Recentemente, la società di ricerca «Javelin Strategy & Research» ha pubblicato il rapporto «The State of Strong Authentication 2019». I suoi autori hanno raccolto informazioni sui metodi di autenticazione utilizzati nell'ambito aziendale e nelle applicazioni per utenti, e hanno tratto interessanti conclusioni sul futuro della rigorosa autenticazione.
La traduzione della prima parte con le conclusioni degli autori del rapporto, noi . Ora presentiamo alla vostra attenzione la seconda parte — con dati e grafici.
Dall'autore
Non copierò completamente l’intero blocco omonimo della prima parte, ma ripeterò un paragrafo.
Tutti i numeri e i fatti sono presentati senza alcuna modifica, e se non sei d'accordo con essi, è meglio discutere non con il traduttore, ma con gli autori del rapporto. Ecco i miei commenti (formattati come citazioni e evidenziati nel testo in corsivo) rappresentano il mio giudizio critico e sarò felice di discuterne (così come sulla qualità della traduzione).
Autenticazione utenti
Dal 2017, l'uso della rigorosa autenticazione nelle applicazioni per utenti è aumentato drasticamente, principalmente grazie alla disponibilità di metodi crittografici di autenticazione sui dispositivi mobili, sebbene una percentuale leggermente inferiore di aziende utilizzi la rigorosa autenticazione per le applicazioni web.
In generale, la percentuale di aziende che utilizzano la rigorosa autenticazione nel proprio business è aumentata di tre volte, passando dal 5% nel 2017 al 16% nel 2018 (Figura 3).
Le possibilità di utilizzare la rigorosa autenticazione per le web-app sono ancora limitate (a causa del fatto che solo le versioni più recenti di alcuni browser supportano l'interazione con i token crittografici, tuttavia questo problema viene risolto mediante l'installazione di software aggiuntivo, come ), quindi molte aziende utilizzano metodi alternativi per l'autenticazione online, come le applicazioni per dispositivi mobili che generano password monouso.
Chiavi crittografiche hardware (qui si intendono solo quelle conformi agli standard FIDO), come quelle offerte da Google, Feitian, One Span e Yubico possono essere utilizzate per la rigorosa autenticazione senza installare software aggiuntivo sui computer desktop e laptop (perché la maggior parte dei browser supporta già lo standard WebAuthn di FIDO), ma solo il 3% delle aziende utilizza questa possibilità per il login dei propri utenti.
Confronto di token crittografici (come ) e delle chiavi segrete che operano secondo gli standard FIDO, va oltre il presente rapporto e le mie osservazioni sullo stesso. In sintesi, entrambi i tipi di token utilizzano algoritmi e principi di funzionamento simili. I token FIDO al momento sono meglio supportati dai produttori di browser, ma la situazione cambierà presto man mano che sempre più browser inizieranno a supportare . Tuttavia, i token crittografici classici sono protetti da un codice PIN, possono firmare documenti elettronici e essere utilizzati per l'autenticazione a due fattori in Windows (di qualsiasi versione), Linux e Mac OS X, hanno API per diversi linguaggi di programmazione che consentono di implementare 2FA ed EP in applicazioni desktop, mobili e Web, e i token prodotti in Russia supportano gli algoritmi russi GOST. In ogni caso, il token crittografico, indipendentemente dallo standard con cui è stato creato, è il metodo di autenticazione più affidabile e conveniente.
Oltre alla sicurezza: altri vantaggi dell'autenticazione rigorosa
Non sorprende che l'uso dell'autenticazione rigorosa sia strettamente legato all'importanza dei dati conservati dalle aziende. Le aziende che conservano informazioni personali riservate (Personally Identifiable Information – PII), come i numeri di previdenza sociale o le informazioni mediche personali (Personal Health Information – PHI), affrontano la maggiore pressione legale e normativa. Queste aziende sono anche le più attive sostenitrici dell'autenticazione rigorosa. La pressione sulle aziende aumenta a causa delle aspettative dei clienti, che vogliono sapere che le organizzazioni a cui affidano i loro dati più riservati utilizzano metodi di autenticazione sicuri. Le organizzazioni che trattano PII o PHI sensibili utilizzano l'autenticazione rigorosa più del doppio rispetto alle organizzazioni che conservano solo le informazioni di contatto degli utenti (figura 7).
Sfortunatamente, le aziende non sono ancora pronte a implementare metodi di autenticazione affidabili. Quasi un terzo dei decisori aziendali considera le password il metodo di autenticazione più efficace tra tutti quelli elencati nella figura 9, mentre il 43% considera le password il metodo di autenticazione più semplice.
Questo diagramma dimostra che gli sviluppatori di applicazioni aziendali in tutto il mondo sono simili... Non vedono alcun vantaggio nell'implementare meccanismi avanzati di protezione degli accessi agli account e condividono gli stessi equivoci. Solo l'azione dei regolatori può cambiare la situazione.
Non tocchiamo le password. Ma in cosa bisogna credere per pensare che le domande di sicurezza siano più sicure dei token crittografici?? L'efficacia delle domande di sicurezza, che sono facilmente indovinabili, è stata valutata al 15%, mentre quella dei token non vulnerabili è solo del 10. Anche solo guardare il film "Now You See Me", che pur essendo in forma allegorica, mostra quanto sia facile per i maghi ottenere tutte le risposte necessarie da un imprenditore truffatore, lasciandolo senza soldi.
Un ulteriore fatto evidenzia la qualificazione di chi è responsabile dei meccanismi di sicurezza nelle applicazioni per utenti. Per loro, il processo di immissione della password è un'operazione più semplice rispetto all'autenticazione tramite token crittografico. Anche se, a pensarci bene, cosa potrebbe essere più semplice che collegare un token a una porta USB e inserire un semplice codice PIN.
È importante notare che l'implementazione di un'autenticazione rigorosa consente alle aziende di non doversi più preoccupare dei metodi di autenticazione e delle politiche necessarie per bloccare schemi fraudolenti, soddisfacendo le reali esigenze dei propri clienti.
Mentre conformarsi ai requisiti normativi è un obiettivo del tutto ragionevole sia per le aziende che utilizzano un'autenticazione rigorosa sia per quelle che non lo fanno, le aziende che già utilizzano l'autenticazione rigorosa sono molto più propense a dire che aumentare la fedeltà dei clienti è l'indicatore più importante che considerano nella valutazione del metodo di autenticazione. (18% contro 12%) (figura 10).
Autenticazione aziendale
Dal 2017, l'implementazione dell'autenticazione rigorosa nelle aziende è in crescita, ma leggermente più contenuta rispetto alle applicazioni consumer. La percentuale di aziende che utilizzano l'autenticazione rigorosa è aumentata dal 7% nel 2017 al 12% nel 2018. A differenza delle applicazioni per utenti, nell'ambiente aziendale l'uso di metodi di autenticazione non basati su password è leggermente più diffuso nelle applicazioni web rispetto ai dispositivi mobili. Circa la metà delle aziende riporta di utilizzare solo nomi utente e password per autenticare i propri utenti all'accesso del sistema, con un quinto di esse (22%) che si affida esclusivamente alle password per l'autenticazione secondaria quando si accede a dati particolarmente importanti.cioè, l'utente inizia a effettuare il login nell'applicazione utilizzando un metodo di autenticazione più semplice, e se desidera accedere a dati critici, eseguirà un ulteriore processo di autenticazione, di solito utilizzando un metodo più sicuro.).
È importante notare che nel rapporto non è stato considerato l'uso di token crittografici per l'autenticazione a due fattori nei sistemi operativi Windows, Linux e Mac OS X. Attualmente, questo rappresenta il più comune uso della 2FA. (Purtroppo, i token creati secondo gli standard FIDO possono implementare la 2FA solo per Windows 10).
Infatti, mentre per implementare la 2FA nelle applicazioni online e mobili è necessaria una serie di interventi, che includono lo sviluppo di queste applicazioni, per implementare la 2FA in Windows è sufficiente configurare un PKI (ad esempio, basato su Microsoft Certification Server) e le politiche di autenticazione in AD.
E dato che la protezione dell'accesso a un PC aziendale e al dominio è un elemento cruciale nella protezione dei dati aziendali, il numero di implementazioni di autenticazione a due fattori sta aumentando costantemente.
I due metodi di autenticazione più comuni per l'accesso degli utenti al sistema sono le password usa e getta fornite tramite un'apposita applicazione (13% delle aziende) e le password usa e getta inviate tramite SMS (12%). Anche se la percentuale di utilizzo di entrambi i metodi è abbastanza simile, le OTP via SMS vengono utilizzate più frequentemente per aumentare il livello di autorizzazione (nel 24% delle aziende). (Figura 12).
La crescita dell'uso dell'autenticazione rigorosa in azienda può essere spiegata con la maggiore disponibilità di implementazioni di metodi crittografici di autenticazione sulle piattaforme di gestione dell'identità aziendale (in parole semplici, i sistemi aziendali SSO e IAM hanno imparato a utilizzare i token).
Per l'autenticazione mobile di dipendenti e collaboratori, le aziende fanno maggiormente affidamento su password rispetto all'autenticazione nelle applicazioni consumer. Poco più della metà (53%) delle aziende utilizza password per autenticare l'accesso degli utenti ai dati aziendali tramite dispositivi mobili (Figura 13).
Nel caso dei dispositivi mobili, si potrebbe credere nella grande forza della biometria, se non fosse per i numerosi casi di falsificazione di impronte digitali, voci, volti e persino iridi. Una ricerca in un motore di ricerca mostrerà che non esiste un metodo sicuro di autenticazione biometrica. Sensori veramente precisi esistono, ma sono piuttosto costosi e di grandi dimensioni — e non vengono installati negli smartphone.
Pertanto, l'unico metodo funzionante di 2FA sui dispositivi mobili è l'uso di token crittografici che si collegano allo smartphone tramite interfacce NFC, Bluetooth e USB Type-C.
La protezione dei dati finanziari dell'azienda è la principale motivazione per gli investimenti nell'autenticazione senza password (44%), con la crescita più rapida dal 2017 (un aumento di otto punti percentuali). Seguono la protezione della proprietà intellettuale (40%) e dei dati HR (39%). E non sorprende — oltre al fatto che il valore associato a questi tipi di dati è ampiamente riconosciuto, è relativamente un numero limitato di dipendenti a lavorare con essi. Ciò significa che i costi di implementazione non sono così elevati e che per insegnare a lavorare con un sistema di autenticazione più complesso bastano solo poche persone. Al contrario, i tipi di dati e dispositivi a cui si rivolgono la maggior parte dei dipendenti dell'azienda sono ancora protetti esclusivamente da password. I documenti dei dipendenti, le workstation e i portali aziendali email sono le aree a maggior rischio, poiché solo un quarto delle aziende protegge questi beni tramite autenticazione senza password (Figura 14).
In generale, la posta elettronica aziendale è piuttosto pericolosa e "porosa", e il grado di pericolo potenziale è sottovalutato dalla maggior parte dei direttori IT. Ogni giorno, i dipendenti ricevono dozzine di email, quindi perché non dovrebbe capitarne almeno una di phishing (cioè fraudolenta). Questa email sarà formattata nello stile delle comunicazioni aziendali, quindi il dipendente potrebbe cliccare senza preoccupazioni sul link contenuto in essa. E poi può succedere di tutto, come il download di un virus sulla macchina attaccata o il furto di password (incluso attraverso tecniche di ingegneria sociale, tramite l'inserimento in un modulo di autenticazione falso creato dal malintenzionato).
Per evitare che cose del genere accadano, le email devono essere firmate. In questo modo, sarà subito chiaro quale email è stata creata da un dipendente legittimo e quale da un malintenzionato. In Outlook / Exchange, ad esempio, la firma elettronica basata su token crittografici viene attivata piuttosto rapidamente e facilmente e può essere utilizzata insieme all'autenticazione a due fattori per PC e domini Windows.
Tra i direttori che si affidano esclusivamente all'autenticazione tramite password all'interno dell'azienda, due terzi (66%) lo fanno perché credono che le password offrano una sicurezza sufficiente per il tipo di informazioni che la loro azienda deve proteggere (figura 15).
Ma i metodi di autenticazione rigorosa stanno diventando sempre più diffusi. Questo anche grazie alla loro crescente accessibilità. Questo significa che un numero sempre maggiore di sistemi di gestione delle identità e degli accessi (IAM), browser e sistemi operativi supportano l'autenticazione tramite token crittografici.
La rigorosa autenticazione ha anche un ulteriore vantaggio. Poiché la password non viene più utilizzata (sostituita da un semplice codice PIN), non ci sono più richieste da parte dei dipendenti per cambiare una password dimenticata. Questo, a sua volta, riduce il carico sul dipartimento IT dell'azienda.
Risultati e conclusioni
- I dirigenti spesso non possiedono le conoscenze necessarie per valutare l'efficacia reale delle diverse opzioni di autenticazione. Sono abituati a fidarsi di metodi di protezione obsoleti come le password e le domande segrete semplicemente perché "prima funzionavano".
- Gli utenti possiedono queste conoscenze ancora in misura minore, per loro l'importante è semplicità e comodità. Finché non hanno motivi per scegliere soluzioni più sicure.
- Gli sviluppatori di applicazioni utente spesso non hanno motivi, per implementare l'autenticazione a due fattori al posto delle password. La concorrenza in termini di livello di protezione nelle applicazioni utente è assente.
- La responsabilità per l'hacking è scaricata sull'utente. Ha fornito una password usa e getta a un malintenzionato – è colpa sua. La tua password è stata intercettata o spiata – è colpa sua. Non ha richiesto allo sviluppatore di utilizzare metodi di autenticazione sicuri nel prodotto – è colpa sua.
- Il giusto regolatore dovrebbe innanzitutto richiedere alle aziende l'implementazione di soluzioni che blocchino le fughe di dati (in particolare l'autenticazione a due fattori), e non punire per una fuga di dati già avvenuta.
- Al alcuni sviluppatori di software cercano di vendere ai consumatori prodotti vecchi e non particolarmente sicuri risolvere in un bel pacchetto di un prodotto “innovativo”. Ad esempio, l'autenticazione tramite legame a uno smartphone specifico o l'uso della biometria. Come si può vedere dalla relazione, solo una soluzione basata su una rigida autenticazione, ossia token crittografici, è veramente sicura. Lo stesso token crittografico può essere utilizzato per
- una serie di scopi : per una rigida autenticazionenel sistema operativo dell'azienda, in applicazioni aziendali e utente, per la firma elettronica di transazioni finanziarie (importante per le applicazioni bancarie), documenti ed email. 🥇E che fine farà l'autenticazione e le password? La seconda parte del rapporto Javelin "Lo stato della rigida autenticazione" | ProHoster Stato della rigida autenticazione
Fonte: habr.com
