Metodi di autenticazione: stato dell’arte e nuove prospettive

In un recente intervento ad una conferenza, Rob Joyce, a capo del gruppo di Tailored Access Operations della National Security Agency, ha evidenziato come molti attacchi e data breach degli ultimi anni siano stati condotti con una stessa modalità: il furto di credenziali. La violazione dei dati di Hacking Team, l’attacco agli uffici federali per la gestione del personale del Governo degli Stati Uniti, la compromissione degli account email del direttore della CIA John Brennan e dell’esperto di sicurezza Mat Honan sono solo alcuni dei casi in cui gli hacker si sono introdotti nei sistemi utilizzando delle credenziali valide, ottenute tramite attacchi bruteforce, man-in-the-middle o applicando tecniche di social engineering.

Il successo di queste violazioni dimostra come, nonostante sia notoriamente poco robusta, l’autenticazione basata sulla sola verifica di username e password sia ancora largamente impiegata per regolare l’accesso a sistemi informativi e servizi web. Eppure esistono numerose alternative.

Identificazione degli utenti: i modelli classici

Tipicamente, la verifica dell’identità di un utente può essere basata su uno o più dei seguenti fattori:

1. la conoscenza di un’informazione concordata in precedenza, come la password;
2. il possesso di un oggetto, come una smart card, uno smartphone o un token crittografico per la generazione di password usa e getta;
3. la conformità di una misura biometrica raccolta nel momento dell’identificazione rispetto ad una misura registrata in precedenza. La misura è generalmente relativa ad una caratteristica individuale (come l’impronta digitale, la forma del volto, la conformazione dell’iride) o comportamentale (la dinamica della firma).

Quando il processo di identificazione richiede la verifica di due dei fattori citati, l’autenticazione è detta “forte”. Ad esempio, per accedere ai servizi di web banking di solito è necessario sia digitare un PIN, per dimostrare la conoscenza un segreto, sia inserire la one-time password generata con il proprio token, per dimostrarne il possesso. In altri casi, il processo richiede all’utente di inserire un codice che gli viene comunicato in tempo reale. Tecniche di questo tipo sono molto popolari e alcune sono addirittura ormai obsolescenti. Per esempio il NIST ha recentemente raccomandato di evitare modelli di autenticazione che ricorrano all’invio di codici tramite SMS, vulnerabili ad attacchi che consentono di ridirigere i messaggi verso SIM diverse da quella del legittimo destinatario. Altre modalità di trasmissione, come le notifiche push allo smartphone dell’utente, sono oggi considerate più robuste.

Anche l’autenticazione incentrata su misure biometriche è molto diffusa e tuttora in evoluzione. Già da tempo laptop e smartphone includono un sistema di identificazione dell’utente basato sulla verifica dell’impronta digitale, e recentemente si stanno avviando sperimentazioni di nuovi sistemi come Nimy, che riconoscono l’utente analizzando alcuni aspetti del suo elettrocardiogramma, rilevato in circa un minuto tramite un braccialetto dotato di sensori.

Le nuove direzioni per l’autenticazione

Parallelamente, si stanno valutando scenari innovativi basati su modelli significativamente diversi da quelli impiegati fino ad ora. In particolare, Google ha recentemente presentato il progetto Abacus, con cui intende realizzare un nuovo modello di autenticazione incentrato su un punteggio, detto “trust score”. Il trust score sarà calcolato analizzando una serie di caratteristiche specifiche dell’utente (le sue abitudini e preferenze, i luoghi che frequenta, le sue peculiarità nell’uso dei dispositivi elettronici) e rappresenterà la probabilità che un determinato utente sia davvero chi dichiara di essere.

L’obiettivo del trust score è di rendere disponibile una nuova tecnica di autenticazione, più robusta rispetto agli attacchi a cui sono vulnerabili quelle oggi utilizzate. Il nuovo modello pone però nuovi e significativi problemi.

Fino ad oggi, l’identificazione è avvenuta per confronto di due dati, raccolti o prodotti in un preciso momento. Il nuovo modello alla base del progetto Abacus presuppone invece un monitoraggio continuo, di cui ad oggi non è chiaro il perimetro. I dati così raccolti potrebbero avere un alto valore anche per scopi diversi dall’autenticazione, e sarà quindi fondamentale valutare sia le modalità con cui saranno trattati e conservati, sia quale controllo l’utente potrà avere su di essi, così da bilanciare robustezza del processo di autenticazione e riservatezza degli utenti.

Altrettanto importante sarà la definizione di metodi di accesso alternativi nei casi in cui, anche per brevi periodi, l’utente sia costretto a modificare le sue abitudini al punto da non raggiungere un trust score che permetta al sistema di riconoscerlo.

Al di là degli aspetti ancora da definire, il nuovo modello offrirà senza dubbio anche interessanti opportunità: potrebbe ad esempio rafforzare la capacità di rilevare i tentativi di accesso non autorizzato e consentire così l’attivazione tempestiva delle opportune contromisure. Solo seguendo le continue e rapide evoluzioni del tema sarà possibile cogliere appieno le potenzialità dei nuovi scenari che si stanno delineando.