Cosa succederà con l'autenticazione e le password? Traduzione del rapporto Javelin "Stato dell'autenticazione rigorosa" con commenti

Il sommario del rapporto «Il numero di casi di utilizzo della forte autenticazione è aumentato a causa delle minacce di nuovi rischi e delle richieste dei regolatori».
La società di ricerca «Javelin Strategy & Research» ha pubblicato il rapporto «The State of Strong Authentication 2019» ( l'originale in formato pdf può essere scaricato qui). In questo rapporto si afferma: quale percentuale di aziende americane ed europee utilizza le password (e perché oggi poche persone usano password); perché cresce rapidamente la percentuale di utilizzo dell'autenticazione a due fattori basata su token crittografici; perché i codici monouso inviati tramite SMS non sono sicuri.

A tutti coloro che sono interessati al tema dell'autenticazione attuale, passata e futura nelle applicazioni aziendali e per gli utenti—benvenuti.

Dall'autore

Purtroppo, il linguaggio in cui è scritto questo rapporto è piuttosto «secco» e formale. E il ricorso ripetuto alla parola «autenticazione» in una breve frase non è dovuto alle mani (o alle menti) del traduttore, ma è una scelta degli autori. Nella traduzione, tra due opzioni — dare ai lettori un testo più vicino all'originale oppure un testo più interessante, a volte ho scelto la prima, altre volte la seconda. Ma abbiate pazienza, cari lettori, il contenuto del rapporto ne vale la pena.

Alcuni passaggi insignificanti e non necessari per la narrazione sono stati omessi, altrimenti la maggior parte non avrebbe potuto gestire l'intero testo. Coloro che desiderano consultare il rapporto «senza filtri» possono farlo nella lingua originale seguendo il link.

Sfortunatamente, gli autori non sempre prestano attenzione alla terminologia. Così, a volte chiamano le password monouso (One Time Password – OTP) semplicemente «password», altre volte «codici». Con i metodi di autenticazione è anche peggio. Per un lettore inesperto non è sempre facile intuire che «autenticazione basata su chiavi crittografiche» e «forte autenticazione» siano la stessa cosa. Ho cercato di unificare al massimo i termini; inoltre nel rapporto stesso c'è un frammento che ne descrive alcuni.

Tuttavia, il rapporto è altamente raccomandato per la lettura, poiché contiene risultati unici di ricerche e conclusioni corrette.

Tutti i numeri e i fatti sono presentati senza alcuna modifica, e se non sei d'accordo con essi, è meglio discutere non con il traduttore, ma con gli autori del rapporto. Ecco i miei commenti (formattati come citazioni e evidenziati nel testo in corsivo) rappresentano il mio giudizio critico e sarò felice di discuterne (così come sulla qualità della traduzione).

Panoramica

Oggi i canali digitali di comunicazione con i clienti sono più importanti che mai per le aziende. E anche all'interno dell'impresa, le comunicazioni tra i dipendenti sono più orientate verso l'ambiente digitale che mai. E quanto saranno sicuri questi interazioni dipende dal metodo di autenticazione degli utenti scelto. Gli aggressori sfruttano un'autenticazione debole per effettuare attacchi di massa agli account degli utenti. In risposta, le autorità di regolamentazione stanno inasprendo gli standard per costringere le aziende a proteggere meglio gli account e i dati degli utenti.

Le minacce legate all'autenticazione non si limitano alle applicazioni consumer, gli aggressori possono accedere anche all'applicazione aziendale. Questa operazione consente loro di impersonare gli utenti aziendali. Utilizzando punti di accesso con autenticazione debole, gli aggressori possono rubare dati ed eseguire altre attività fraudolente. Fortunatamente, ci sono misure per combattere questo. Un'autenticazione rigorosa contribuirà a ridurre significativamente il rischio di attacchi da parte di aggressori, sia sulle applicazioni consumer che sui sistemi aziendali delle imprese.

In questo studio si esamina: come le aziende implementano l'autenticazione per proteggere le applicazioni per gli utenti e i sistemi aziendali; i fattori che considerano nella scelta di una soluzione di autenticazione; il ruolo che gioca l'autenticazione rigorosa nelle loro organizzazioni; i vantaggi che queste organizzazioni ottengono.

Riepilogo

Conclusioni principali

Dal 2017, la percentuale di utilizzo dell'autenticazione rigorosa è aumentata drasticamente. Con l'aumento del numero di vulnerabilità che colpiscono le soluzioni tradizionali di autenticazione, le organizzazioni stanno potenziando le loro capacità di autenticazione attraverso l'autenticazione rigorosa. Il numero di organizzazioni che utilizzano l'autenticazione multifattoriale basata su crittografia (MFA) è triplicato dal 2017 per i consumatori e aumentato di quasi il 50% per le applicazioni aziendali. La crescita più rapida si osserva nell'autenticazione mobile a causa della crescente disponibilità dell'autenticazione biometrica.

Qui vediamo un'illustrazione del detto "fino a che il tuono non colpisce, l'uomo non si segna". Quando gli esperti avvisavano dell'inaffidabilità delle password, nessuno si affrettava ad adottare l'autenticazione a due fattori. Non appena gli hacker hanno iniziato a rubare le password, la gente ha cominciato ad adottare l'autenticazione a due fattori.

In realtà, i privati sono molto più attivi nell'implementare il 2FA. In primo luogo, per loro è più facile placare le proprie paure contando sull'autenticazione biometrica integrata negli smartphone, che è in effetti piuttosto inaffidabile. Le organizzazioni, invece, devono spendere per acquistare token e fare lavori (in realtà piuttosto semplici) per la loro implementazione. Inoltre, di perdite di password da servizi come Facebook e Dropbox non ha parlato solo chi era pigro, mentre le storie su come venivano rubate le password (e cosa è successo dopo) nelle organizzazioni, i direttori IT di queste organizzazioni non le condivideranno mai.

Coloro che non utilizzano autenticazione rigorosa sottovalutano il proprio rischio per il business e i clienti. Alcune organizzazioni che attualmente non utilizzano autenticazione rigorosa tendono a considerare login e password come uno dei metodi di autenticazione degli utenti più efficaci e facili da usare. Altre non vedono il valore degli asset digitali di cui dispongono. Infatti, non si deve dimenticare che ai criminali informatici interessa qualsiasi informazione consumer e aziendale. Due terzi delle aziende che utilizzano solo password per autenticare i propri dipendenti lo fanno perché ritengono che le password siano abbastanza valide per il tipo di informazioni che proteggono.

Tuttavia, le password sono sulla strada del "oblio". Nell'ultimo anno, la dipendenza dalle password è diminuita significativamente, sia per le applicazioni consumer che per quelle aziendali (dal 44% al 31% e dal 56% al 47% rispettivamente), poiché le organizzazioni stanno ampliando l'uso della MFA tradizionale e dell'autenticazione rigorosa.
Tuttavia, se si valuta la situazione nel complesso, i metodi di autenticazione vulnerabili continuano a prevalere. Per l'autenticazione degli utenti, circa un quarto delle organizzazioni utilizza SMS OTP (password monouso) insieme a domande segrete. Di conseguenza, per proteggersi dalle vulnerabilità, è necessario implementare misure di sicurezza aggiuntive, il che aumenta i costi. L'uso di metodi di autenticazione molto più sicuri, come le chiavi crittografiche hardware, è molto meno comune, essendo applicato in circa il 5% delle organizzazioni.

Il contesto normativo in evoluzione promette di accelerare l'implementazione dell'autenticazione rigorosa per le applicazioni consumer. Con l'introduzione della PSD2, insieme a nuove normative sulla protezione dei dati nell'UE e in diversi stati degli USA, come la California, le aziende sentono la pressione. Quasi il 70% delle aziende concorda sul fatto che stanno affrontando una forte pressione normativa per garantire un'autenticazione rigorosa per i propri clienti. Oltre la metà delle imprese ritiene che tra qualche anno i loro metodi di autenticazione non saranno sufficienti per rispettare gli standard normativi.

Si nota chiaramente la differenza tra l'approccio dei legislatori russi e quello americano-europeo nella protezione dei dati personali degli utenti di programmi e servizi. I russi dicono: cari proprietari di servizi, fate quello che volete e come volete, ma se il vostro admin perde il database, vi sanzioneremo. All'estero dicono: dovete implementare un insieme di misure che non permetta di perdere il database. È proprio per questo che lì vengono implementati a pieno le richieste di una rigorosa autenticazione a due fattori.
Tuttavia, non è affatto da escludere che la nostra macchina legislativa, un giorno, si renda conto della situazione e tenga conto dell'esperienza occidentale. Allora tutti scopriranno che è necessario implementare la 2FA, in conformità con gli standard crittografici russi, e ciò con urgenza.

La creazione di una base di autenticazione sicura consente alle aziende di spostare l'attenzione dalla conformità alle normative alla soddisfazione delle esigenze dei clienti. Per le organizzazioni che utilizzano ancora password semplici o ricevono codici tramite SMS, il fattore più importante nella scelta del metodo di autenticazione sarà la conformità alle normative. Le aziende che già utilizzano metodi di autenticazione rigorosi possono concentrarsi sulla selezione di metodi che aumentano la fedeltà dei clienti.

Quando si sceglie un metodo di autenticazione aziendale all'interno di un'impresa, i requisiti dei regolatori non sono più un fattore significativo. In questo caso, la semplicità di integrazione (32%) e il costo (26%) sono molto più importanti.

Nell'era del phishing, i malintenzionati possono utilizzare le email aziendali per frodi, cercando di ottenere accesso ai dati, agli account (con i relativi diritti di accesso) e persino di convincere i dipendenti a effettuare un bonifico sul proprio conto. Pertanto, gli account di posta elettronica aziendale e dei portali devono essere particolarmente ben protetti.

Google ha potenziato la propria sicurezza introducendo un'autenticazione rigorosa. Più di due anni fa, Google ha pubblicato un rapporto sull'implementazione dell'autenticazione a due fattori basata su chiavi crittografiche di sicurezza secondo lo standard FIDO U2F, riportando risultati notevoli. Secondo l'azienda, non si è verificata alcuna attacco di phishing contro oltre 85.000 dipendenti.

Raccomandazioni

Implementate l'autenticazione rigorosa per applicazioni mobili e online. L'autenticazione multifattoriale basata su chiavi crittografiche offre una protezione molto più sicura contro gli attacchi rispetto ai metodi MFA tradizionali. Inoltre, l'uso di chiavi crittografiche è molto più comodo, poiché non è necessario utilizzare e trasmettere informazioni aggiuntive — password, password usa e getta o dati biometrici dal dispositivo dell'utente al server di autenticazione. Inoltre, la standardizzazione dei protocolli di autenticazione consente di implementare nuovi metodi di autenticazione in modo molto più semplice man mano che emergono, riducendo i costi di utilizzo e proteggendo contro schemi di frode più complessi.

Preparati al tramonto delle password usa e getta (OTP). Le vulnerabilità associate agli OTP stanno diventando sempre più evidenti, in una situazione in cui i criminali informatici utilizzano l'ingegneria sociale, il cloning degli smartphone e il malware per compromettere questi mezzi di autenticazione. E sebbene gli OTP possano presentare alcuni vantaggi in determinate circostanze, questo è vero solo dal punto di vista della disponibilità universale per tutti gli utenti, ma non da quello della sicurezza.

Non si può negare che il ricevimento dei codici via SMS o notifiche Push, così come la generazione dei codici tramite app per smartphone, rappresenti proprio l'uso di quelle stesse password usa e getta (OTP) a cui ci si invita a prepararci per il loro declino. Tecnologicamente, si tratta di una scelta molto corretta, poiché è raro che un truffatore non cerchi di estorcere una password usa e getta a un utente fiducioso. Ma penso che i produttori di tali sistemi si aggrapperanno a questa tecnologia in via di estinzione fino all'ultimo.

Utilizza l'autenticazione rigorosa come strumento di marketing per aumentare la fiducia dei clienti. L'autenticazione rigorosa può non solo migliorare la sicurezza effettiva della tua attività. Informare i clienti che la tua azienda utilizza l'autenticazione rigorosa può rafforzare la percezione pubblica della sicurezza di questa attività — un fattore importante quando c'è una domanda significativa da parte dei clienti per metodi di autenticazione affidabili.

Esegui un'attenta inventaria e valutazione dell'importanza dei dati aziendali e proteggili in base alla loro criticità. Anche i dati a basso rischio, come le informazioni di contatto dei clienti (no, infatti, nel rapporto si dice proprio 'low-risk', è molto strano che sottovalutino l'importanza di queste informazioni), possono rivelarsi di grande valore per i truffatori e causare problemi all'azienda.

Utilizza l'autenticazione rigorosa in azienda. Alcuni sistemi sono le mete più attraenti per i criminali. Questi includono sistemi interni e connessi a Internet, come programmi di contabilità o archivi di dati aziendali. L'autenticazione rigorosa impedisce ai malintenzionati di ottenere accessi non autorizzati e permette anche di determinare esattamente quale dipendente ha effettuato attività malevole.

Che cos'è l'autenticazione forte?

Nell'uso dell'autenticazione forte per verificare l'autenticità dell'utente vengono utilizzati diversi metodi o fattori:

• Fattore di conoscenza: un segreto condiviso tra l'utente e il soggetto di autenticazione (ad esempio, password, risposte a domande segrete, ecc.)
• Fattore di possesso: un dispositivo di cui dispone solo l'utente (ad esempio, un dispositivo mobile, una chiave crittografica, ecc.)
• Fattore di inalienabilità: caratteristiche fisiche (spesso biometriche) dell'utente (ad esempio, impronta digitale, modello dell'iride dell'occhio, voce, comportamento, ecc.)

La necessità di violare più fattori aumenta significativamente la probabilità di fallimento per gli aggressori, poiché eludere o ingannare diversi fattori richiede l'uso di diversi tipi di tattiche di attacco, ciascuna per ogni fattore.

Ad esempio, con l'autenticazione a due fattori "password + smartphone", un aggressore può autenticarsi osservando la password dell'utente e creando una copia esatta del suo smartphone. Questo è molto più difficile che semplicemente rubare la password.

Ma se per l'autenticazione a due fattori si utilizza una password e un token crittografico, l'opzione con la copia non funziona – non è possibile duplicare un token. Il truffatore dovrà rubare furtivamente il token all'utente. Se l'utente nota tempestivamente la scomparsa e avvisa l'amministratore, il token sarà bloccato e gli sforzi del truffatore falliranno. È per questo che per il fattore di possesso è necessario utilizzare dispositivi protetti specializzati (token), non dispositivi generici (smartphone).

L'uso di tutti e tre i fattori renderà questo metodo di autenticazione piuttosto costoso da implementare e abbastanza scomodo da utilizzare. Pertanto, di solito vengono utilizzati due fattori su tre.

I principi dell'autenticazione a due fattori sono descritti in modo più dettagliato qui, nel blocco 'Come funziona l'autenticazione a due fattori'.

È importante notare che almeno uno dei fattori di autenticazione utilizzati nell'autenticazione forte deve utilizzare la crittografia basata su chiave pubblica.

L'autenticazione rigorosa offre una protezione molto più seria rispetto all'autenticazione a un fattore basata su password classiche e al tradizionale MFA. Le password possono essere intercettate o rubate tramite keylogger, siti di phishing o attacchi basati su ingegneria sociale (quando la vittima ingannata rivela la propria password). Inoltre, il proprietario della password non avrà idea del furto. Il tradizionale MFA (che include codici OTP, associazione a smartphone o SIM) può anch'esso essere facilmente compromesso, poiché non si basa sulla crittografia a chiave pubblica.A proposito, ci sono molti esempi in cui utilizzando tecniche di ingegneria sociale, i truffatori hanno convincentemente persuaso gli utenti a rivelare loro la password usa e getta.).

Fortunatamente, dall'anno scorso l'uso dell'autenticazione rigorosa e del tradizionale MFA sta guadagnando terreno sia nelle applicazioni consumer che in quelle aziendali. L'uso dell'autenticazione rigorosa nelle applicazioni consumer è aumentato particolarmente rapidamente. Se nel 2017 solo il 5% delle aziende la utilizzava, nel 2018 il numero è triplicato – 16%. Ciò può essere spiegato con la maggiore disponibilità di token che supportano algoritmi di crittografia a chiave pubblica (Public Key Cryptography – PKC). Inoltre, l'intensificazione della pressione da parte dei regolatori europei in seguito all'adozione di nuove normative sulla protezione delle informazioni, come PSD2 e GDPR, ha avuto un forte impatto anche al di fuori dell'Europa.inclusa la Russia.).

Diamo un'occhiata a questi numeri più da vicino. Come possiamo vedere, la percentuale di privati che utilizzano l'autenticazione multifattoriale è aumentata di un impressionante 11% nell'anno. Questo è chiaramente avvenuto a spese degli amanti delle password, poiché i numeri di coloro che credono nella sicurezza delle notifiche Push, SMS e della biometria non sono cambiati.

Tuttavia, per l'autenticazione a due fattori nell'ambito aziendale la situazione non è così rosea. In primo luogo, secondo il rapporto, solo il 5% dei dipendenti è passato dall'autenticazione con password ai token. In secondo luogo, è aumentato del 4% il numero di coloro che nella sfera aziendale utilizzano alternative al MFA.

Proverò a svolgere il ruolo di analista e darò la mia interpretazione. Al centro del mondo digitale degli utenti individuali si trova lo smartphone. Non sorprende quindi che la maggior parte delle persone utilizzi le funzionalità offerte dal dispositivo: l'autenticazione biometrica, gli SMS e le notifiche Push, così come le password usa e getta generate dalle applicazioni sullo smartphone stesso. Di solito le persone non riflettono sulla sicurezza e sull'affidabilità degli strumenti a loro familiari.

Ecco perché la percentuale di utenti che si affida a fattori di autenticazione "tradizionali" rimane invariata. Tuttavia, coloro che in precedenza utilizzavano password comprendono quanto siano a rischio e, nella scelta di un nuovo fattore di autenticazione, optano per l'opzione più recente e sicura: il token crittografico.

Per quanto riguarda il mercato aziendale, è importante capire in quale sistema si effettua l'autenticazione. Se si tratta di un accesso a un dominio Windows, si utilizzano i token crittografici. Le possibilità di utilizzo per la 2FA sono già integrate sia in Windows che in Linux, e implementare alternative è lungo e complesso. Ecco a voi la migrazione del 5% dalle password ai token.

L'implementazione della 2FA nei sistemi informativi aziendali dipende fortemente dalle competenze degli sviluppatori. Gli sviluppatori trovano molto più semplice utilizzare moduli già pronti per generare password usa e getta piuttosto che comprendere il funzionamento degli algoritmi crittografici. Di conseguenza, anche le applicazioni incredibilmente critiche per la sicurezza, come i sistemi Single Sign-On o Privileged Access Management, utilizzano OTP come secondo fattore.

Molteplici vulnerabilità nei metodi di autentificazione tradizionali

Nonostante molte organizzazioni restino dipendenti da sistemi usa e getta obsoleti, le vulnerabilità nell'autenticazione multifattore tradizionale diventano sempre più evidenti. Le password usa e getta, di solito lunghe da sei a otto caratteri e consegnate tramite SMS, rimangono la forma di autenticazione più comune (ovviamente oltre al fattore di conoscenza della password). E quando nella stampa popolare si menzionano le parole "autenticazione a due fattori" o "verifica a due passaggi", queste si riferiscono quasi sempre all'autenticazione tramite password usa e getta via SMS.

Qui l'autore commette un errore. La consegna di password usa e getta tramite SMS non è mai stata un'autenticazione a due fattori. Si tratta del secondo passo puro dell'autenticazione a due passi, dove il primo passo è l'inserimento di nome utente e password.

Nel 2016, il National Institute of Standards and Technology (NIST) ha aggiornato le proprie linee guida di autenticazione per escludere l'uso di password usa e getta inviate tramite SMS. Tuttavia, queste regole sono state significativamente attenuate dopo le proteste del settore.

Quindi, seguiamo la trama. Il regolatore americano riconosce giustamente che la tecnologia obsoleta non riesce a garantire la sicurezza degli utenti e introduce nuovi standard. Standard progettati per proteggere gli utenti delle applicazioni online e mobili (compreso il settore bancario). Il settore sta valutando quanto denaro dovrà investire nell'acquisto di token crittografici veramente affidabili, nella ristrutturazione delle applicazioni, nel dispiegamento di infrastrutture a chiave pubblica e 'si alza in difesa'. Da un lato, gli utenti sono stati convinti della sicurezza delle password usa e getta, dall'altro lato ci sono state attacchi al NIST. Di conseguenza, lo standard è stato allentato e il numero di violazioni, furti di password (e denaro dalle applicazioni bancarie) è aumentato drasticamente. D'altra parte, l'industria non ha dovuto sborsare ingenti somme.

Da allora, le vulnerabilità associate agli SMS OTP sono diventate più evidenti. I truffatori utilizzano vari metodi per compromettere i messaggi SMS:

• Duplicazione della SIM. I malintenzionati creano una copia della SIM (con l'aiuto di dipendenti dell'operatore cellulare o autonomamente tramite software e hardware specializzati). Di conseguenza, il malintenzionato riceve un SMS con la password usa e getta. In un caso particolarmente noto, gli hacker sono riusciti a compromettere l'account AT&T dell'investitore in criptovalute Michael Terpin e a rubare quasi 24 milioni di dollari in criptovalute. Di conseguenza, Terpin ha dichiarato che AT&T era colpevole a causa delle deboli misure di verifica che hanno portato alla duplicazione della SIM.
  

  Logica straordinaria. Quindi, la colpa è solo di AT&T? No, la responsabilità dell'operatore mobile è chiara nel fatto che i venditori nel negozio di telefonia hanno fornito un duplicato della SIM. E per quanto riguarda il sistema di autenticazione degli exchange di criptovalute? Perché non hanno utilizzato token crittografici affidabili? Era un problema di budget per l'implementazione? E Michael non ha colpe? Perché non ha insistito per cambiare il meccanismo di autenticazione o non ha utilizzato solo quegli exchange che implementano l'autenticazione a due fattori basata su token crittografici?

  L'implementazione di metodi di autenticazione realmente sicuri è ritardata proprio perché, prima dell'attacco, gli utenti mostrano una sorprendente leggerezza, mentre dopo incolpano chiunque e qualsiasi cosa, tranne che le tecnologie di autenticazione obsolete e "permeabili".

• Malware. Una delle prime funzioni dei malware mobili era il furto e l'invio dei messaggi di testo agli aggressori. Inoltre, le attacchi "man-in-the-browser" e "man-in-the-middle" possono intercettare le password monouso quando vengono inserite su laptop o desktop infetti.
  

  Quando l'app Sberbank sul tuo smartphone lampeggia con un'icona verde nella barra di stato, sta anche cercando "malware" sul tuo dispositivo. L'obiettivo di questa attività è trasformare un ambiente di esecuzione non fidato tipico di uno smartphone, in un ambiente fidato, in qualche modo.
  A proposito, uno smartphone, come dispositivo assolutamente non fidato, su cui può essere eseguito qualsiasi tipo di attività — è un'altra ragione per utilizzare per l'autenticazione solo token hardware, che sono protetti e privi di virus e trojan.

• Ingegneria sociale. Quando ai truffatori è noto che la vittima ha attivato le password monouso via SMS, possono contattare direttamente la vittima, spacciandosi per un'organizzazione fidata, come la sua banca o la cooperativa di credito, per ingannare la vittima e costringerla a fornire il codice appena ricevuto.
  

  Ho incontrato personalmente questo tipo di frode più volte, ad esempio quando ho cercato di vendere qualcosa su un popolare mercatino online. Mi sono divertito molto a deridere un truffatore che cercava di ingannarmi. Ma, ahimè, leggo regolarmente nelle notizie di come un'altra vittima dei truffatori "non ha pensato" e ha comunicato il codice di conferma, perdendo così una somma considerevole. E tutto ciò perché alla banca semplicemente non piace impegnarsi nell'implementazione di token crittografici nelle proprie applicazioni. Infatti, se succede qualcosa, i clienti sono "responsabili".

Sebbene metodi alternativi per la consegna di codici monouso possano mitigare alcune vulnerabilità in questo metodo di autenticazione, altre vulnerabilità rimangono intatte. Le applicazioni autonome per la generazione di codici offrono la migliore protezione contro l'intercettazione, poiché anche i malware non possono praticamente interagire direttamente con il generatore di codice (seriously? l'autore del rapporto ha dimenticato il controllo remoto?), ma gli OTP possono ancora essere intercettati durante l'immissione nel browser (ad esempio, utilizzando un keylogger), attraverso un'app mobile compromessa; e possono anche essere ottenuti direttamente dall'utente tramite ingegneria sociale.
L'uso di più strumenti di valutazione del rischio, come il riconoscimento dei dispositivi (identificazione dei tentativi di eseguire operazioni da dispositivi non appartenenti all'utente legittimo), geolocalizzazione (un utente che si trovava appena a Mosca cerca di effettuare un'operazione da Novosibirsk) e analisi comportamentale è fondamentale per eliminare le vulnerabilità, ma nessuna soluzione è una panacea. È necessario valutare attentamente i rischi per ogni situazione e tipo di dati e scegliere quale tecnologia di autenticazione utilizzare.

Nessuna soluzione di autenticazione è una panacea

Figura 2. Tabella delle opzioni di autenticazione

Nella seconda parte della pubblicazione ci aspetta la parte più interessante: numeri e fatti su cui si basano le conclusioni e le raccomandazioni presentate nella prima parte. Saranno analizzati separatamente l'autenticazione nelle applicazioni utente e nei sistemi aziendali.

Ci vediamo!

Fonte: habr.com