In questo articolo vediamo cos’è l’autenticazione digitale (o autenticazione elettronica) e a cosa serve, quali sono i principali meccanismi di autenticazione digitale e qual è la differenza tra autenticazione e autorizzazione.
Cos’è l’autenticazione digitale e a cosa serve
L’autenticazione è un processo che conferma l’identità di un soggetto che tenta di accedere a un sistema.
L’autenticazione è una fase successiva a quella di identificazione, che abbiamo affrontato in questo articolo. Mentre nella fase di identificazione ci presentiamo al sistema informatico a cui vogliamo accedere dicendogli chi siamo, durante la fase di autenticazione forniamo al sistema la prova utile a dimostrare che siamo davvero la persona che diciamo di essere.
Il processo di autenticazione è fondamentale in quanto il nostro reclamare una specifica identità nei confronti di un sistema informatico a cui vogliamo accedere non fornisce, di per sé, alcuna garanzia circa il fatto che tale identità sia effettivamente nostra. L’autenticazione digitale o elettronica è, quindi, un modo per accertare in maniera sicura la nostra identità nel mondo digitale. Il sistema di autenticazione serve quindi a validare l’informazione che abbiamo fornito in fase di identificazione, dando al sistema una prova inconfutabile circa la nostra identità.
Quali sono i metodi più comuni di autenticazione digitale
Generalmente il processo di autenticazione definisce quali sono i metodi ritenuti validi per accertare un’identità prima ancora di completare il processo di identificazione.
Uno dei metodi di autenticazione digitale più diffusi, oltre che più deboli, è l’associazione di una password e un codice utente. La password serve a dimostrare che chi reclama un codice utente è effettivamente l’utente a esso associato. L’accoppiata codice identificativo + password è indicata con la parola credenziali.
Oltre a quello basato su nome utente e password, esistono numerosi altri sistemi di autenticazione digitale, più o meno sofisticati e affidabili. Come, ad esempio, l’autenticazione biometrica, effettuata tramite l’uso della propria impronta digitale o attraverso il riconoscimento facciale.
Uno dei metodi più sicuri e sofisticati è l’autenticazione che sfrutta l’uso di certificati digitali tramite smartcard. L’utente si fa riconoscere dal sistema inserendo un PIN e utilizzando il meccanismo delle chiavi pubbliche/private.
Di seguito una descrizione dei principali meccanismi di autenticazione digitale alternativi alla consueta password.
L’autenticazione a due fattori
L’autenticazione a due fattori (in inglese two-factor authentication, spesso indicata anche con l’acronimo 2FA) è un metodo di autenticazione che richiede all’utente di fornire due componenti di verifica valide.
Per approfondire l’argomento consigliamo di leggere questo nostro articolo che parla in maniera più estesa di autenticazione a due fattori.
L’autenticazione forte
L’autenticazione forte (o strong authentication) è un metodo di autenticazione di cui si trovano diverse definizioni. Di seguito ne riportiamo le principali per contesto.
Nei sistemi informatici e contesti accademici si ottiene un’autenticazione forte quando si realizza un processo di autenticazione utilizzando un meccanismo crittografico di challenge response. Il processo non richiede l’invio di password in alcuna forma. In aggiunta, un sistema di strong authentication, come meglio definito in ambito matematico, richiede che si utilizzino chiavi pubbliche/private ossia un sistema basato su PKI (Public Key Infrastructure).
Nell’Unione Europea e nel contesto bancario, si ottiene una strong authentication quando si realizza un’autenticazione a due fattori. In aggiunta, almeno un fattore non deve essere replicabile, riusabile e sottraibile via Rete.
Per approfondire l’argomento consigliamo di leggere questo nostro articolo che parla in maniera più estesa di autenticazione forte.
Cos’è la Smartcard Authentication
La smartcard authentication è l’autenticazione digitale realizzata tramite una smartcard o, meglio, utilizzando un meccanismo di chiavi pubblica/privata e un certificato digitale.
Si tratta di un metodo riconosciuto come il meccanismo di autenticazione più affidabile e sicuro. Infatti, è un sistema a due fattori basato su un meccanismo di verifica crittografica di challenge response, a base PKI.
Le chiavi private utilizzate non possono essere esportate dalla smartcard, che diviene non clonabile e non sottraibile via Rete. In aggiunta, l’azione di identificazione è non riusabile.
Differenze tra autenticazione e autorizzazione
Dopo la fase di autenticazione, quali sono i diritti connessi a un’identità digitale? Rispondere a questa domanda significa spiegare cos’è l’autorizzazione, che rappresenta una fase ancora successiva a quella dell’identificazione e dell’autenticazione.
Mentre nella fase di identificazione ci presentiamo a un sistema dicendo chi siamo e nella fase di autenticazione diamo prova di essere davvero noi, nella fase di autorizzazione il sistema riconosce anche il ruolo che abbiamo nel sistema e quindi a quali risorse possiamo accedere e cosa possiamo fare una volta entrati.
Le risorse a cui possiamo accedere e cosa possiamo fare all’interno del sistema dipende proprio dal tipo di autorizzazione (ossia dal ruolo) associato alla nostra identità digitale.
Prendiamo, come esempi, il sito del Fascicolo Sanitario Elettronico o il sito INPS. A tali sistemi noi accediamo con il ruolo di utenti titolari del fascicolo o dell’area riservata. A questi sistemi accedono anche altri soggetti, come il personale medico nel primo caso o il personale dell’INPS nel secondo, che vi accedono con un altro ruolo.
A cambiare, a seconda dei casi, sono le risorse dei due siti a cui si può avere accesso e le azioni che si possono compiere. Mentre noi possiamo avere accesso solo al nostro fascicolo e alla nostra area riservata, principalmente per visualizzare i nostri dati e richiedere determinate prestazioni, il personale sanitario o previdenziale ha accesso anche ad altre aree del sito e può compiere azioni differenti da quelle che possiamo compiere noi.
