Close
Cerca

Introduzione ai processi di autenticazione

Cos'è, quali sono i fattori di autenticazione e cosa cambia tra autenticazione a singolo fattore e a doppio fattore
Amo a cui è attaccato un pezzo di carta che riporta username e password, a indicare i processi di autenticazione.
Tempo di lettura: 3 minuti

Indice dei contenuti

di Pierluigi Paganini*

In questo articolo facciamo una breve introduzione ai processi di autenticazione, distinguendo tra autenticazione a singolo fattore e autenticazione a doppio fattore e vedendo la differenza tra autenticazione e autorizzazione.

Cos’è l’autenticazione

Per sapere cos’è l’autenticazione e in che modo si differenzia dall’identificazione, vi rimandiamo a questo nostro articolo in cui affrontiamo in maniera approfondito l’argomento.

Ogni giorno utilizziamo un numero considerevole di servizi web la maggior parte dei quali richiede ai propri utenti di avviare processi di autenticazione per validarne l’identità.

Va innanzitutto specificato che i processi di autenticazione non sono una prerogativa dell’essere umano. È prassi comune, infatti, che due entità nel cyber spazio si autentichino l’un l’altra attraverso processi di autenticazione più o meno complessi.

Quali sono i fattori di autenticazione

Essenzialmente esistono i seguenti tre fattori di autenticazione, che possono essere usati nei processi di verifica dell’identità di un utente di un servizio:

1. qualcosa che l’utente conosce (ad esempio una password o un codice PIN)

2. qualcosa che l’utente ha (ad esempio, una carta d’identità, una smart card, un token su dispositivo mobile, un hardware dedicato oppure un software)

3. qualcosa che l’utente è (ad esempio un parametro biometrico come l’impronta digitale oppure la morfologia facciale)

La combinazione dei fattori sopra comprendono la definizione di un processo di autenticazione.

Per maggiori informazioni potete leggere questo nostro articolo, in cui approfondiamo l’argomento.

Autorizzazione vs Autenticazione

Un processo di autorizzazione è cosa diversa da uno di autenticazione.

L’autenticazione è il processo di verifica che “l’utente sia chi dice di essere”, l’autorizzazione è il processo di verifica di quanto “è permesso all’utente di fare”. L’autorizzazione presuppone quindi l’autenticazione.

Ad esempio, un cliente che mostra le proprie credenziali di identificazione a un ATM bancario chiede di essere autenticato ad agire per conto del titolare del conto. Un client la cui richiesta di autenticazione viene approvata diventa autorizzato per l’accesso ai conti del solo utente specifico, e non a quello di altri.

Processi di autenticazione a singolo fattore

Il metodo più semplice di autenticazione è quello a singolo fattore, ovvero per l’identificazione dell’utente è richiesta la verifica di uno solo dei fattori sopra elencati, ad esempio della coppia username e password (qualcosa che l’utente conosce).

Proprio la scelta delle password è argomento frequente di discussione perché gli utenti tendono a usare password semplici (nomi dei figli o date di nascita) e quindi facili da individuare.

Processi di autenticazione a doppio fattore

Per aumentare la sicurezza in fase di autenticazione si introduce quindi un secondo fattore tra i tre menzionati in precedenza. Il numero di fattori richiesti in fase di autenticazione ne identifica la tipologia.

Ad esempio, parleremo di doppio fattore di autenticazione se per l’autenticazione di un utente sarà richiesto l’uso di una smartcard (qualcosa che l’utente ha) e il PIN (qualcosa che l’utente conosce).

In maniera inconsapevole, quotidianamente usiamo processi di autenticazione a due fattori. Pensiamo, ad esempio, all’accesso al servizio di on-line banking, per il quale spesso forniamo un codice temporaneo generato a mezzo di un token.

Autenticazione a doppio fattore: pro e contro

L’adozione di un processo di autenticazione a due fattori incrementa la sicurezza degli accessi, ma non garantisce una protezione totale all’utente da crimini informatici come il furto di identità.

Attacchi basati su malware, attacchi di tipo Man-In-The-Middle e metodiche come il Man-In-The-Browser consentono di bypassare tale meccanismo di sicurezza.

Qualora il PC dell’utente dal quale si cerca di autenticarsi sia compromesso dalla presenza di un malware è possibile che il codice malevolo operi in nome dell’ignaro utente rubandone credenziali e codici autorizzativi.

Altro elemento da considerare per implementazione di un processo di autenticazione a due fattori è il costo, superiore rispetto a un’autenticazione semplice per la presenza dell’infrastruttura per la gestione del token e per i costi dei token stessi.

Schermata con dettaglio sistemi di autenticazione su Linkedin.

A questo punto, non resta che proteggere i nostri account online usando i processi di autenticazione più idonei alle nostre esigenze. Il mio personale consiglio è quello di attivare il doppio fattore di autenticazione se implementato dal servizio cui accediamo (Gmail, iCloud etc)


*Pierluigi Paganini

Membro Gruppo di Lavoro Cyber G7 2017 presso Ministero degli Esteri
Membro Gruppo Threat Landscape Stakeholder Group ENISA
Collaboratore SIPAF presso il Mef

TAG

Ascolta l'articolo

Ascolta l'articolo

Articoli più recenti

Condividi articolo