È la fine della complessità delle password così come la conosciamo.
Dopo aver esortato per anni le aziende a Enforce imporre frequenti cambi di password e a richiedere ai dipendenti di utilizzare password complesse contenenti lettere, numeri e simboli, l’ NIST o (National Institute of Standards and Technology) ha pubblicato alcune nuove linee guida sorprendenti — poiché, a quanto pare, nessuna di quelle vecchie misure funziona.
Le raccomandazioni NIST , recentemente aggiornate , prevedono che le password abbiano una lunghezza compresa tra 15 e 64 caratteri e suggeriscono alle aziende di utilizzare generatori di password casuali e gestori di password per garantire la sicurezza dei codici.
Le nuove linee guida hanno colto di sorpresa alcuni settori del settore, sebbene i membri dell’ NIST avessero già intrapreso questa direzione da alcuni anni. Infatti, Bill Burr, un dirigente di medio livello autore del documento “ 2003 NIST ”, in cui si consigliava di utilizzare password complesse, ha ammesso che tale consiglio era errato. «Ora mi pento di gran parte di ciò che ho fatto», ha dichiarato Burr, ora in pensione, al *Wall Street Journal* nel 2017.
Roger Grimes, rinomato esperto di autenticazione presso KnowBe4, afferma che, nonostante le aziende abbiano seguito le linee guida relative alla complessità, non vi sono prove significative – se non addirittura nessuna – che dimostrino che creare password secondo uno schema particolare possa renderle impossibili da violare.
«Gli hacker oggi sono in grado di violare persino password complesse di 18 caratteri, se queste non sono realmente casuali», spiega. "La complessità crea l'illusione della sicurezza, ma nella pratica spesso porta a schemi prevedibili o addirittura al riutilizzo delle stesse password su diversi siti."
Questo punto di vista sembra essere al centro delle nuove linee guida dell’ NIST, secondo cui semplici passphrase di 19 caratteri come “OfficeLunchOrder2024” sarebbero più sicure di password più complesse di 10 caratteri come “P@ssw0rd1!”. poiché richiedono più tempo per essere decifrati con metodi di forza bruta.
[Leggi anche: Bill Gates conosce questa semplice verità già da tempo: il futuro sarà senza password]
«Le password estremamente complesse introducono una nuova potenziale vulnerabilità: è meno probabile che siano facili da ricordare e più probabile che vengano annotate o archiviate elettronicamente in modo non sicuro», si legge nella proposta dell’ NIST .
Smettete di imporre la modifica delle password
Una delle nuove raccomandazioni più sorprendenti di “ NIST” è che le organizzazioni smettano di imporre il cambio periodico delle password. Per anni, molti team IT hanno imposto cicli di rotazione di 60 o 90 giorni, ritenendo che ciò avrebbe ridotto al minimo il rischio di furto delle password.
«Le password altamente complesse introducono una nuova potenziale vulnerabilità: è meno probabile che siano facili da ricordare e più probabile che vengano annotate o archiviate elettronicamente in modo non sicuro.»Le nuove linee guida dell’ NIST e in materia di password sono state pubblicate nel mese di agosto
Tuttavia, nel rivedere la propria raccomandazione, l’ NIST e ha riconosciuto che i frequenti cambi di password possono creare più problemi di quanti ne risolvano. Gli utenti, a corto di tempo e impazienti, aggiornano regolarmente le proprie password inserendo versioni più recenti che ripetono schemi obsoleti, deboli e facilmente individuabili – come, ad esempio, cambiare Summer2024 in Fall2024.
È degno di nota il fatto che NIST si spinga oltre, affermando che le organizzazioni non sono tenute a richiedere la reimpostazione delle password finché non si verifica una violazione. NIST sostiene che ciò ridurrà il carico cognitivo sui dipendenti e consentirà al reparto IT di concentrarsi su minacce alla sicurezza reali anziché su reimpostazioni arbitrarie delle password. Ed entrambi contribuiscono in modo significativo a migliorare l’esperienza complessiva dei dipendenti di .
[Legga anche: Ripensare le strategie di coinvolgimento dei dipendenti per la forza lavoro moderna]
Grimes ritiene che tale consiglio sia eccessivo, poiché ignora il fatto che le vulnerabilità delle password, di per sé, possano portare a violazioni della sicurezza.
«La maggior parte delle persone non sa che le proprie password sono state compromesse», afferma. «Se si dice alle persone “Non cambiate le vostre password” e queste non le cambiano nel corso degli anni, uno o più schemi di password finiranno in questi elenchi di password rubate, mettendo a rischio l’organizzazione.»
Autenticazione a più fattori: la chiave per un’azienda sicura?
Oltre a modificare le proprie linee guida relative alle password, NIST ha sottolineato l’importanza dell’autenticazione a più fattori (MFA) per la sicurezza aziendale. Purtroppo, sebbene quasi il 97% delle grandi organizzazioni Enforce adotti politiche relative alle password, solo il 38% utilizza l’autenticazione a più fattori (MFA) a livello aziendale, secondo un recente sondaggio condotto da KnowBe4.
«La maggior parte delle persone non sa che le proprie password sono state compromesse. «I modelli di password [da loro utilizzati] finiscono in questi elenchi di password rubate e mettono a rischio l’organizzazione.»Roger Grimes, rinomato esperto di autenticazione, KnowBe4
Ciò mette in luce una lacuna, senza dubbio. Tuttavia, tale vulnerabilità potrebbe ancora sussistere per le aziende che utilizzano l’autenticazione a più fattori (MFA), poiché, a loro insaputa, la maggior parte di esse ricorre a metodi obsoleti come gli SMS – e gli hacker hanno preso di mira tali sistemi con crescente successo. Una delle tecniche utilizzate è quella denominata “ ” (MFA fatigue), in cui gli utenti, sopraffatti dalle ripetute richieste di autenticazione a più fattori (MFA), finiscono per approvare richieste fraudolente per frustrazione o per abitudine. Un altro esempio è rappresentato dall’hacking di aziende con sistemi di sicurezza inadeguati che forniscono servizi di autenticazione a più fattori (MFA) alle imprese. All’inizio di quest’anno, ad esempio, un fornitore che gestiva l’autenticazione a più fattori (MFA) di Cisco è stato vittima di un attacco di ingegneria sociale di tipo “ ” ( ).
Andrew Shikiar, CEO della FIDO Alliance , un consorzio industriale globale con sede presso l’, dedicato all’eliminazione della dipendenza mondiale dalle password, afferma che esiste ora una soluzione migliore: le passkey basate sul framework “ FIDO2” dell’organizzazione.
Le passkey si basano su coppie di chiavi crittografiche anziché su segreti condivisi come le password, in cui un utente (si spera) conosce e inserisce un codice che è presente anche sul server di un’organizzazione. Ciò li rende di gran lunga più resistenti agli attacchi di forza bruta e di ingegneria sociale, come quelli utilizzati per aggirare i precedenti approcci di autenticazione multifattoriale (MFA).
[Leggi anche: Cos'è il social engineering nella cybersecurity – una guida completa]
È praticamente impossibile effettuare attacchi di phishing ai passkey, poiché questi utilizzano coppie di chiavi pubbliche e private in cui l’autenticazione avviene interamente tramite un dialogo crittografato tra le chiavi, impedendo agli aggressori di indurre gli utenti a rivelare informazioni sensibili. Questa finestra di dialogo viene visualizzata solo dopo che l’utente ha effettuato l’autenticazione a livello locale sul proprio dispositivo – operazione che in genere avviene tramite la stessa semplice azione utilizzata per sbloccare il dispositivo stesso – ad esempio utilizzando i dati biometrici del telefono (come FaceID) o il codice PIN.
Cosa comportano le linee guida dell’ NIST per le password, le passkey e la Sua organizzazione
Le passkey metteranno finalmente fine alle password?
«Stiamo assistendo a un crescente interesse da parte delle aziende nei confronti delle passkey, poiché queste offrono una difesa più solida contro i vettori di attacco più diffusi al giorno d’oggi: il phishing e il credential stuffing.»Andrew Shikiar, CEO, FIDO Alliance
Persino Shikiar, uno dei loro più accesi sostenitori, ammette che le password sono talmente radicate nel mondo aziendale che sarà difficile eliminarle. Ciononostante, egli osserva che il framework FIDO senza password sta prendendo piede grazie al sostegno di importanti fornitori di piattaforme quali Apple, Google e Microsoft. "Oltre il 20% dei principali siti web mondiali supporta ormai le passkey", aggiunge, "e milioni di clienti di Amazon e Bank of America stanno già effettuando l’accesso tramite esse".
"Stiamo assistendo a un crescente interesse da parte delle aziende nei confronti delle passkey, poiché queste offrono una protezione più efficace contro i vettori di attacco più diffusi al giorno d’oggi: l’, il phishing e il credential stuffing", afferma.
Le linee guida di NIST sono proprio questo: linee guida. Le organizzazioni IT possono decidere se adottarle o meno. Grimes osserva che molte organizzazioni, in primo luogo, non stavano già seguendo le linee guida precedenti. Ciononostante, gli esperti raccomandano alle aziende di prendere almeno in considerazione le nuove raccomandazioni, insieme ad alcune best practice volte a ridurre i rischi e a migliorare il proprio livello di sicurezza, tra cui:
1. Prestare maggiore attenzione alla lunghezza della password piuttosto che alla sua complessità
Richieda password o frasi di accesso che siano più facili da ricordare per i dipendenti, ma che abbiano una lunghezza di almeno 18 caratteri. L'obiettivo è quello di abbandonare l'approccio "P@ssw0rd!". e verso qualcosa come “ProjectKiteboard2025”.
2. Limitare le modifiche obbligatorie della password
A meno che non si sia verificato un incidente specifico o una violazione, non è necessario obbligare i dipendenti a cambiare le proprie password con la stessa frequenza con cui lo hanno fatto finora. Grimes afferma che, nonostante il suggerimento di " NIST", ciò non è necessario a meno che non si sia verificata una violazione, e che sarebbe opportuno imporre la modifica delle password circa una volta all'anno.
3. Richiedere l’autenticazione a più fattori (MFA) ogni volta che sia possibile
Attivino e Enforce l’autenticazione a più fattori (MFA) il più ampiamente possibile, in particolare per gli account sensibili o i sistemi aziendali critici. Change Healthcare, una delle più grandi società al mondo specializzate nell’elaborazione dei pagamenti nel settore sanitario, ha imparato questa lezione a proprie spese. All’inizio di quest’anno, la divisione di UnitedHealth, che gestisce 15 miliardi di richieste di rimborso medico ogni anno, è rimasta fuori servizio poiché non utilizzava l’autenticazione a più fattori (MFA). Si stima che, di conseguenza, un terzo degli americani abbia subito la fuga di informazioni sensibili sul dark web.
4. Fornire ai dipendenti strumenti per la gestione delle password
Shikiar sottolinea che ogni password è potenzialmente soggetta a tentativi di phishing. Ogni password può essere violata. «Pertanto, se continua a fare affidamento sulle password, è preferibile proteggerle con un gestore di password», afferma. Non sono infallibili. Anche questi possono essere oggetto di attacchi informatici. Tuttavia, generando e utilizzando password casuali, uniche per ogni sito e servizio, è possibile contribuire a ridurre le minacce di phishing.
«Se non è possibile utilizzare un’autenticazione a più fattori (MFA) resistente al phishing, ricorra comunque all’autenticazione a più fattori; se non è possibile utilizzare l’autenticazione a più fattori, ricorra a un gestore di password», afferma Grimes. «Se la maggior parte delle persone agisse in questo modo, starebbe decisamente meglio.» «Se non utilizza un gestore di password, potrebbe mettere a rischio la sua azienda.»
Le organizzazioni che adotteranno questi cambiamenti ridurranno la propria superficie di attacco e semplificheranno la gestione della sicurezza per i propri team. Per dirla con una frase ad hoc: «Le password sono gli scarafaggi di Internet: sono difficili da eliminare». Tuttavia, grazie a strumenti quali l’autenticazione a più fattori (MFA) a prova di phishing, le passkey e i gestori di password, i reparti IT possono finalmente garantire la sicurezza in modi che non infastidiscano gli utenti né mettano a dura prova il proprio personale.
