Abbiamo raggiunto il "max MFA": qual è l'alternativa?

L'autenticazione a più fattori (MFA) è in uso da circa 20 anni e si è evoluta come soluzione logica per ridurre la minaccia di attacchi informatici e frodi online. Tuttavia, con l'evoluzione della tecnologia, è aumentata anche la sofisticazione dei criminali informatici, per cui le soluzioni MFA esistenti non sono più efficaci. 

L'attuale paradigma di sicurezza prevede la stratificazione di livelli sempre più complessi di sicurezza per gli utenti, ma i consumatori e i dipendenti ne hanno abbastanza di navigare tra infiniti requisiti per cercare di migliorare la sicurezza online. La sicurezza non dovrebbe essere qualcosa che "funziona e basta"?

Viviamo ormai in un mondo mobile-first

Come previsto, oggi più persone hanno accesso a uno smartphone che all'acqua corrente. La maggior parte delle soluzioni MFA sono state create per un mondo desktop con poche frodi, ma ora viviamo in un mondo mobile-first dove le frodi sono state industrializzate. 

La criminalità informatica è in aumento (ora alimentata dall'intelligenza artificiale) e gli utenti ne hanno abbastanza della crescente seccatura e complessità - hanno effettivamente raggiunto il "massimo MFA" e le aziende non possono più permettersi i costi e le risorse richieste da questo modello inefficiente.

Per i mercati mobile-first e per le aziende che fanno già molto affidamento sulla telefonia mobile (per le app dei clienti o per i dipendenti in remoto), è necessario un nuovo paradigma di sicurezza. Un paradigma che sia nativo per il mobile e che escluda l'utente dall'equazione della sicurezza.

Le numerose forme di requisiti MFA imposti agli utenti

Nel corso degli anni i consumatori e i dipendenti dei vari settori, da quello bancario a quello dell'e-commerce fino a quello sanitario, sono stati sottoposti a MFA in molte forme, e servono a ricordare come la complessità della sicurezza sia stata scaricata sugli utenti, creando attriti e un'esperienza d'uso frammentata.

• Domande sulla sicurezza: domande e risposte tipicamente scelte dall'utente, che possono essere altamente uniche, ma sono fattori di conoscenza inclini a essere dimenticati e sono suscettibili di attacchi di phishing.

• SMS One-Time Password (OTP): la forma più diffusa oggi, ma utilizza un protocollo di messaggistica che non è mai stato concepito per la sicurezza ed è aperto a Frode dello scambio di SIM (Man in the Middle Attacks), phishing, oltre a costi operativi elevati e a una scarsa esperienza dell'utente.

• Password unica basata sul tempo (TOTP): in genere costringe gli utenti a scaricare software aggiuntivo, come un'app per l'autenticatore, creando un'esperienza d'uso frammentata, e non è impermeabile al phishing o al malware.

• Chiavi di sicurezza hardware: I dispositivi hardware fisici, come i portachiavi USB, non sono suscettibili di attacchi online, ma possono essere smarriti, rubati e comportano un'esperienza d'uso poco agevole.

Barclays PIN Sentry (lettore di carte) e istruzioni per l'accesso a un conto bancario con una carta a griglia

• Lettori di schede: Questi gadget, ampiamente utilizzati dalle banche negli anni 2010, sono un altro segno distintivo dell'era del desktop. Per fortuna oggi questi dispositivi si trovano per lo più in fondo al cassetto della scrivania.

• Schede a griglia: Chiedere ai clienti un codice era davvero una prova di pazienza... un altro metodo goffo che, pur essendo economicamente vantaggioso per una banca, creava un nuovo limite in termini di esperienza dell'utente.

• Autenticazione biometrica: Anche se ora è soggetta alle più recenti minacce dei deepfakes e di altre tecniche di AI avversarie, l'autenticazione biometrica insieme a un fattore basato sul possesso (ad esempio un telefono cellulare) fornisce un forte livello di sicurezza.

In un mondo in cui il cellulare sta diventando sempre più il dispositivo di calcolo principale, per rendere felici i vostri utenti, la verifica della loro identità online deve diventare semplice e sicura. 

Introduzione all'identità mobile

L'alternativa consiste nell'aggiungere un livello di Mobile Identity, ovvero una sicurezza del fattore di possesso basata sull'hardware e totalmente invisibile all'utente.

Mobile Identity utilizza il numero di cellulare come credenziale di identificazione, che viene autenticato utilizzando il fattore di possesso hardware crittograficamente sicuro presente in ogni telefono cellulare: la carta SIM. È facile per l'utente e non è necessario alcun hardware.

Mobile Identity crea un legame sicuro e resistente al phishing tra la credenziale di identità dell'utente e il dispositivo mobile, senza bisogno di codici PIN inviati via e-mail o SMS. La credenziale dell'ID mobile viene autenticata utilizzando il fattore di sicurezza del possesso mobile incorporato. Questa tecnologia è fondamentale per il funzionamento delle reti mobili, utilizza una crittografia avanzata già distribuita su oltre 5 miliardi di telefoni cellulari ed è completamente invisibile all'utente.

Per maggiori informazioni, programmare una demo con il nostro team per scoprire come possiamo aiutarvi a passare a una soluzione basata sull'identità mobile.