{"id":32662,"date":"2019-10-31T21:48:16","date_gmt":"2019-10-31T18:48:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami\/"},"modified":"2019-10-31T21:48:16","modified_gmt":"2019-10-31T18:48:16","slug":"chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","title":{"rendered":"Cosa succeder\u00e0 con l'autenticazione e le password? Traduzione del rapporto Javelin \"Lo Stato dell'Autenticazione Flessibile\" con commenti","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Cosa
\n
\nSpoiler dal titolo del rapporto \"Il numero di utilizzi dell'autenticazione forte \u00e8 aumentato a causa delle minacce da nuovi rischi e delle richieste dei regolatori\".
\nLa societ\u00e0 di ricerca \"Javelin Strategy & Research\" ha pubblicato il rapporto \"The State of Strong Authentication 2019\" ( l'originale in formato pdf pu\u00f2 essere scaricato qui<\/a><\/noindex>). In questo rapporto si discute: quale percentuale delle aziende americane ed europee utilizza le password (e perch\u00e9 le password sono poco utilizzate al giorno d'oggi); perch\u00e9 cresce rapidamente la percentuale di utilizzo dell'autenticazione a due fattori basata su token crittografici; perch\u00e9 i codici usa e getta inviati via SMS non sono sicuri.<\/p>\n

A tutti coloro che sono interessati al tema del presente, passato e futuro dell'autenticazione nelle imprese e nelle applicazioni per utenti finali \u2014 benvenuti.
\n<\/a><\/noindex>
\nDall'autore<\/b><\/p>\n

Purtroppo, il linguaggio utilizzato in questo rapporto \u00e8 piuttosto \"asciutto\" e formale. E il ripetuto utilizzo della parola \"autenticazione\" in una sola breve frase non \u00e8 dovuto a mani (o menti) inesperte del traduttore, ma \u00e8 una scelta degli autori. Nella traduzione, tra due opzioni \u2014 presentare un testo pi\u00f9 vicino all'originale o uno pi\u00f9 interessante \u2014 a volte ho scelto la prima e altre volte la seconda. Ma vi prego di avere pazienza, cari lettori, il contenuto del rapporto vale la pena.<\/p>\n

Alcuni frammenti poco significativi e non necessari per la narrazione sono stati rimossi, altrimenti la maggior parte non avrebbe digerito l'intero testo. Coloro che desiderano consultare il rapporto \"senza filtri\" possono farlo nella lingua originale seguendo il link.<\/p>\n

Purtroppo, gli autori non sempre sono precisi con la terminologia. Ad esempio, a volte chiamano le password temporanee (One Time Password \u2013 OTP) 'password', e altre volte 'codici'. Con i metodi di autenticazione la situazione \u00e8 ancora peggiore. Per un lettore non esperto non \u00e8 sempre facile capire che 'autenticazione tramite chiavi crittografiche' e 'autenticazione rigorosa' sono la stessa cosa. Ho cercato di uniformare al massimo i termini e nel rapporto c'\u00e8 anche una sezione con le relative descrizioni.<\/p>\n

Tuttavia, il rapporto \u00e8 fortemente raccomandato per la lettura, poich\u00e9 contiene risultati di ricerca unici e conclusioni corrette. <\/b><\/p>\n

Tutti i numeri e i fatti sono riportati senza alcuna modifica, e se non siete d'accordo con essi, \u00e8 meglio discutere non con il traduttore, ma con gli autori del rapporto. Tuttavia, i miei commenti (formattati come citazioni e contrassegnati nel testo da corsivo<\/i>) rappresentano il mio giudizio critico e sar\u00f2 felice di discutere su ciascuno di essi (cos\u00ec come sulla qualit\u00e0 della traduzione). <\/p><\/blockquote>\n

<\/p>\n

Panoramica<\/h2>\n

\nOggi, per le aziende, i canali digitali di comunicazione con i clienti sono pi\u00f9 importanti che mai. Anche all'interno dell'azienda, le comunicazioni tra i dipendenti sono sempre pi\u00f9 orientate verso un ambiente digitale. La sicurezza di queste interazioni dipende dal metodo di autenticazione degli utenti scelto. I malintenzionati sfruttano le debolezze nell'autenticazione per compromettere massicciamente gli account degli utenti. In risposta, le autorit\u00e0 regolatorie inaspriscono gli standard per obbligare le aziende a proteggere meglio gli account e i dati degli utenti.<\/p>\n

Le minacce legate all'autenticazione non si limitano solo alle applicazioni consumer; i malintenzionati possono accedere anche alle applicazioni operative all'interno delle imprese. Questa operazione consente loro di impersonare utenti aziendali. Sfruttando punti di accesso con autenticazione debole, i malintenzionati possono rubare dati ed effettuare altre attivit\u00e0 fraudolente. Fortunatamente, esistono misure per contrastare questo problema. Un'autenticazione rigorosa pu\u00f2 ridurre significativamente il rischio di attacchi da parte di malintenzionati, sia su applicazioni consumer che su sistemi aziendali.<\/p>\n

Questo studio esamina: come le imprese implementano l'autenticazione per proteggere le applicazioni degli utenti e i sistemi aziendali; i fattori che considerano nella scelta della soluzione di autenticazione; il ruolo che l'autenticazione rigorosa gioca all'interno delle loro organizzazioni; i vantaggi che queste organizzazioni ottengono.<\/p>\n

Riepilogo<\/h2>\n

<\/p>\n

Conclusioni principali<\/h3>\n

\nDal 2017, la percentuale di utilizzo dell'autenticazione rigorosa \u00e8 aumentata notevolmente. <\/b> Con l'aumento delle vulnerabilit\u00e0 che colpiscono le soluzioni di autenticazione tradizionali, le organizzazioni stanno potenziando le proprie capacit\u00e0 di autenticazione con metodi di autenticazione rigorosi. Il numero di organizzazioni che utilizzano l'autenticazione multifattoriale basata su crittografia (MFA) \u00e8 triplicato dal 2017 per i consumatori e aumentato di quasi il 50% per le applicazioni aziendali. La crescita pi\u00f9 rapida si osserva nell'autenticazione mobile, grazie alla crescente disponibilit\u00e0 dell'autenticazione biometrica.<\/p>\n

Qui vediamo l'illustrazione del proverbio \"fino a quando non tuona, l'uomo non si segna il crocifisso\". Quando gli esperti avvertivano dell'affidabilit\u00e0 delle password, nessuno si affrettava a implementare l'autenticazione a due fattori. Non appena gli hacker hanno iniziato a rubare le password, la gente ha cominciato a implementare l'autenticazione a due fattori.<\/p>\n

In realt\u00e0, sono le persone private ad adottare il 2FA in misura molto pi\u00f9 attiva. In primo luogo, cos\u00ec facendo riescono a tranquillizzare le loro paure, affidandosi all'autenticazione biometrica integrata negli smartphone, che in realt\u00e0 \u00e8 piuttosto inaffidabile. Le organizzazioni, invece, devono investire nell'acquisto di token e svolgere (in verit\u00e0, operazioni piuttosto semplici) attivit\u00e0 di implementazione. In secondo luogo, chiunque abbia sentito parlare delle violazioni delle password da servizi come Facebook e Dropbox, non ha fatto in tempo a scrivere, mentre i direttori IT di queste organizzazioni non condivideranno mai le storie su come sono state rubate le password (e cosa \u00e8 successo dopo). <\/p><\/blockquote>\n

\nColoro che non utilizzano l'autenticazione rigorosa sottovalutano il rischio per la loro attivit\u00e0 e per i clienti. <\/b> Alcune organizzazioni che attualmente non utilizzano l'autenticazione rigorosa tendono a considerare loggini e password come uno dei metodi di autenticazione degli utenti pi\u00f9 efficaci e facili da usare. Altre non vedono il valore degli asset digitali di cui sono proprietarie. Infatti, \u00e8 importante considerare che ai criminali informatici interessa qualsiasi informazione commerciale e consumeristica. Due terzi delle aziende che utilizzano solo le password per autenticare i propri dipendenti lo fanno perch\u00e9 pensano che le password siano sufficientemente valide per il tipo di informazioni che stanno proteggendo.<\/p>\n

Tuttavia, le password sono sulla strada per la \"morte\". <\/b> Nell'ultimo anno, la dipendenza dalle password \u00e8 diminuita notevolmente, sia per le applicazioni consumer che per quelle aziendali (dal 44% al 31% e dal 56% al 47% rispettivamente), poich\u00e9 le organizzazioni ampliano l'uso della MFA tradizionale e dell'autenticazione rigorosa.
\nMa se valutiamo la situazione nel suo complesso, i metodi di autenticazione vulnerabili continuano a prevalere. Circa un quarto delle organizzazioni utilizza SMS OTP (password usa e getta) insieme a domande di sicurezza per l'autenticazione degli utenti. Di conseguenza, per proteggere contro le vulnerabilit\u00e0 \u00e8 necessario implementare misure di sicurezza aggiuntive, il che aumenta i costi. L'uso di metodi di autenticazione molto pi\u00f9 affidabili, come le chiavi crittografiche hardware, \u00e8 molto meno comune, presente solo nel 5% delle organizzazioni.<\/p>\n

L'ambiente normativo in evoluzione promette di accelerare l'adozione di una rigorosa autenticazione per le applicazioni consumer. <\/b> Con l'introduzione della PSD2 e delle nuove normative sulla protezione dei dati nell'UE e in diversi stati degli USA, come la California, le aziende sentono che la pressione aumenta. Quasi il 70% delle aziende concorda sul fatto che stanno affrontando una forte pressione normativa per garantire un'autenticazione rigorosa per i propri clienti. Oltre la met\u00e0 delle imprese ritiene che nei prossimi anni i loro metodi di autenticazione non saranno sufficienti per conformarsi agli standard normativi.<\/p>\n

La differenza tra gli approcci dei legislatori russi e quelli americo-europei nella protezione dei dati personali degli utenti di software e servizi \u00e8 evidente. I russi dicono: cari proprietari dei servizi, fate ci\u00f2 che volete e come volete, ma se il vostro amministratore rilascia il database, vi puniremo. All'estero si afferma: dovete implementare un insieme di misure che non permetter\u00e0<\/b> la fuga dei dati. \u00c8 per questo che l\u00ec si stanno adottando ampiamente le richieste di un'autenticazione a due fattori rigorosa.
\nTuttavia, non \u00e8 affatto certo che la nostra macchina legislativa, in un bel giorno, non si renda conto e non prenda in considerazione le esperienze occidentali. In tal caso, si scoprir\u00e0 che tutti devono implementare 2FA, conforme agli standard crittografici russi, e inoltre urgentemente.\n<\/p><\/blockquote>\n

\nCreare una base affidabile per l'autenticazione consente alle aziende di spostare l'attenzione dalla soddisfazione dei requisiti normativi alla soddisfazione delle esigenze dei clienti. <\/b> Per le organizzazioni che utilizzano ancora password semplici o ricevono codici via SMS, il fattore pi\u00f9 importante nella scelta del metodo di autenticazione \u00e8 la conformit\u00e0 alle normative. Le aziende che hanno gi\u00e0 implementato una rigorosa autenticazione possono concentrarsi sulla selezione di metodi che aumentano la fedelt\u00e0 dei clienti.<\/p>\n

Quando si sceglie un metodo di autenticazione aziendale all'interno dell'organizzazione, i requisiti normativi non sono pi\u00f9 un fattore significativo. <\/b> In questo caso, la semplicit\u00e0 di integrazione (32%) e il costo (26%) sono molto pi\u00f9 importanti. <\/p>\n

Nell'era del phishing, i criminali possono sfruttare l'email aziendale per frodi,<\/b> cercando di ottenere ingiustamente accesso ai dati, agli account (con i diritti di accesso appropriati) e persino convincere i dipendenti a effettuare un bonifico sul proprio conto. Pertanto, gli account e le porte della posta elettronica aziendale devono essere particolarmente ben protetti.<\/p>\n

Google ha rafforzato la sua protezione implementando una rigorosa autenticazione.<\/b> Oltre due anni fa, Google ha pubblicato un rapporto sull'implementazione dell'autenticazione a due fattori basata su chiavi di sicurezza crittografiche secondo lo standard FIDO U2F, riportando risultati impressionanti. Secondo l'azienda, non \u00e8 stata condotta alcuna attacco di phishing contro oltre 85.000 dipendenti. <\/p>\n

Raccomandazioni<\/h3>\n

\nImplementa una rigorosa autenticazione per app mobili e online. <\/b> L'autenticazione multifattoriale basata su chiavi crittografiche \u00e8 molto pi\u00f9 sicura contro gli attacchi rispetto ai metodi tradizionali di MFA. Inoltre, l'uso di chiavi crittografiche \u00e8 molto pi\u00f9 comodo, poich\u00e9 non \u00e8 necessario utilizzare e trasmettere informazioni aggiuntive \u2014 password, codici temporanei o dati biometrici dal dispositivo dell'utente al server di autenticazione. Inoltre, la standardizzazione dei protocolli di autenticazione consente di implementare pi\u00f9 facilmente nuovi metodi di autenticazione man mano che emergono, riducendo i costi e proteggendo da schemi di frode pi\u00f9 complessi.<\/p>\n

Preparatevi al tramonto delle password monouso (OTP). <\/b> Le vulnerabilit\u00e0 associate agli OTP stanno diventando sempre pi\u00f9 evidenti, poich\u00e9 i criminali informatici utilizzano l'ingegneria sociale, la clonazione degli smartphone e malware per compromettere questi mezzi di autenticazione. Sebbene gli OTP possano presentare vantaggi in alcuni casi, questi sono legati esclusivamente alla loro accessibilit\u00e0 universale per tutti gli utenti, non alla sicurezza.<\/p>\n

Non si pu\u00f2 negare che ricevere codici tramite SMS o notifiche Push, cos\u00ec come generare codici tramite applicazioni per smartphone, rappresenta proprio l'utilizzo di quelle stesse password usa e getta (OTP) di cui ci viene chiesto di prepararci al tramonto. Dal punto di vista tecnico, la cosa \u00e8 molto logica, poich\u00e9 \u00e8 raro che un truffatore non cerchi di estorcere una password usa e getta a un utente fiducioso. Tuttavia, penso che i produttori di tali sistemi si aggrapperanno all'ultima tecnologia finch\u00e9 possibile. <\/p><\/blockquote>\n

Utilizza l'autenticazione rigorosa come strumento di marketing per aumentare la fiducia dei clienti. <\/b> L'autenticazione rigorosa non solo pu\u00f2 migliorare la sicurezza reale della tua azienda. Informare i clienti che la tua azienda utilizza un'autenticazione rigorosa pu\u00f2 rafforzare la percezione pubblica della sicurezza di questa azienda, un fattore importante quando c'\u00e8 una domanda significativa da parte dei clienti per metodi di autenticazione affidabili.<\/p>\n

Effettua un'attenta inventarizzazione e valutazione dell'importanza dei dati aziendali e proteggili in base alla loro importanza. <\/b> Anche i dati a basso rischio, come le informazioni di contatto dei clienti (no, in realt\u00e0, il rapporto dice proprio 'low-risk', \u00e8 molto strano che sottovalutino l'importanza di queste informazioni<\/i>), possono avere un valore significativo per i truffatori e causare problemi all'azienda. <\/p>\n

Utilizza l'autenticazione rigorosa in azienda. <\/b> Alcuni sistemi sono le migliori prede per i criminali. Questi includono sistemi interni e connessi a Internet, come software di contabilit\u00e0 o archivi di dati aziendali. Un'autenticazione rigorosa impedisce agli attaccanti di ottenere accesso non autorizzato e consente di identificare con precisione chi tra i dipendenti ha compiuto attivit\u00e0 dannose.<\/p>\n

Che cos'\u00e8 l'autenticazione rigorosa? <\/h2>\n

\nQuando si utilizza l'autenticazione rigorosa, per verificare l'identit\u00e0 dell'utente si impiegano pi\u00f9 metodi o fattori:<\/p>\n