemente che effettuino l'accesso. Il che è facile, vista l’attuale situazione della sicurezza delle password.
L’approccio più diffuso alla gestione delle identità e degli accessi (IAM) — ovvero nome utente e password — non funziona più in modo adeguato già da molto tempo. Gli hacker sferrano ogni giorno in media 50 milioni di attacchi alle password , ovvero circa 580 al secondo. Secondo Verizon, circa 60% delle violazioni dei dati è attribuibile alla compromissione delle credenziali.
Il costo medio di una violazione dei dati è stimato in 4,2 milioni di dollari; le credenziali compromesse rappresentano il vettore di attacco più comune, costituendo il 20% di tutte le violazioni. Inoltre, la reimpostazione delle password è uno dei motivi principali per cui i dipendenti contattano i servizi di assistenza IT e, secondo le stime di Forrester, ciò comporta per le aziende un costo fino a 70 dollari per ogni chiamata. Le grandi organizzazioni statunitensi destinano oltre 1 milione di dollari all’anno alla reimpostazione delle password.
Come è noto, Bill Gates aveva previsto la fine delle password già 18 anni fa. Eppure, in qualche modo, nonostante i numerosi sforzi compiuti dal settore per individuare alternative migliori, i nomi utente e le password continuano a essere utilizzati nella maggior parte delle organizzazioni IT
.
Ma la situazione potrebbe finalmente cambiare, ora che i dirigenti aziendali stanno prendendo coscienza dei limiti della sicurezza basata sulle password. Con il miglioramento degli strumenti di autenticazione e l’affermarsi del modello “zero trust” come modello dominante di sicurezza informatica, un numero crescente di organizzazioni sta iniziando ad adottare approcci senza password, quali l’autenticazione multifattoriale (MFA) , la biometria e gli strumenti di Single Sign-On (SSO).
E poiché si prevede che gli attacchi informatici contro le imprese e le infrastrutture critiche statunitensi si intensifichino a seguito dell’invasione russa dell’Ucraina, l’ , la Casa Bianca e , nonché la Cybersecurity and Infrastructure Security Agency , esortano vivamente le organizzazioni del settore pubblico e privato a richiedere metodi di autenticazione che non si basino sulle password.
«La tendenza verso una sicurezza senza password è molto, molto concreta», afferma Frank Dickson, vicepresidente del programma nell’ambito della divisione di ricerca sulla sicurezza informatica e la fiducia di IDC. «Le organizzazioni non abbandoneranno le password da un giorno all’altro, poiché farlo è complesso.» «Ma molti hanno intrapreso questa strada, compresi alcuni dei nomi più importanti del settore tecnologico.»
Una nuova priorità strategica nella sicurezza delle password
La tendenza tra le grandi aziende tecnologiche è quella di un futuro senza password. Microsoft ha consentito agli utenti commerciali di accedere ai propri account senza password e ha persino invitato le persone a eliminare del tutto le password. Google Allo stesso modo, ha deciso di eliminare gradualmente le password, rendendo l'autenticazione a due fattori tramite telefono l'impostazione predefinita per gli account Google . E Apple, grazie al riconoscimento facciale
integrato nei propri computer e smartphone, si è impegnata ad abolire le password nel 2020, proprio mentre la pandemia stava entrando nella fase più acuta.
«. Quando avremo trovato il ritmo giusto, questo rappresenterà davvero una svolta epocale.»Kurt John, responsabile della sicurezza informatica, Siemens USA
Non sono solo quei colossi tecnologici a fare da apripista. Infatti, 85% dei professionisti del settore IT e della sicurezza informatica afferma che l’adozione di soluzioni di sicurezza senza password rientra tra le loro principali iniziative strategiche, secondo un rapporto dell’Enterprise Strategy Group (ESG).
Uno di questi dirigenti è Kurt John, responsabile della sicurezza informatica di Siemens USA, che supervisiona la politica di sicurezza per 40.000 dipendenti negli Stati Uniti. John ha dichiarato a Endpoint che la sua organizzazione, come molte altre, ha riscontrato difficoltà a causa dei costi e della complessità legati alla gestione di nomi utente e password. Obbligare dipendenti e clienti a cambiare regolarmente le credenziali comporta, inoltre, un’esperienza utente insoddisfacente.
Siemens sta valutando l’autenticazione senza password nell’ambito di un programma “zero-trust” per l’informatica, la tecnologia operativa e i prodotti. Il modello "zero trust" parte dal presupposto che ogni persona e ogni dispositivo rappresentino una potenziale minaccia, salvo prova contraria.
[Leggi anche: È ora di abbandonare la VPN a favore del modello “zero trust”]
John prevede di ricorrere a una combinazione di tecnologie biometriche (come l’ Windows , per esempio), analisi dei dati e intelligenza artificiale per autenticare i dipendenti prima di concedere loro l’accesso alla rete.
«Abbiamo ancora molta strada da fare, ma quando raggiungeremo il pieno ritmo in questo ambito, sarà davvero una svolta epocale», afferma.
Single sign-on e altri consigli dal campo
Prendersi il tempo necessario è un tema ricorrente per le organizzazioni che stanno valutando il passaggio a un sistema di sicurezza senza password.
La maggior parte degli esperti mette in guardia dal cercare di fare troppo e troppo in fretta con
una strategia senza password. Suggeriscono piuttosto di iniziare con piccoli progetti pilota
e di effettuare dei test per verificare cosa funzioni con i sistemi esistenti —
— nonché con i dipendenti, i clienti e i partner, il cui feedback può contribuire a rimodellare i programmi.
«Il problema è che tutti cercheranno di vincolarvi al proprio ecosistema.»Doug Cavit, CISO, Containn
«È importante comprendere come funziona la tecnologia e farsi un’idea dell’esperienza dell’utente finale, sia durante la registrazione che nell’uso quotidiano», afferma Schaufenbuel. «Successivamente, estenda gradualmente il progetto pilota fino a quando non si sentirà sufficientemente a suo agio per affrontare un’implementazione su larga scala.»
A quanto pare, esistono alcuni modi prudenti per rafforzare l’uso delle password durante questo periodo di transizione. Dickson, di IDC, illustra come affrontare i progetti relativi all’eliminazione delle password in più fasi. In primo luogo, egli suggerisce di fornire agli utenti uno strumento di gestione che consenta loro di tenere sotto controllo il “caos delle password” all’interno delle loro organizzazioni. Ciò potrebbe sembrare l’opposto dell’adozione di un sistema senza password. Egli ritiene tuttavia che sia necessario riunire tutte le credenziali in un unico posto per potersene liberare.
Inoltre, afferma Dickson, le organizzazioni dovrebbero adottare uno strumento di autenticazione unica (single sign-on), che memorizza le password ed elimina la necessità per i dipendenti di aggiornarle e tenerne traccia continuamente. Un servizio di gestione delle identità ( SSO ) risulta particolarmente utile per accedere alle applicazioni SaaS (Software-as-a-Service) destinate alle aziende e ai consumatori, aggiunge.
«Siamo passati dal caos a un gestore di password, fino ad arrivare a un sistema di accesso unico con autenticazione a due fattori», afferma Dickson. «E, all’improvviso, le nostre esperienze stanno migliorando.»
[Leggi anche: Migliorare l’esperienza digitale dei dipendenti]
La terza fase prevede la verifica delle regole relative all’identità e all’accesso. Non tutti i dipendenti, osserva, necessitano di accedere a ogni angolo delle reti aziendali. Alcuni necessitano solo della possibilità di scaricare Office 365 e di alcuni strumenti di
a per la gestione finanziaria e delle risorse umane per svolgere il proprio lavoro. Le organizzazioni devono pertanto razionare l’accesso alle risorse IT in base al principio del “need-to-see”.
L’ultimo punto riguarda l’eliminazione delle password, afferma Dickson. A lungo termine, i sistemi informatici, i dipendenti e i dispositivi dell’organizzazione funzioneranno, per la maggior parte, senza che sia mai necessario inserire una password.
Si raccomanda di diffidare delle soluzioni semplicistiche in materia di sicurezza delle password
Molti fornitori propongono ormai soluzioni senza password che, presumibilmente, offrono funzionalità MFA complete o di tipo “zero-trust” alle organizzazioni desiderose di adottare pienamente tali soluzioni il prima possibile. Infatti, alcune startup promettenti stanno attirando investimenti di capitale di rischio da capogiro proprio grazie a tale approccio accelerato.
Tuttavia, John di Siemens mette in guardia le imprese dal lasciarsi coinvolgere troppo in fretta da tali offerte. «Non si limiti a scegliere la prima soluzione senza password che le capita», afferma. «È opportuno procedere con la dovuta diligenza e valutare attentamente tutte le opzioni a vostra disposizione.» Egli raccomanda di riflettere attentamente sulla propria strategia a medio e lungo termine: «Alcune di queste soluzioni vi garantiranno un guadagno a breve termine, ma produrranno rendimenti decrescenti rispetto ai vostri obiettivi», afferma.
Doug Cavit, CISO di Containn, un’azienda di software che aiuta le organizzazioni a realizzare e implementare infrastrutture multicloud sicure, mette inoltre in guardia dal lasciarsi coinvolgere frettolosamente nell’ecosistema di un singolo fornitore. Sì, resta valida l’argomentazione secondo cui i pezzi di un puzzle si incastrano meglio se provengono dalla stessa scatola. Tuttavia, se i Suoi sistemi legacy di back-end non sono compatibili con la loro infrastruttura, una piattaforma senza password potrebbe non funzionare in modo ottimale.
«Il problema è che tutti cercheranno di vincolarvi al proprio ecosistema», afferma Cavit. «Ma se la mia realtà fosse meno omogenea, come avviene per molte imprese, riconsidererei l’opportunità di seguire quella direzione.»
Metodi di autenticazione senza password per l’ : gli smartphone come chiavi di roaming?
Molte organizzazioni ritengono che il futuro della sicurezza senza password — al di là del Single Sign-On, dei controlli sugli accessi e di altre misure — risieda nell’utilizzo degli smartphone come dispositivi di autenticazione mobili. La FIDO Alliance, un’associazione di settore specializzata nell’autenticazione sicura, si occupa di tale tecnologia da 10 anni. I suoi più recenti standard FIDO2 e WebAuthn per l’autenticazione senza password integrerebbero funzionalità crittografiche per l’accesso sicuro a siti web, reti aziendali e dispositivi.
«Stanno emergendo nuove tecnologie e approcci che non richiedono l’uso di password e che sono semplicemente migliori.»Richard Stiennon, capo analista di ricerca presso IT-Harvest
Gli utenti effettuerebbero l'accesso ai propri dispositivi utilizzando dati biometrici quali il riconoscimento facciale o quello delle impronte digitali. Il Bluetooth, dal canto suo, consentirebbe di verificare la vicinanza fisica dell’utente. Se il proprietario di uno smartphone risiede ad Austin, in Texas, ma un tentativo di accesso sembra provenire da Biloxi, nel Mississippi, il dispositivo potrebbe rilevare la discrepanza e bloccare l’accesso al sito. In teoria, ciò ridurrebbe al minimo le minacce di phishing di tipo “ ”, poiché queste si basano spesso sul furto di password, una tecnica di attacco che verrebbe così eliminata.
Naturalmente, l’approccio FIDO ha i suoi detrattori. Alcuni esperti di sicurezza lamentano che lo standard FIDO2 costringerebbe gli utenti a portare sempre con sé i propri dispositivi per accedere alle reti. Altri, come Richard Stiennon, capo analista di ricerca presso IT-Harvest, sottolineano che, se su un dispositivo sono memorizzati centinaia di certificati digitali e un utente lo smarrisce — e, secondo quanto riportato, ogni anno vengono smarriti 70 milioni di smartphone — la situazione si complica.
[Leggi anche: Ogni dipendente deve ora far parte del team di sicurezza informatica]
«Se si tratta di qualcosa che utilizza al lavoro, allora cosa fa?» Chiede Stiennon. «Lo comunica a tutti? Al Suo datore di lavoro? Forse non è un problema. Ma cosa succederebbe se foste la compagnia telefonica? “È quindi necessario avvisare la banca in caso di smarrimento del telefono su cui è registrato il proprio numero IP?”
Secondo gli esperti, è improbabile che la sicurezza senza password diventi l’approccio di autenticazione dominante da un giorno all’altro. Tuttavia, ritengono che, dopo decenni di semplici dichiarazioni, le organizzazioni stiano finalmente passando ai fatti.
«Sono pronto ad affermare che le password stanno per scomparire», dichiara Stiennon. «Non lo dico perché siano assolutamente cattivi. Hanno svolto la loro funzione. Lo dico perché stanno emergendo nuove tecnologie e nuovi approcci che non richiedono l’uso di password e che sono semplicemente migliori. «E col passare del tempo, non avrete più bisogno di password per effettuare l’accesso.»
