Cosa succederà con l'autenticazione e le password? Traduzione del rapporto Javelin "Lo Stato dell'Autenticazione Flessibile" con commenti

Spoiler dal titolo del rapporto "Il numero di utilizzi dell'autenticazione forte è aumentato a causa delle minacce da nuovi rischi e delle richieste dei regolatori".
La società di ricerca "Javelin Strategy & Research" ha pubblicato il rapporto "The State of Strong Authentication 2019" ( l'originale in formato pdf può essere scaricato qui). In questo rapporto si discute: quale percentuale delle aziende americane ed europee utilizza le password (e perché le password sono poco utilizzate al giorno d'oggi); perché cresce rapidamente la percentuale di utilizzo dell'autenticazione a due fattori basata su token crittografici; perché i codici usa e getta inviati via SMS non sono sicuri.

A tutti coloro che sono interessati al tema del presente, passato e futuro dell'autenticazione nelle imprese e nelle applicazioni per utenti finali — benvenuti.

Dall'autore

Purtroppo, il linguaggio utilizzato in questo rapporto è piuttosto "asciutto" e formale. E il ripetuto utilizzo della parola "autenticazione" in una sola breve frase non è dovuto a mani (o menti) inesperte del traduttore, ma è una scelta degli autori. Nella traduzione, tra due opzioni — presentare un testo più vicino all'originale o uno più interessante — a volte ho scelto la prima e altre volte la seconda. Ma vi prego di avere pazienza, cari lettori, il contenuto del rapporto vale la pena.

Alcuni frammenti poco significativi e non necessari per la narrazione sono stati rimossi, altrimenti la maggior parte non avrebbe digerito l'intero testo. Coloro che desiderano consultare il rapporto "senza filtri" possono farlo nella lingua originale seguendo il link.

Purtroppo, gli autori non sempre sono precisi con la terminologia. Ad esempio, a volte chiamano le password temporanee (One Time Password – OTP) 'password', e altre volte 'codici'. Con i metodi di autenticazione la situazione è ancora peggiore. Per un lettore non esperto non è sempre facile capire che 'autenticazione tramite chiavi crittografiche' e 'autenticazione rigorosa' sono la stessa cosa. Ho cercato di uniformare al massimo i termini e nel rapporto c'è anche una sezione con le relative descrizioni.

Tuttavia, il rapporto è fortemente raccomandato per la lettura, poiché contiene risultati di ricerca unici e conclusioni corrette.

Tutti i numeri e i fatti sono riportati senza alcuna modifica, e se non siete d'accordo con essi, è meglio discutere non con il traduttore, ma con gli autori del rapporto. Tuttavia, i miei commenti (formattati come citazioni e contrassegnati nel testo da corsivo) rappresentano il mio giudizio critico e sarò felice di discutere su ciascuno di essi (così come sulla qualità della traduzione).

Panoramica

Oggi, per le aziende, i canali digitali di comunicazione con i clienti sono più importanti che mai. Anche all'interno dell'azienda, le comunicazioni tra i dipendenti sono sempre più orientate verso un ambiente digitale. La sicurezza di queste interazioni dipende dal metodo di autenticazione degli utenti scelto. I malintenzionati sfruttano le debolezze nell'autenticazione per compromettere massicciamente gli account degli utenti. In risposta, le autorità regolatorie inaspriscono gli standard per obbligare le aziende a proteggere meglio gli account e i dati degli utenti.

Le minacce legate all'autenticazione non si limitano solo alle applicazioni consumer; i malintenzionati possono accedere anche alle applicazioni operative all'interno delle imprese. Questa operazione consente loro di impersonare utenti aziendali. Sfruttando punti di accesso con autenticazione debole, i malintenzionati possono rubare dati ed effettuare altre attività fraudolente. Fortunatamente, esistono misure per contrastare questo problema. Un'autenticazione rigorosa può ridurre significativamente il rischio di attacchi da parte di malintenzionati, sia su applicazioni consumer che su sistemi aziendali.

Questo studio esamina: come le imprese implementano l'autenticazione per proteggere le applicazioni degli utenti e i sistemi aziendali; i fattori che considerano nella scelta della soluzione di autenticazione; il ruolo che l'autenticazione rigorosa gioca all'interno delle loro organizzazioni; i vantaggi che queste organizzazioni ottengono.

Riepilogo

Conclusioni principali

Dal 2017, la percentuale di utilizzo dell'autenticazione rigorosa è aumentata notevolmente. Con l'aumento delle vulnerabilità che colpiscono le soluzioni di autenticazione tradizionali, le organizzazioni stanno potenziando le proprie capacità di autenticazione con metodi di autenticazione rigorosi. Il numero di organizzazioni che utilizzano l'autenticazione multifattoriale basata su crittografia (MFA) è triplicato dal 2017 per i consumatori e aumentato di quasi il 50% per le applicazioni aziendali. La crescita più rapida si osserva nell'autenticazione mobile, grazie alla crescente disponibilità dell'autenticazione biometrica.

Qui vediamo l'illustrazione del proverbio "fino a quando non tuona, l'uomo non si segna il crocifisso". Quando gli esperti avvertivano dell'affidabilità delle password, nessuno si affrettava a implementare l'autenticazione a due fattori. Non appena gli hacker hanno iniziato a rubare le password, la gente ha cominciato a implementare l'autenticazione a due fattori.

In realtà, sono le persone private ad adottare il 2FA in misura molto più attiva. In primo luogo, così facendo riescono a tranquillizzare le loro paure, affidandosi all'autenticazione biometrica integrata negli smartphone, che in realtà è piuttosto inaffidabile. Le organizzazioni, invece, devono investire nell'acquisto di token e svolgere (in verità, operazioni piuttosto semplici) attività di implementazione. In secondo luogo, chiunque abbia sentito parlare delle violazioni delle password da servizi come Facebook e Dropbox, non ha fatto in tempo a scrivere, mentre i direttori IT di queste organizzazioni non condivideranno mai le storie su come sono state rubate le password (e cosa è successo dopo).

Coloro che non utilizzano l'autenticazione rigorosa sottovalutano il rischio per la loro attività e per i clienti. Alcune organizzazioni che attualmente non utilizzano l'autenticazione rigorosa tendono a considerare loggini e password come uno dei metodi di autenticazione degli utenti più efficaci e facili da usare. Altre non vedono il valore degli asset digitali di cui sono proprietarie. Infatti, è importante considerare che ai criminali informatici interessa qualsiasi informazione commerciale e consumeristica. Due terzi delle aziende che utilizzano solo le password per autenticare i propri dipendenti lo fanno perché pensano che le password siano sufficientemente valide per il tipo di informazioni che stanno proteggendo.

Tuttavia, le password sono sulla strada per la "morte". Nell'ultimo anno, la dipendenza dalle password è diminuita notevolmente, sia per le applicazioni consumer che per quelle aziendali (dal 44% al 31% e dal 56% al 47% rispettivamente), poiché le organizzazioni ampliano l'uso della MFA tradizionale e dell'autenticazione rigorosa.
Ma se valutiamo la situazione nel suo complesso, i metodi di autenticazione vulnerabili continuano a prevalere. Circa un quarto delle organizzazioni utilizza SMS OTP (password usa e getta) insieme a domande di sicurezza per l'autenticazione degli utenti. Di conseguenza, per proteggere contro le vulnerabilità è necessario implementare misure di sicurezza aggiuntive, il che aumenta i costi. L'uso di metodi di autenticazione molto più affidabili, come le chiavi crittografiche hardware, è molto meno comune, presente solo nel 5% delle organizzazioni.

L'ambiente normativo in evoluzione promette di accelerare l'adozione di una rigorosa autenticazione per le applicazioni consumer. Con l'introduzione della PSD2 e delle nuove normative sulla protezione dei dati nell'UE e in diversi stati degli USA, come la California, le aziende sentono che la pressione aumenta. Quasi il 70% delle aziende concorda sul fatto che stanno affrontando una forte pressione normativa per garantire un'autenticazione rigorosa per i propri clienti. Oltre la metà delle imprese ritiene che nei prossimi anni i loro metodi di autenticazione non saranno sufficienti per conformarsi agli standard normativi.

La differenza tra gli approcci dei legislatori russi e quelli americo-europei nella protezione dei dati personali degli utenti di software e servizi è evidente. I russi dicono: cari proprietari dei servizi, fate ciò che volete e come volete, ma se il vostro amministratore rilascia il database, vi puniremo. All'estero si afferma: dovete implementare un insieme di misure che non permetterà la fuga dei dati. È per questo che lì si stanno adottando ampiamente le richieste di un'autenticazione a due fattori rigorosa.
Tuttavia, non è affatto certo che la nostra macchina legislativa, in un bel giorno, non si renda conto e non prenda in considerazione le esperienze occidentali. In tal caso, si scoprirà che tutti devono implementare 2FA, conforme agli standard crittografici russi, e inoltre urgentemente.

Creare una base affidabile per l'autenticazione consente alle aziende di spostare l'attenzione dalla soddisfazione dei requisiti normativi alla soddisfazione delle esigenze dei clienti. Per le organizzazioni che utilizzano ancora password semplici o ricevono codici via SMS, il fattore più importante nella scelta del metodo di autenticazione è la conformità alle normative. Le aziende che hanno già implementato una rigorosa autenticazione possono concentrarsi sulla selezione di metodi che aumentano la fedeltà dei clienti.

Quando si sceglie un metodo di autenticazione aziendale all'interno dell'organizzazione, i requisiti normativi non sono più un fattore significativo. In questo caso, la semplicità di integrazione (32%) e il costo (26%) sono molto più importanti.

Nell'era del phishing, i criminali possono sfruttare l'email aziendale per frodi, cercando di ottenere ingiustamente accesso ai dati, agli account (con i diritti di accesso appropriati) e persino convincere i dipendenti a effettuare un bonifico sul proprio conto. Pertanto, gli account e le porte della posta elettronica aziendale devono essere particolarmente ben protetti.

Google ha rafforzato la sua protezione implementando una rigorosa autenticazione. Oltre due anni fa, Google ha pubblicato un rapporto sull'implementazione dell'autenticazione a due fattori basata su chiavi di sicurezza crittografiche secondo lo standard FIDO U2F, riportando risultati impressionanti. Secondo l'azienda, non è stata condotta alcuna attacco di phishing contro oltre 85.000 dipendenti.

Raccomandazioni

Implementa una rigorosa autenticazione per app mobili e online. L'autenticazione multifattoriale basata su chiavi crittografiche è molto più sicura contro gli attacchi rispetto ai metodi tradizionali di MFA. Inoltre, l'uso di chiavi crittografiche è molto più comodo, poiché non è necessario utilizzare e trasmettere informazioni aggiuntive — password, codici temporanei o dati biometrici dal dispositivo dell'utente al server di autenticazione. Inoltre, la standardizzazione dei protocolli di autenticazione consente di implementare più facilmente nuovi metodi di autenticazione man mano che emergono, riducendo i costi e proteggendo da schemi di frode più complessi.

Preparatevi al tramonto delle password monouso (OTP). Le vulnerabilità associate agli OTP stanno diventando sempre più evidenti, poiché i criminali informatici utilizzano l'ingegneria sociale, la clonazione degli smartphone e malware per compromettere questi mezzi di autenticazione. Sebbene gli OTP possano presentare vantaggi in alcuni casi, questi sono legati esclusivamente alla loro accessibilità universale per tutti gli utenti, non alla sicurezza.

Non si può negare che ricevere codici tramite SMS o notifiche Push, così come generare codici tramite applicazioni per smartphone, rappresenta proprio l'utilizzo di quelle stesse password usa e getta (OTP) di cui ci viene chiesto di prepararci al tramonto. Dal punto di vista tecnico, la cosa è molto logica, poiché è raro che un truffatore non cerchi di estorcere una password usa e getta a un utente fiducioso. Tuttavia, penso che i produttori di tali sistemi si aggrapperanno all'ultima tecnologia finché possibile.

Utilizza l'autenticazione rigorosa come strumento di marketing per aumentare la fiducia dei clienti. L'autenticazione rigorosa non solo può migliorare la sicurezza reale della tua azienda. Informare i clienti che la tua azienda utilizza un'autenticazione rigorosa può rafforzare la percezione pubblica della sicurezza di questa azienda, un fattore importante quando c'è una domanda significativa da parte dei clienti per metodi di autenticazione affidabili.

Effettua un'attenta inventarizzazione e valutazione dell'importanza dei dati aziendali e proteggili in base alla loro importanza. Anche i dati a basso rischio, come le informazioni di contatto dei clienti (no, in realtà, il rapporto dice proprio 'low-risk', è molto strano che sottovalutino l'importanza di queste informazioni), possono avere un valore significativo per i truffatori e causare problemi all'azienda.

Utilizza l'autenticazione rigorosa in azienda. Alcuni sistemi sono le migliori prede per i criminali. Questi includono sistemi interni e connessi a Internet, come software di contabilità o archivi di dati aziendali. Un'autenticazione rigorosa impedisce agli attaccanti di ottenere accesso non autorizzato e consente di identificare con precisione chi tra i dipendenti ha compiuto attività dannose.

Che cos'è l'autenticazione rigorosa?

Quando si utilizza l'autenticazione rigorosa, per verificare l'identità dell'utente si impiegano più metodi o fattori:

• Fattore di conoscenza: un segreto condiviso tra l'utente e il soggetto di autenticazione (ad esempio, password, risposte a domande segrete, ecc.)
• Fattore di possesso: un dispositivo posseduto solo dall'utente (ad esempio, un dispositivo mobile, una chiave crittografica, ecc.)
• Fattore di inerenza: caratteristiche fisiche (spesso biometriche) dell'utente (ad esempio, impronta digitale, modello dell'iride, voce, comportamento, ecc.)

La necessità di compromettere più fattori aumenta significativamente le probabilità di fallimento per gli aggressori, poiché eludere o ingannare diversi fattori richiede l'uso di vari tipi di tattiche di hacking, per ciascun fattore separatamente.

Ad esempio, con l'autenticazione a due fattori «password + smartphone», un aggressore può completare l'autenticazione osservando la password dell'utente e creando una copia esatta del suo smartphone. Questo è molto più complicato rispetto al semplice furto della password.

Ma se per l'autenticazione a due fattori si utilizza una password e un token crittografico, l'opzione di copia non funziona – duplicare il token è impossibile. Il malintenzionato dovrà rubare discretamente il token all'utente. Se l'utente si accorge tempestivamente della scomparsa e avvisa l'amministratore, il token verrà bloccato e gli sforzi del truffatore andranno a vuoto. È esattamente per questo che per il fattore possesso è necessario utilizzare dispositivi specializzati e protetti (token), piuttosto che dispositivi generici (smartphone).

L'uso di tutti e tre i fattori renderà questo metodo di autenticazione piuttosto costoso da implementare e piuttosto scomodo da utilizzare. Pertanto, di solito si utilizzano due fattori su tre.

I principi dell'autenticazione a due fattori sono descritti più dettagliatamente qui, nella sezione «Come funziona l'autenticazione a due fattori».

È importante notare che almeno uno dei fattori di autenticazione utilizzati nell'autenticazione rigorosa deve utilizzare crittografia basata su chiave pubblica.

L'autenticazione rigorosa offre una protezione significativamente superiore rispetto all'autenticazione a fattore singolo basata su password tradizionali e MFA convenzionale. Le password possono essere intercettate tramite keylogger, siti di phishing o attacchi basati su ingegneria sociale (quando la vittima ingannata rivela la propria password). Inoltre, il legittimo proprietario della password potrebbe non essere a conoscenza del furto. La MFA tradizionale (che include codici OTP, legami a smartphone o SIM card) può essere facilmente compromessa, poiché non si basa sulla crittografia a chiave pubblica.A proposito, ci sono molti esempi in cui i truffatori sono riusciti a convincere gli utenti a rivelare le proprie password monouso utilizzando tecniche di ingegneria sociale.).

Fortunatamente, dall'anno scorso l'uso dell'autenticazione forte e del tradizionale MFA sta guadagnando terreno sia nelle applicazioni consumer che in quelle aziendali. L'uso dell'autenticazione forte nelle applicazioni consumer è aumentato in particolare. Se nel 2017 solo il 5% delle aziende la utilizzava, nel 2018 questo numero è triplicato, arrivando al 16%. Ciò può essere attribuito alla maggiore disponibilità di token che supportano algoritmi di crittografia a chiave pubblica (Public Key Cryptography — PKC). Inoltre, l'intensificazione della pressione da parte dei regolatori europei dopo l'adozione di nuove normative sulla protezione delle informazioni, come PSD2 e GDPR, ha avuto un forte impatto anche al di fuori dell'Europa.inclusa la Russia.).

Diamo un'occhiata più da vicino a questi numeri. Come possiamo vedere, la percentuale di utenti che utilizzano l'autenticazione a più fattori è aumentata notevolmente dell'11% nell'arco di un anno. Questo è avvenuto chiaramente a spese di coloro che ancora si affidano alle password, poiché i dati su coloro che credono nella sicurezza delle notifiche Push, degli SMS e della biometria sono rimasti invariati.

Ma per quanto riguarda l'autenticazione a due fattori nell'ambito aziendale, le cose non sono così rosee. Innanzitutto, secondo il rapporto, solo il 5% dei dipendenti è passato dall'autenticazione tramite password ai token. Inoltre, il numero di coloro che utilizzano opzioni alternative di MFA in ambiente aziendale è aumentato del 4%.

Proverò a fare l'analista e a dare la mia interpretazione. Al centro del mondo digitale degli utenti individuali si trova lo smartphone. Non c'è quindi da sorprendersi che la maggior parte degli utenti sfrutti le opportunità offerte dai propri dispositivi: autenticazione biometrica, SMS e notifiche Push, oltre a password temporanee generate da applicazioni direttamente sullo smartphone. In genere, le persone non riflettono sulla sicurezza e sull'affidabilità degli strumenti che utilizzano quotidianamente.

È per questo che la percentuale di utenti che utilizzano i «tradizionali» fattori di autenticazione rimane invariata. Tuttavia, coloro che in precedenza utilizzavano le password comprendono quanto siano elevati i rischi e, nella scelta di un nuovo fattore di autenticazione, optano per l'opzione più recente e sicura: il token crittografico.

Per quanto riguarda il mercato aziendale, è importante comprendere quale sistema venga utilizzato per l'autenticazione. Se si sta implementando l'accesso a un dominio Windows, vengono utilizzati i token crittografici. Le possibilità di utilizzo per il 2FA sono già integrate sia in Windows che in Linux, mentre le alternative richiedono una realizzazione lunga e complessa. Ecco a voi una migrazione del 5% dalle password ai token.

L'implementazione del 2FA in un sistema informativo aziendale dipende fortemente dalla competenza degli sviluppatori. Gli sviluppatori trovano molto più semplice utilizzare moduli pronti per la generazione di password monouso piuttosto che comprendere il funzionamento degli algoritmi crittografici. Di conseguenza, anche applicazioni incredibilmente critiche per la sicurezza, come i sistemi di Single Sign-On o di Privileged Access Management, utilizzano OTP come secondo fattore.

Numerosi vulnerabilità nei metodi di autenticazione tradizionali

Nonostante molte organizzazioni continuino a dipendere da sistemi obsoleti a fattore singolo, le vulnerabilità dell'autenticazione multifattoriale tradizionale stanno diventando sempre più evidenti. Le password usa e getta, che generalmente variano da sei a otto caratteri, inviate tramite SMS, rimangono la forma di autenticazione più comune (naturalmente oltre al fattore della conoscenza della password). E quando i media parlano di "autenticazione a due fattori" o "verifica in due fasi", si riferiscono quasi sempre all'autenticazione tramite password usa e getta inviate via SMS.

Qui l'autore commette un errore. L'invio di password usa e getta tramite SMS non è mai stata autentificazione a due fattori. È puramente il secondo passo dell'autenticazione in due fasi, dove il primo passo è l'inserimento di nome utente e password.

Nel 2016, l'Istituto Nazionale degli Standard e della Tecnologia (NIST) ha aggiornato le sue regole di autenticazione per escludere l'uso delle password usa e getta inviate tramite SMS. Tuttavia, queste regole sono state notevolmente mitigate dopo le proteste del settore.

Quindi, seguiamo la trama. Il regolatore americano riconosce giustamente che la tecnologia obsoleta non può garantire la sicurezza degli utenti e introduce nuovi standard. Standard che mirano a proteggere gli utenti online e delle applicazioni mobili (inclusi quelli bancari). Il settore sta valutando quanto dovrà spendere per acquistare token crittografici veramente affidabili, per rifare le applicazioni, per implementare l'infrastruttura delle chiavi pubbliche e si sta opponendo. Da un lato, si è convinto gli utenti dell'affidabilità delle password usa e getta, mentre dall'altro si sono verificate attacchi al NIST. Di conseguenza, lo standard è stato attenuato e il numero di violazioni, furti di password (e soldi dalle applicazioni bancarie) è aumentato drasticamente. Ma l'industria non ha dovuto sborsare soldi.

Da allora, le vulnerabilità associate agli SMS OTP sono diventate più evidenti. I truffatori utilizzano vari metodi per compromettere i messaggi SMS:

• Duplicazione della SIM. I malintenzionati creano una copia della SIM (con l'aiuto di dipendenti di operatori di telefonia mobile o autonomamente, utilizzando software e hardware specializzati). Di conseguenza, il malintenzionato riceve un SMS con una password temporanea. In un caso particolarmente noto, gli hacker sono riusciti persino a compromettere l'account AT&T dell'investitore in criptovalute Michael Terpin, rubando quasi 24 milioni di dollari in criptovalute. A seguito di ciò, Terpin ha dichiarato che AT&T era colpevole a causa delle misure di verifica carenti che hanno portato alla duplicazione della SIM.
  

  Logica sorprendente. Quindi, la colpa è solo di AT&T? No, è indiscutibile che la responsabilità del gestore mobile sia nel fatto che i venditori nei punti vendita abbiano rilasciato un duplicato della SIM. E per quanto riguarda il sistema di autenticazione degli exchange di criptovalute? Perché non hanno utilizzato token crittografici affidabili? Era un problema investire nel loro implemento? E Michael non ha colpe? Perché non ha insisto per cambiare il meccanismo di autenticazione o per utilizzare solo quegli exchange che implementano l'autenticazione a due fattori basata su token crittografici?

  L'implementazione di metodi di autenticazione veramente affidabili è ostacolata proprio dal fatto che prima dell'attacco gli utenti mostrano una straordinaria imprudenza, e dopo incolpano chiunque e qualunque cosa, tranne le antiche e "perforate" tecnologie di autenticazione.

• Software dannoso (malware). Una delle prime funzionalità dei malware mobili era l'intercettazione e l'invio di messaggi di testo ai criminali. Inoltre, gli attacchi "man-in-the-browser" e "man-in-the-middle" possono intercettare le password usa e getta quando vengono inserite su laptop o desktop infetti.
  

  Quando l'app di Sberbank sul tuo smartphone lampeggia con l'icona verde nella barra di stato, sta anche cercando i "malware" sul tuo telefono. L'obiettivo è trasformare un ambiente di esecuzione considerato non affidabile in uno almeno parzialmente sicuro.
  A proposito, uno smartphone, essendo un dispositivo assolutamente non affidabile su cui può essere eseguito qualsiasi cosa, è un altro motivo per utilizzare per l'autenticazione solo token hardware, che sono protetti e privi di virus e trojan.

• Ingegneria sociale. Quando i truffatori sanno che la vittima ha attivato i codici usa e getta via SMS, possono contattarla direttamente facendo finta di essere un'organizzazione fidata, come la sua banca o una cooperativa di credito, per ingannarla e convincerla a fornire il codice appena ricevuto.
  

  Ho avuto a che fare personalmente con questo tipo di truffa, ad esempio, quando ho cercato di vendere qualcosa su un noto mercato online. Ho deriso a sufficienza un truffatore che ha cercato di ingannarmi. Purtroppo, leggo regolarmente nei notiziari di un'altra vittima che "non ha pensato", ha comunicato il codice di conferma e ha perso una somma consistente. E tutto ciò perché la banca non vuole impegnarsi nell'integrazione di token crittografici nelle proprie applicazioni. Se succede qualcosa, i clienti sono "responsabili".

Sebbene i metodi alternativi per la consegna di password usa e getta possano attenuare alcune vulnerabilità di questo metodo di autenticazione, altre vulnerabilità rimangono attive. Le applicazioni autonome per la generazione di codici sono la migliore difesa contro l'intercettazione, poiché anche i malware praticamente non possono interagire direttamente con il generatore di codici (davvero? L'autore del rapporto ha dimenticato il controllo remoto?), ma gli OTP possono comunque essere intercettati durante l'inserimento nel browser (per esempio, utilizzando un keylogger), tramite un'app mobile compromessa; e possono anche essere ottenuti direttamente dall'utente tramite ingegneria sociale.
Utilizzare più strumenti di valutazione del rischio, come il riconoscimento dei dispositivi (identificazione di tentativi di eseguire operazioni da dispositivi non appartenenti all'utente legittimo), geolocalizzazione (l'utente appena a Mosca sta cercando di eseguire un'operazione da Novosibirsk) e l'analisi comportamentale sono fondamentali per eliminare le vulnerabilità, ma nessuna soluzione è una panacea. È necessario valutare attentamente i rischi per ogni situazione e tipo di dati e scegliere quale tecnologia di autenticazione utilizzare.

Nessuna soluzione di autenticazione è una panacea

Fig. 2. Tabella delle opzioni di autenticazione

Nella seconda parte della pubblicazione ci aspetta il più interessante: numeri e fatti, su cui si basano le conclusioni e le raccomandazioni presentate nella prima parte. Verrà analizzata separatamente l'autenticazione nelle applicazioni utente e nei sistemi aziendali.

A presto!

Fonte: habr.com