L'hardware MFA è il futuro?

L'autenticazione a più fattori (MFA) è stata una componente fondamentale della moderna architettura di sicurezza aziendale. Un numero crescente di standard, come il NIST 800-63 serie, il Mitra D3FEND e di standard più specifici come il PCI-DSS per l'elaborazione finanziaria, tutti promuovono l'uso dell'MFA per migliorare la sicurezza.

L'autenticazione degli individui si concentra su qualcosa che possiedono (un fattore di possesso), qualcosa che conoscono (un fattore di conoscenza come una password o un PIN) e qualcosa che sono (un fattore di ereditarietà, spesso basato sulla biometria). L'MFA richiede almeno due dei tre metodi. Per oltre 40 anni, l'autenticazione per la maggior parte dei sistemi commerciali ha fatto leva su nomi utente e password, ma una rapida ricerca su Google di "perché le password sono cattive" produce 24,8 milioni di risultati. I limiti di sicurezza e usabilità dell'autenticazione basata su password sono ben noti e hanno portato le organizzazioni a passare all'MFA per migliorare la sicurezza e la soddisfazione degli utenti.

Un fattore chiave per migliorare le pratiche di sicurezza organizzativa è l'eliminazione degli attriti e dei vincoli di usabilità legati agli eventi di login degli utenti o alle sfide di sicurezza.

L'onnipresente ascesa del software MFA

Negli ultimi 5 anni abbiamo assistito a una miriade di approcci all'MFA basati su software, tra cui il generatore di one time password (OTP) basato su app e l'uso di notifiche push. Gli altri approcci semi-soft che molti conoscono includono l'invio di una OTP tramite SMS o e-mail. Tuttavia, entrambi gli approcci sono attivamente sconsigliati da enti come il NIST a causa delle vulnerabilità nelle modalità di consegna dell'OTP.

Siamo affaticati da app e notifiche?

Ma con il costante ronzio della tecnologia onnipresente e una mentalità "always on" rispetto al lavoro e all'attività online, stiamo affrontando la stanchezza da app? La marea di materiale online, social media, contenuti e pubblicità spinge molti a utilizzare la funzione "non disturbare" per periodi più lunghi della giornata, al fine di eliminare le distrazioni. L'uso delle notifiche push sia per la messaggistica che per la pubblicità potrebbe creare una "cecità da neve" quando si tratta di notifiche parallele relative a eventi di login e sicurezza.

L'aumento dell'uso di tecniche di interruzione per catturare l'attenzione dell'utente finale potrebbe andare a scapito della sicurezza organizzativa, a causa di una potenziale maggiore mancanza di cura e attenzione e della continua accettazione della messaggistica in entrata. In breve, gli utenti rispondono in modo affermativo a qualsiasi notifica o avviso di sicurezza per liberarsi dall'afflusso, senza accorgersi di quelle che sono vere e proprie minacce.

L'hardware MFA può essere d'aiuto?

L'MFA hardware si presenta in genere sotto forma di smart card, chiavi di sicurezza USB e generatori OTP. Molte organizzazioni hanno sfruttato la sicurezza basata sull'hardware per gli utenti e gli eventi più a rischio, ma l'implementazione è stata spesso piuttosto mirata, a causa dei costi, della complessità o come risultato dei calcoli di impatto e probabilità effettuati durante la gestione del rischio.

I principali vantaggi degli approcci basati sull'hardware erano una maggiore resistenza alle manomissioni e la difficoltà di clonazione. Il rovescio della medaglia era la necessità di un nuovo modello operativo per gestire l'emissione di hardware e, naturalmente, l'inevitabile caso di perdita del dispositivo: furto, smarrimento o danneggiamento.

Il tipico panorama dell'MFA hardware amplifica il paradosso della sicurezza e dell'usabilità: come si può migliorare un aspetto senza impattare sull'altro?

L'hardware sembra migliorare la sicurezza, ma comporta costi operativi e un'esperienza utente potenzialmente più invasiva, soprattutto per quanto riguarda gli aspetti di onboarding e reset del ciclo di vita delle credenziali.

È possibile combinare i vantaggi del software (velocità di commercializzazione, basso costo marginale di installazione per utente e semplicità di aggiornamenti e upgrade) con i vantaggi dell'hardware (maggiore sicurezza e minore ricorso alle notifiche e alle interruzioni delle applicazioni)?

Software o hardware? Come decidere

Stiamo iniziando a vedere un movimento verso modalità di autenticazione senza password, in cui l'evento di autenticazione contiene ancora due dei tre componenti di autenticazione, ma non inizia con un segreto condiviso o si basa su di esso. La biometria come ereditarietà tramite un'applicazione nativa associata al dispositivo mobile e il dispositivo mobile stesso che funge da possesso fattore. Questi sono i più comuni.

Il fattore di possesso, che si basa sull'hardware del dispositivo, sulla carta SIM e sui servizi integrati all'operatore di rete mobile, può essere sfruttato ulteriormente per fornire una sicurezza più spinta?

MFA basato su software

‍

‍MFA basato su hardware

‍

L'approccio ideale consiste nel combinare i vantaggi di una maggiore sicurezza offerti dall'hardware con i fattori che contribuiscono alla soddisfazione dell'utente finale offerti dal software. È possibile ottenere un'esperienza utente finale mista, sfruttando i componenti hardware esistenti anziché richiederne di nuovi, e fornire un'esperienza utente più sicura e meno onerosa?

Inoltre, qualsiasi analisi di un metodo MFA o di una soluzione di autenticazione basata su credenziali dovrebbe considerare come la modalità scelta si pone rispetto al ciclo di vita del suo utilizzo, dall'iscrizione fino alla rimozione e allo smaltimento.

Per quanto riguarda l'utente finale, stiamo entrando in una fase in cui l'utilizzo dell'MFA è innescato da un numero sempre maggiore di eventi esterni, sia per i consumatori - che fanno acquisti, eseguono transazioni online e condividono PII - sia per i dipendenti delle aziende, con la crescente diffusione di reti a fiducia zero e di modelli di lavoro distribuiti.

Di conseguenza, la modalità di autenticazione scelta richiede l'autosufficienza dell'utente finale per i casi d'uso di aggiunta e ripristino e offre una migliore sicurezza e gestione operativa dal punto di vista del servizio.

‍

L'autore

Simon Moffatt è fondatore e analista di The Cyber Hut. È un autore pubblicato con oltre 20 anni di esperienza nel settore informatico e in quello della gestione dell'identità e degli accessi. Il suo libro più recente, "Consumer Identity & Access Management: Design Fundamentals", è disponibile su Amazon. È un CISSP, CCSP, CEH e CISA. È anche un laureando part-time del Master in Sicurezza Informatica certificato dal GCHQ. Information Security presso la Royal Holloway University, Regno Unito. Il suo diario di ricerca 2021 si concentra su "Come uccidere la password", "Tecnologia di autorizzazione di nuova generazione" e "Come le contromisure IAM possono difendere dalla guerra informatica". Per ulteriori informazioni qui.

Il rifugio cibernetico è una società di analisi leader del settore, focalizzata sulle tecnologie di identità, accesso e sicurezza informatica. L'azienda, che opera nel Regno Unito con una portata globale, è specializzata nell'aiutare sia il buy side che il sell side a ottimizzare la comprensione delle complesse soluzioni di sicurezza informatica. Per ulteriori informazioni qui.