Cos'è l'autenticazione?

Cos'è l'autenticazione?

Nella sicurezza informatica, l'autenticazione è il processo di verifica dell'identità di qualcuno o qualcosa. L'autenticazione di solito avviene tramite la verifica di una password, un token hardware o un altro elemento informativo che dimostri l'identità. Proprio come un dipendente di una compagnia aerea controlla il passaporto o la carta d'identità di una persona quando sale a bordo di un aereo, i sistemi informatici devono essere certi che una persona sia realmente chi dice di essere. In aeroporto, questo processo di autenticazione garantisce che solo le persone in possesso di biglietto possano salire a bordo; nei sistemi digitali, garantisce che i dati vengano visualizzati e utilizzati dalle persone giuste.

L'autenticazione non si applica solo alla verifica degli utenti umani. I sistemi informatici devono anche controllare server, software, API e altri computer per essere certi che siano effettivamente chi "dicono" di essere.

In che modo viene utilizzata l'autenticazione in un contesto di sicurezza?

L'autenticazione è una parte importante della gestione delle identità e degli accessi (IAM), che definisce chi può visualizzare i dati e cosa può farne. Ma si applica anche a molte altre aree della sicurezza, tra cui:

• TLS: quasi tutti i principali siti Web oggi supportano Transport Layer Security (TLS). Il TLS, tra le altre funzioni, autentica l'identità di un server Web per garantire che i dispositivi degli utenti non carichino siti Web falsi.
• API: la maggior parte delle applicazioni Web moderne per funzionare si basa sulle API. Le API adeguatamente protette autenticano entrambi gli endpoint dell'integrazione API per prevenire attacchi diretti a tali API.
• E-mail: le e-mail sono autenticate tramite un processo denominato DomainKey Identified Mail (DKIM). Il DKIM aiuta a garantire che i messaggi e-mail provengano da server autorizzati a utilizzare il dominio (ad esempio, @cloudflare.com) da cui proviene l'e-mail. È probabile che i messaggi e-mail non autenticati finiscano nelle cartelle di spam.

Come funziona l'autenticazione?

Poiché un computer non può "riconoscere" una persona o un altro computer come farebbe un essere umano, il processo di autenticazione si basa su criteri oggettivi misurabili da un computer Un tipo di criteri oggettivi prevede il controllo di una certa qualità che la persona o il computer in questione possiede. Un altro prevede l'uso di una tecnologia chiamata crittografia a chiave pubblica per dimostrare l'identità.

Verifica dell'identità tramite fattori di autenticazione

Questo tipo di autenticazione comporta la verifica di una caratteristica misurabile dell'identità rispetto a un record digitale corrispondente. Le caratteristiche che un sistema di autenticazione verificherà sono chiamate "fattori di autenticazione". Oggi sono ampiamente utilizzati tre fattori di autenticazione comuni:

1. Qualcosa che la persona conosce

Questo fattore di autenticazione verifica una conoscenza segreta che solo la persona reale dovrebbe possedere. Una combinazione di nome utente e password è l'esempio classico di questo fattore. Anche le domande di sicurezza e i codici PIN sono degli esempi.

2. Qualcosa che la persona possiede

Questo fattore di autenticazione verifica se la persona possiede un oggetto fisico che le è stato rilasciato o che è noto che possiede. Molte persone utilizzano questo fattore di autenticazione ogni giorno: vivono in una casa o un appartamento che possono aprire con una chiave di metallo. Il possesso di questa chiave, pertanto, dimostra che sono autorizzati ad entrare nei locali e consente loro di farlo.

Nei sistemi digitali, questo fattore di autenticazione non si basa su un vecchio lucchetto con chiave ma utilizza un principio simile verificando la presenza di un token fisico. Esistono due tipi di token: token software e token hardware.

Token software: un token software prevede la verifica del possesso di un dispositivo, come uno smartphone, tramite l'invio di un codice al dispositivo e la richiesta all'utente di inserirlo. Il codice può essere inviato tramite SMS o attraverso un'app che genera codici casuali.

Token hardware: un token hardware è un piccolo dispositivo fisico che si connette a un computer o a un dispositivo mobile tramite Bluetooth, una porta USB o un'altra porta. Gli utenti devono collegare questo token al loro dispositivo per verificare la propria identità.

Alcuni esperti di sicurezza ritengono che i token hardware siano più sicuri dei token software. Un malintenzionato potrebbe intercettare da remoto un codice diretto al telefono di un utente e utilizzarlo per impersonare l'utente. Ma è molto più difficile rubare un token hardware: l'aggressore deve accedere fisicamente al token per farlo.

3. Qualcosa che la persona è

Questo fattore di autenticazione valuta le qualità intrinseche di una persona. Nella vita reale, le persone lo fanno continuamente: ad esempio, due amici possono riconoscersi dal loro aspetto o dal loro modo di parlare. Un computer potrebbe fare lo stesso scansionando il viso o la retina di una persona, verificandone l'impronta digitale, misurando le frequenze della voce o controllando i risultati di un esame del sangue (sebbene quest'ultimo sia più raro).

Fattori di autenticazione aggiuntivi

Alcuni operatori del settore della sicurezza hanno proposto o implementato ulteriori fattori di autenticazione oltre ai tre principali elencati sopra. Due di questi fattori aggiuntivi sono la posizione (dove si trova un utente) e l'ora (quando accede al sistema).

Verifica dell'identità tramite certificati digitali

Oltre all'utilizzo dei fattori di autenticazione descritti sopra, è possibile rilasciare certificati digitali anche a entità note e attendibili. Un certificato digitale è un piccolo file digitale che contiene informazioni per verificare l'identità, proprio come una carta d'identità contiene informazioni che verificano l'identità di una persona nella vita reale.

I certificati digitali ricevono una firma digitale dall'autorità che li emette per dimostrarne l'autenticità, proprio come un passaporto, una carta d'identità o una banconota possono avere una filigrana che ne attesta la non contraffazione.

Un certificato digitale contiene anche una stringa di valori casuali denominata chiave pubblica. La chiave pubblica corrisponde a una chiave privata che viene archiviata separatamente. L'entità che possiede il certificato può firmare digitalmente i dati con queste chiavi per dimostrare di possedere la chiave privata e quindi di essere autentica.

Attualmente, i certificati digitali non vengono spesso utilizzati per verificare l'identità delle singole persone. Ma la maggior parte delle persone fa affidamento quotidianamente sui certificati digitali senza rendersene conto.

Ogni volta che qualcuno carica un sito Web che utilizza HTTPS, la versione sicura di HTTP, il protocollo TLS utilizza il certificato digitale del sito Web (chiamato certificato SSL o certificato TLS) per autenticare il sito Web. DKIM, che autentica i mittenti delle e-mail, è un altro esempio di tecnologia che utilizza questo metodo anziché verificare i fattori di autenticazione. DKIM aiuta i provider di posta elettronica a smistare e bloccare le e-mail di spam.

Cos'è l'autenticazione a più fattori (MFA)?

L'autenticazione a più fattori (MFA) è il processo di verifica dell'identità di una persona tramite il controllo di due o più fattori di autenticazione, anziché di uno solo. L'autenticazione MFA è un tipo di autenticazione più efficace rispetto all'autenticazione a fattore singolo, perché è molto più difficile falsificare due di questi fattori rispetto a uno solo.

Un utente malintenzionato potrebbe essere in grado di rubare il nome utente e la password di Bob (magari tramite un attacco di phishing). Ma se Bob deve anche scansionare il suo volto, l'aggressore non sarà in grado di falsificare l'identità di Bob, poiché il suo volto non corrisponde a quello di Bob. Oppure, se Bob deve collegare un token hardware al suo computer oltre a inserire la sua password, l'aggressore dovrebbe rubare anche questo token. Sebbene possibile, un furto di questo tipo è molto più difficile, rendendo meno probabile il furto dell'account.

Per una vera MFA, è necessario controllare fattori separati. La valutazione di più istanze di un fattore non è un'MFA. Ad esempio, se un'applicazione richiede all'utente di inserire una password e di rispondere a domande di sicurezza per autenticarsi, si tratta comunque di autenticazione a fattore singolo. Sia l'inserimento della password che le domande di sicurezza valutano il fattore "qualcosa che si conosce".

Grazie alla maggiore sicurezza che offre, l'autenticazione a più fattori è un principio fondamentale della sicurezza Zero Trust e dell'ampio framework SASE, un modello di sicurezza che richiede la verifica dell'identità per ogni utente e dispositivo che accede a una rete privata.

Che cos'è l'autenticazione a due fattori (2FA)?

L'autenticazione a due fattori (2FA) è ciò che viene definita MFA quando vengono utilizzati esattamente due fattori. Il tipo più comune di autenticazione a due fattori è "qualcosa che conosci" + "qualcosa che possiedi". Ad esempio, oltre a inserire le proprie password, molte persone ricevono codici inviati al proprio telefono per poter accedere ai propri conti bancari (un esempio della versione "token software" di questo fattore).

Oggi, molte aziende utilizzano l'autenticazione a due fattori (2FA) per ridurre l'impatto degli attacchi di phishing. Ad esempio, Google è riuscita ad eliminare gli attacchi di acquisizione dell'account utilizzando l'autenticazione a due fattori (2FA) con token hardware.

Qual è la differenza tra autenticazione e autorizzazione?

Mentre l'autenticazione si occupa di verificare l'identità, l'autorizzazione riguarda i permessi, ovvero ciò che è consentito fare a un utente una volta ottenuto l'accesso a un sistema o a una risorsa protetta.

Supponiamo che Bob lavori nel reparto marketing della sua azienda. Bob inserisce la sua password, scansiona il suo viso e inserisce il suo token hardware per accedere alla rete della sua azienda. A questo punto, l'autenticazione è completata.

Dopo aver effettuato l'accesso, Bob non ha accesso a tutti i file di dati in possesso dell'azienda. L'autorizzazione determina cosa può e non può vedere Bob. In qualità di responsabile marketing, è autorizzato a visualizzare alcuni dati, come un elenco di potenziali clienti a cui l'azienda invierà messaggi di marketing, ma non altri dati, come il codice sorgente principale dell'azienda o l'elenco degli stipendi dei dipendenti.

Consulta il nostro articolo su autenticazione e autorizzazione per saperne di più.

Cos'è il Single Sign-on (SSO)?

I dipendenti delle aziende moderne devono autenticarsi per numerose applicazioni basate sul cloud. Ciò costringe i dipendenti a stabilire numerosi set di fattori di autenticazione, uno per ogni applicazione, e crea potenziali problemi di sicurezza:

• Un'applicazione con una sicurezza debole potrebbe consentire a un aggressore di comprometterla, quindi spostarsi lateralmente, compromettere gli altri account dell'applicazione dell'utente e diffondersi al resto dell'organizzazione.
• Richiedere agli utenti di accedere a più applicazioni li incentiva a smettere di seguire le buone pratiche di sicurezza. Un utente potrebbe iniziare a utilizzare password deboli o la stessa password per ogni applicazione, poiché può essere difficile memorizzare più password casuali di 16 cifre.

Il Single Sign-On (SSO) è un servizio che consente agli utenti di autenticarsi una sola volta. Gli utenti accedono al servizio SSO, che quindi trasmette questa autenticazione a ogni applicazione, inviando un messaggio di autenticazione digitale a ciascuna applicazione secondo necessità.

SSO offre inoltre ai team IT un unico punto in cui applicare i criteri di sicurezza. Non tutte le applicazioni supportano l'autenticazione a due fattori, ma se il servizio SSO la supporta, è comunque possibile utilizzarla. I team IT possono anche imporre requisiti di lunghezza e complessità delle password tramite un servizio SSO, riducendo così l'onere per gli utenti di ricordare più password.

Cos'è Security Assertion Markup Language (SAML)?

I messaggi di autenticazione SSO utilizzano un protocollo chiamato Security Assertion Markup Language (SAML). SAML è un metodo standardizzato per comunicare alle applicazioni esterne che un utente è chi afferma di essere.

Un messaggio che autentica un utente è chiamato "asserzione" SAML. Una volta che un'applicazione riceve un'asserzione SAML per un utente, non è necessario che autentichi l'utente autonomamente, perché sa che il servizio SSO lo ha già fatto.

SAML o OpenID Connect (OIDC)

OpenID Connect (OIDC) è un altro protocollo di autenticazione sempre più utilizzato dai provider SSO. OIDC funziona in modo simile a SAML, ma formatta i dati in modo diverso, tra le altre differenze: mentre SAML formatta i dati tramite XML, OIDC utilizza JSON.

In che modo la piattaforma Zero Trust di Cloudflare aiuta a garantire un'autenticazione efficace?

Cloudflare offre una piattaforma Zero Trust che funziona con tutti i principali provider SSO. Una volta che gli utenti si autenticano al loro servizio SSO, Cloudflare applica controlli di accesso coerenti tra le applicazioni cloud e in locale. Per saperne di più su questa piattaforma, che include isolamento del browser, un gateway Web sicuro, filtro DNS e altre funzionalità Zero Trust, consulta la pagina del prodotto.