{"id":32662,"date":"2019-10-31T21:48:16","date_gmt":"2019-10-31T18:48:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami\/"},"modified":"2019-10-31T21:48:16","modified_gmt":"2019-10-31T18:48:16","slug":"chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/chto-budet-s-autentifikatsiej-i-parolyami-perevod-otcheta-javelin-sostoyanie-strogoj-autentifikatsii-s-kommentariyami","title":{"rendered":"Cosa succeder\u00e0 con l'autenticazione e le password? Traduzione del rapporto Javelin \"Stato dell'autenticazione rigorosa\" con commenti","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Cosa
\n
\nIl sommario del rapporto \u00abIl numero di casi di utilizzo della forte autenticazione \u00e8 aumentato a causa delle minacce di nuovi rischi e delle richieste dei regolatori\u00bb.
\nLa societ\u00e0 di ricerca \u00abJavelin Strategy & Research\u00bb ha pubblicato il rapporto \u00abThe State of Strong Authentication 2019\u00bb ( l'originale in formato pdf pu\u00f2 essere scaricato qui<\/a><\/noindex>). In questo rapporto si afferma: quale percentuale di aziende americane ed europee utilizza le password (e perch\u00e9 oggi poche persone usano password); perch\u00e9 cresce rapidamente la percentuale di utilizzo dell'autenticazione a due fattori basata su token crittografici; perch\u00e9 i codici monouso inviati tramite SMS non sono sicuri.<\/p>\n

A tutti coloro che sono interessati al tema dell'autenticazione attuale, passata e futura nelle applicazioni aziendali e per gli utenti\u2014benvenuti.
\n<\/a><\/noindex>
\nDall'autore<\/b><\/p>\n

Purtroppo, il linguaggio in cui \u00e8 scritto questo rapporto \u00e8 piuttosto \u00absecco\u00bb e formale. E il ricorso ripetuto alla parola \u00abautenticazione\u00bb in una breve frase non \u00e8 dovuto alle mani (o alle menti) del traduttore, ma \u00e8 una scelta degli autori. Nella traduzione, tra due opzioni \u2014 dare ai lettori un testo pi\u00f9 vicino all'originale oppure un testo pi\u00f9 interessante, a volte ho scelto la prima, altre volte la seconda. Ma abbiate pazienza, cari lettori, il contenuto del rapporto ne vale la pena.<\/p>\n

Alcuni passaggi insignificanti e non necessari per la narrazione sono stati omessi, altrimenti la maggior parte non avrebbe potuto gestire l'intero testo. Coloro che desiderano consultare il rapporto \u00absenza filtri\u00bb possono farlo nella lingua originale seguendo il link.<\/p>\n

Sfortunatamente, gli autori non sempre prestano attenzione alla terminologia. Cos\u00ec, a volte chiamano le password monouso (One Time Password \u2013 OTP) semplicemente \u00abpassword\u00bb, altre volte \u00abcodici\u00bb. Con i metodi di autenticazione \u00e8 anche peggio. Per un lettore inesperto non \u00e8 sempre facile intuire che \u00abautenticazione basata su chiavi crittografiche\u00bb e \u00abforte autenticazione\u00bb siano la stessa cosa. Ho cercato di unificare al massimo i termini; inoltre nel rapporto stesso c'\u00e8 un frammento che ne descrive alcuni.<\/p>\n

Tuttavia, il rapporto \u00e8 altamente raccomandato per la lettura, poich\u00e9 contiene risultati unici di ricerche e conclusioni corrette. <\/b><\/p>\n

Tutti i numeri e i fatti sono presentati senza alcuna modifica, e se non sei d'accordo con essi, \u00e8 meglio discutere non con il traduttore, ma con gli autori del rapporto. Ecco i miei commenti (formattati come citazioni e evidenziati nel testo in corsivo<\/i>) rappresentano il mio giudizio critico e sar\u00f2 felice di discuterne (cos\u00ec come sulla qualit\u00e0 della traduzione). <\/p><\/blockquote>\n

<\/p>\n

Panoramica<\/h2>\n

\nOggi i canali digitali di comunicazione con i clienti sono pi\u00f9 importanti che mai per le aziende. E anche all'interno dell'impresa, le comunicazioni tra i dipendenti sono pi\u00f9 orientate verso l'ambiente digitale che mai. E quanto saranno sicuri questi interazioni dipende dal metodo di autenticazione degli utenti scelto. Gli aggressori sfruttano un'autenticazione debole per effettuare attacchi di massa agli account degli utenti. In risposta, le autorit\u00e0 di regolamentazione stanno inasprendo gli standard per costringere le aziende a proteggere meglio gli account e i dati degli utenti.<\/p>\n

Le minacce legate all'autenticazione non si limitano alle applicazioni consumer, gli aggressori possono accedere anche all'applicazione aziendale. Questa operazione consente loro di impersonare gli utenti aziendali. Utilizzando punti di accesso con autenticazione debole, gli aggressori possono rubare dati ed eseguire altre attivit\u00e0 fraudolente. Fortunatamente, ci sono misure per combattere questo. Un'autenticazione rigorosa contribuir\u00e0 a ridurre significativamente il rischio di attacchi da parte di aggressori, sia sulle applicazioni consumer che sui sistemi aziendali delle imprese.<\/p>\n

In questo studio si esamina: come le aziende implementano l'autenticazione per proteggere le applicazioni per gli utenti e i sistemi aziendali; i fattori che considerano nella scelta di una soluzione di autenticazione; il ruolo che gioca l'autenticazione rigorosa nelle loro organizzazioni; i vantaggi che queste organizzazioni ottengono.<\/p>\n

Riepilogo<\/h2>\n

<\/p>\n

Conclusioni principali<\/h3>\n

\nDal 2017, la percentuale di utilizzo dell'autenticazione rigorosa \u00e8 aumentata drasticamente. <\/b> Con l'aumento del numero di vulnerabilit\u00e0 che colpiscono le soluzioni tradizionali di autenticazione, le organizzazioni stanno potenziando le loro capacit\u00e0 di autenticazione attraverso l'autenticazione rigorosa. Il numero di organizzazioni che utilizzano l'autenticazione multifattoriale basata su crittografia (MFA) \u00e8 triplicato dal 2017 per i consumatori e aumentato di quasi il 50% per le applicazioni aziendali. La crescita pi\u00f9 rapida si osserva nell'autenticazione mobile a causa della crescente disponibilit\u00e0 dell'autenticazione biometrica.<\/p>\n

Qui vediamo un'illustrazione del detto \"fino a che il tuono non colpisce, l'uomo non si segna\". Quando gli esperti avvisavano dell'inaffidabilit\u00e0 delle password, nessuno si affrettava ad adottare l'autenticazione a due fattori. Non appena gli hacker hanno iniziato a rubare le password, la gente ha cominciato ad adottare l'autenticazione a due fattori.<\/p>\n

In realt\u00e0, i privati sono molto pi\u00f9 attivi nell'implementare il 2FA. In primo luogo, per loro \u00e8 pi\u00f9 facile placare le proprie paure contando sull'autenticazione biometrica integrata negli smartphone, che \u00e8 in effetti piuttosto inaffidabile. Le organizzazioni, invece, devono spendere per acquistare token e fare lavori (in realt\u00e0 piuttosto semplici) per la loro implementazione. Inoltre, di perdite di password da servizi come Facebook e Dropbox non ha parlato solo chi era pigro, mentre le storie su come venivano rubate le password (e cosa \u00e8 successo dopo) nelle organizzazioni, i direttori IT di queste organizzazioni non le condivideranno mai. <\/p><\/blockquote>\n

\nColoro che non utilizzano autenticazione rigorosa sottovalutano il proprio rischio per il business e i clienti. <\/b> Alcune organizzazioni che attualmente non utilizzano autenticazione rigorosa tendono a considerare login e password come uno dei metodi di autenticazione degli utenti pi\u00f9 efficaci e facili da usare. Altre non vedono il valore degli asset digitali di cui dispongono. Infatti, non si deve dimenticare che ai criminali informatici interessa qualsiasi informazione consumer e aziendale. Due terzi delle aziende che utilizzano solo password per autenticare i propri dipendenti lo fanno perch\u00e9 ritengono che le password siano abbastanza valide per il tipo di informazioni che proteggono.<\/p>\n

Tuttavia, le password sono sulla strada del \"oblio\". <\/b> Nell'ultimo anno, la dipendenza dalle password \u00e8 diminuita significativamente, sia per le applicazioni consumer che per quelle aziendali (dal 44% al 31% e dal 56% al 47% rispettivamente), poich\u00e9 le organizzazioni stanno ampliando l'uso della MFA tradizionale e dell'autenticazione rigorosa.
\nTuttavia, se si valuta la situazione nel complesso, i metodi di autenticazione vulnerabili continuano a prevalere. Per l'autenticazione degli utenti, circa un quarto delle organizzazioni utilizza SMS OTP (password monouso) insieme a domande segrete. Di conseguenza, per proteggersi dalle vulnerabilit\u00e0, \u00e8 necessario implementare misure di sicurezza aggiuntive, il che aumenta i costi. L'uso di metodi di autenticazione molto pi\u00f9 sicuri, come le chiavi crittografiche hardware, \u00e8 molto meno comune, essendo applicato in circa il 5% delle organizzazioni.<\/p>\n

Il contesto normativo in evoluzione promette di accelerare l'implementazione dell'autenticazione rigorosa per le applicazioni consumer. <\/b> Con l'introduzione della PSD2, insieme a nuove normative sulla protezione dei dati nell'UE e in diversi stati degli USA, come la California, le aziende sentono la pressione. Quasi il 70% delle aziende concorda sul fatto che stanno affrontando una forte pressione normativa per garantire un'autenticazione rigorosa per i propri clienti. Oltre la met\u00e0 delle imprese ritiene che tra qualche anno i loro metodi di autenticazione non saranno sufficienti per rispettare gli standard normativi.<\/p>\n

Si nota chiaramente la differenza tra l'approccio dei legislatori russi e quello americano-europeo nella protezione dei dati personali degli utenti di programmi e servizi. I russi dicono: cari proprietari di servizi, fate quello che volete e come volete, ma se il vostro admin perde il database, vi sanzioneremo. All'estero dicono: dovete implementare un insieme di misure che non permetta<\/b> di perdere il database. \u00c8 proprio per questo che l\u00ec vengono implementati a pieno le richieste di una rigorosa autenticazione a due fattori.
\nTuttavia, non \u00e8 affatto da escludere che la nostra macchina legislativa, un giorno, si renda conto della situazione e tenga conto dell'esperienza occidentale. Allora tutti scopriranno che \u00e8 necessario implementare la 2FA, in conformit\u00e0 con gli standard crittografici russi, e ci\u00f2 con urgenza.\n<\/p><\/blockquote>\n

\nLa creazione di una base di autenticazione sicura consente alle aziende di spostare l'attenzione dalla conformit\u00e0 alle normative alla soddisfazione delle esigenze dei clienti. <\/b> Per le organizzazioni che utilizzano ancora password semplici o ricevono codici tramite SMS, il fattore pi\u00f9 importante nella scelta del metodo di autenticazione sar\u00e0 la conformit\u00e0 alle normative. Le aziende che gi\u00e0 utilizzano metodi di autenticazione rigorosi possono concentrarsi sulla selezione di metodi che aumentano la fedelt\u00e0 dei clienti.<\/p>\n

Quando si sceglie un metodo di autenticazione aziendale all'interno di un'impresa, i requisiti dei regolatori non sono pi\u00f9 un fattore significativo. <\/b> In questo caso, la semplicit\u00e0 di integrazione (32%) e il costo (26%) sono molto pi\u00f9 importanti. <\/p>\n

Nell'era del phishing, i malintenzionati possono utilizzare le email aziendali per frodi,<\/b> cercando di ottenere accesso ai dati, agli account (con i relativi diritti di accesso) e persino di convincere i dipendenti a effettuare un bonifico sul proprio conto. Pertanto, gli account di posta elettronica aziendale e dei portali devono essere particolarmente ben protetti.<\/p>\n

Google ha potenziato la propria sicurezza introducendo un'autenticazione rigorosa.<\/b> Pi\u00f9 di due anni fa, Google ha pubblicato un rapporto sull'implementazione dell'autenticazione a due fattori basata su chiavi crittografiche di sicurezza secondo lo standard FIDO U2F, riportando risultati notevoli. Secondo l'azienda, non si \u00e8 verificata alcuna attacco di phishing contro oltre 85.000 dipendenti. <\/p>\n

Raccomandazioni<\/h3>\n

\nImplementate l'autenticazione rigorosa per applicazioni mobili e online. <\/b> L'autenticazione multifattoriale basata su chiavi crittografiche offre una protezione molto pi\u00f9 sicura contro gli attacchi rispetto ai metodi MFA tradizionali. Inoltre, l'uso di chiavi crittografiche \u00e8 molto pi\u00f9 comodo, poich\u00e9 non \u00e8 necessario utilizzare e trasmettere informazioni aggiuntive \u2014 password, password usa e getta o dati biometrici dal dispositivo dell'utente al server di autenticazione. Inoltre, la standardizzazione dei protocolli di autenticazione consente di implementare nuovi metodi di autenticazione in modo molto pi\u00f9 semplice man mano che emergono, riducendo i costi di utilizzo e proteggendo contro schemi di frode pi\u00f9 complessi.<\/p>\n

Preparati al tramonto delle password usa e getta (OTP). <\/b> Le vulnerabilit\u00e0 associate agli OTP stanno diventando sempre pi\u00f9 evidenti, in una situazione in cui i criminali informatici utilizzano l'ingegneria sociale, il cloning degli smartphone e il malware per compromettere questi mezzi di autenticazione. E sebbene gli OTP possano presentare alcuni vantaggi in determinate circostanze, questo \u00e8 vero solo dal punto di vista della disponibilit\u00e0 universale per tutti gli utenti, ma non da quello della sicurezza.<\/p>\n

Non si pu\u00f2 negare che il ricevimento dei codici via SMS o notifiche Push, cos\u00ec come la generazione dei codici tramite app per smartphone, rappresenti proprio l'uso di quelle stesse password usa e getta (OTP) a cui ci si invita a prepararci per il loro declino. Tecnologicamente, si tratta di una scelta molto corretta, poich\u00e9 \u00e8 raro che un truffatore non cerchi di estorcere una password usa e getta a un utente fiducioso. Ma penso che i produttori di tali sistemi si aggrapperanno a questa tecnologia in via di estinzione fino all'ultimo. <\/p><\/blockquote>\n

Utilizza l'autenticazione rigorosa come strumento di marketing per aumentare la fiducia dei clienti. <\/b> L'autenticazione rigorosa pu\u00f2 non solo migliorare la sicurezza effettiva della tua attivit\u00e0. Informare i clienti che la tua azienda utilizza l'autenticazione rigorosa pu\u00f2 rafforzare la percezione pubblica della sicurezza di questa attivit\u00e0 \u2014 un fattore importante quando c'\u00e8 una domanda significativa da parte dei clienti per metodi di autenticazione affidabili.<\/p>\n

Esegui un'attenta inventaria e valutazione dell'importanza dei dati aziendali e proteggili in base alla loro criticit\u00e0. <\/b> Anche i dati a basso rischio, come le informazioni di contatto dei clienti (no, infatti, nel rapporto si dice proprio 'low-risk', \u00e8 molto strano che sottovalutino l'importanza di queste informazioni<\/i>), possono rivelarsi di grande valore per i truffatori e causare problemi all'azienda. <\/p>\n

Utilizza l'autenticazione rigorosa in azienda. <\/b> Alcuni sistemi sono le mete pi\u00f9 attraenti per i criminali. Questi includono sistemi interni e connessi a Internet, come programmi di contabilit\u00e0 o archivi di dati aziendali. L'autenticazione rigorosa impedisce ai malintenzionati di ottenere accessi non autorizzati e permette anche di determinare esattamente quale dipendente ha effettuato attivit\u00e0 malevole.<\/p>\n

Che cos'\u00e8 l'autenticazione forte? <\/h2>\n

\nNell'uso dell'autenticazione forte per verificare l'autenticit\u00e0 dell'utente vengono utilizzati diversi metodi o fattori:<\/p>\n