Perché la password forte non esiste

In questo articolo spieghiamo come l'aumento della complessità delle password sia diventato la sua stessa debolezza.
‍

Dalle parole d'ordine usate dai soldati romani ai complessi codici cifrati su cui facciamo affidamento oggi, l'uomo usa le password da migliaia di anni. Nei primi anni della tecnologia informatica, sembravano ideali per la sicurezza degli account: facili da impostare, universali su diverse piattaforme e senza chiedere troppo all'utente.
‍

Eppure, al giorno d'oggi, impostare una nuova password è notoriamente doloroso. Ogni volta che ci iscriviamo a un nuovo servizio, dobbiamo memorizzare una nuova stringa di caratteri casuali e, per essere veramente sicuri, dobbiamo poi tornare indietro che con l'autenticazione a più fattori o a due fattori (MFA o 2FA).
‍

Gli sviluppi tecnologici non dovrebbero semplificare la vita? Il problema è che le password si basano sul nostro cervello, ma gli aggressori possono usare la potenza dei computer. E, come aveva previsto Bill Gates quasi 20 anni faNon è una guerra che possiamo vincere. Come spiega l'amministratore delegato di IDlayr Paul McGuire in una podcast con Cybercrime Magazine, l'anello più debole della sicurezza siamo noi, gli esseri umani.
‍

Continuate a leggere per scoprire come la dipendenza dalle password sia arrivata a questo punto doloroso, i problemi che comporta sia per l'esperienza dell'utente che per la sicurezza e che tipo di alternativa senza password è già possibile.

‍

L'incessante spinta alla complessità 

La prima password era probabilmente qualcosa di semplice, come il nome del proprio figlio o del proprio animale domestico. Ma con una tale prevedibilità del comportamento umano, il crimine d'identità era inevitabile.

Con la crescita massiccia di Internet, l'hacking criminale mirato è diventato non solo più desiderabile, ma anche più facile da usare. facile. Tali password deboli non resistevano a un po' di indovinelli o a una ricerca di base. Ben presto, gli aggressori non avevano più bisogno di indovinare o conoscere il loro obiettivo: i bot potevano tentare ogni parola del dizionario (e le sue permutazioni) immaginabile.

I servizi online hanno dovuto aumentare la loro sicurezza in risposta, bloccando gli utenti dopo un numero eccessivo di tentativi errati, con inevitabili problemi di esperienza utente. Hanno anche iniziato a richiedere elementi complessi come numeri, lettere maiuscole e simboli, in modo da rendere più difficile per i computer "indovinare" (e quindi tenere lontani i malintenzionati). Ma nel corso del processo, le password si sono allontanate dal loro fascino originario di qualcosa che possiamo ricordare facilmente.

Il problema della memoria umana

Al giorno d'oggi, quasi tutti i siti web o le app richiedono una password, che dovrebbe essere diversa l'una dall'altra se non vogliamo che una serie di credenziali violate porti a molte altre. Una persona media ha un numero impressionante di 100 o più password - ma le password "forti" sono difficili da memorizzare per gli esseri umani.

Esistono strumenti di gestione delle password che ci aiutano a tenere tutto sotto controllo, ma hanno una barriera di accessibilità e spesso non funzionano su diversi dispositivi. IDlayr ha chiesto agli utenti di Twitter La maggior parte degli intervistati (40%) ha dichiarato di utilizzare un sistema mentale per tenere sotto controllo le password piuttosto che uno strumento di questo tipo, e 21% degli intervistati hanno persino ammesso di riutilizzare la stessa password.

‍

 

La mente umana commette semplicemente degli errori che un computer non commette: una ricerca dell'IBM ha rilevato che 95% delle violazioni della sicurezza informatica sono dovute a errori umani. Non c'è da stupirsi se la maggior parte degli utenti è incredibilmente lassista: i due dati più comunemente riscontrati nelle violazioni sono ancora "123456" e "password", che sono stati entrambi al centro dell'attenzione. in cima alla lista da quando SplashData ha iniziato a compilarlo un decennio fa. È chiaro che molte persone scelgono sempre l'opzione più semplice e gli aggressori lo sanno.

Il costo delle password

Tutti questi errori umani si sommano. Ricerca Gartner Group ha rilevato che 40% di tutte le chiamate all'help desk sono per la reimpostazione della password e Forrester Research ha rilevato che il costo medio per una singola reimpostazione della password aziendale è di circa $70, che si aggiunge ai milioni per le grandi organizzazioni.

Secondo VerizonIn un solo mese, Microsoft ha dovuto reimpostare 686.000 password per i dipendenti, accumulando oltre $12 milioni di costi di assistenza. Non c'è da stupirsi che il direttore della sicurezza delle identità di Microsoft, Alex Weinert, abbia scritto più volte sul tema della sicurezza delle identità. vulnerabilità di password.

La cattiva notizia: le password "forti" non sono importanti

‍

Nonostante tutti gli sforzi che facciamo per creare e memorizzare password sicure, è tristemente vero che gli aggressori riescono a superarle in ogni caso. Le password si basano semplicemente sulla conoscenza e nulla impedisce che questa venga rubata e condivisa.

Con i criminali informatici che affinano costantemente le loro tecniche, anche gli utenti più esperti possono essere indotti a condividere queste informazioni tramite truffe di phishing (messaggi falsi e convincenti che inducono gli utenti a inserire le credenziali in siti web falsi) o in modo mirato. attacchi di acquisizione di account. Ma l'utente non ha nemmeno bisogno di sbagliare per farsi rubare la password.

Per verificare che una password sia corretta, un servizio deve memorizzarla in un database. Naturalmente, questi database sono diventati essi stessi dei bersagli. Negli anni '70 sono stati inventati l'"hashing" e il "salting" per aumentare la sicurezza delle password, aggiungendo la crittografia e caratteri casuali per renderle indecifrabili. Tuttavia, anche le chiavi di crittografia vengono regolarmente divulgate e ciò significa che gli hash della maggior parte delle password sono disponibili online per essere decodificati dai criminali.

Qual è l'alternativa alle password?

‍

La buona notizia è che la vostra azienda può migliorare la sicurezza e l'esperienza degli utenti, riducendo i costi di assistenza, abbandonando le password. Esiste oggi un metodo di verifica senza password che è mobile-nativo, universale e crittograficamente sicuro. Lo chiamiamo Autenticazione basata su SIM.
‍

Il funzionamento è semplice: l'utente inserisce il proprio numero di cellulare nell'app o nel sito web, che comunica istantaneamente con l'MNO (operatore di rete mobile) per verificare che il numero sia effettivamente quello collegato alla scheda SIM del dispositivo mobile. Questo può essere utilizzato come secondo fattore a supporto di altri controlli di sicurezza, oppure per essere completamente privi di password. Nel frattempo, nessun dato dell'utente viene elaborato o conservato, per cui nulla può essere divulgato o rubato.
‍

Non essendoci password o codici, si tratta di un controllo potente e presente, basato sul possesso, che non può essere compromesso da malintenzionati o infiltrato da remoto. IDlayr può anche verificare attivamente l'attività di scambio di SIM per mitigare il rischio di frodi di SIM swap.
‍

Il controllo di verifica avviene in modo silenzioso in background e l'applicazione rischio di sicurezza dell'essere umano è quindi notevolmente ridotta. Il risultato è un'esperienza di autenticazione invisibile e senza sforzo, con una sicurezza più forte che sembra una magia.

Come iniziare

‍

I prodotti IDlayr si integrano facilmente in qualsiasi architettura applicativa client-server utilizzando API restful e SDK per iOS, Android, React Native e Mobile Web.
‍

Gli sviluppatori possono trovare tutto ciò di cui hanno bisogno per iniziare nel nostro sito documentazione, comprese le guide all'integrazione di tutti i nostri prodotti. Semplicemente iscriviti per iniziare l'integrazione e testare gratuitamente oggi stesso - oppure contatto Vendite per scoprire come IDlayr può aiutare la vostra azienda.