Jason: In questa lezione parleremo
dell'autenticazione a più fattori, nota anche come MFA.
Ora, quando si utilizza un dispositivo mobile,
è necessario autenticarsi su quel dispositivo
per poterlo sbloccare e iniziare a utilizzarlo.
Se pensate al vostro smartphone, quando passate il
dito verso l'alto, inizialmente userete il viso,
il dito, un PIN o una password per sbloccare il dispositivo
e iniziare a usarlo.
In questo caso, l'elemento che si utilizza per
sbloccare il dispositivo è noto come fattore di autenticazione.
Ora, nel mondo della sicurezza informatica,
abbiamo cinque diversi fattori di autenticazione che
si possono utilizzare.
Questi sono noti come fattore conoscenza,
fattore possesso, fattore ereditarietà, fattore
comportamento e fattore ubicazione.
Se consideriamo un fattore di conoscenza,
si tratta della forma più semplice di autenticazione,
e ci riferiamo a qualcosa che si conosce.
Se si pensa a qualcosa come un nome utente,
un PIN, una password, questi sono tutti fattori di conoscenza perché
si sta fornendo una risposta a una sfida come
"Qual è la tua password? ed essere in grado di autenticare
che siete la persona il cui nome utente è associato
a quella password perché la conoscete.
Ora, il problema principale dei fattori di conoscenza
è che sono la cosa più facile da violare, perché
si tratta solo di parole o numeri inseriti da una
tastiera o dall'utente finale.
Quindi, se state proteggendo il vostro
smartphone con un PIN a quattro cifre,
posso sedermi e cercare di indovinarlo, e ci
sono solo 10.000 combinazioni possibili con un numero
a quattro cifre.
Quindi, alla fine, riesco a indovinare il numero
e a entrare nel vostro dispositivo.
Questo è il punto debole del fattore conoscenza.
Il secondo fattore è il cosiddetto
fattore di possesso.
Questo è qualcosa che avete.
Ora, se lavorate in un ambiente aziendale di grandi dimensioni,
potreste aver ricevuto il cosiddetto portachiavi RSA.
Si tratta di un piccolo dispositivo con
un display LCD con sei numeri che cambiano
ogni 30-60 secondi.
Ora, se si tenta di accedere a un dispositivo sincronizzato
con questo, si dovranno inserire queste sei cifre.
E queste sei cifre cambiano ogni 30-60 secondi.
Quindi, conoscendo le cifre giuste,
si dimostra di essere in possesso del portachiavi, ed è per
questo che si parla di fattore di possesso.
Altri metodi di questo tipo sono l'utilizzo
di oggetti come i token fisici.
Ad esempio, nel governo degli Stati Uniti,
quando si cerca di accedere ai computer,
si usa la carta d'identità che ha un piccolo
microchip incorporato.
Quando inseriscono la carta nel computer, dimostrano
di essere in possesso della carta d'identità e di
essere chi dicono di essere.
Il terzo fattore è il cosiddetto
fattore di inerenza.
Ora, un fattore di ereditarietà è qualcosa che si è.
Mi piace pensare a questo come a pezzi del vostro corpo.
Quindi, quando si pensa a un fattore di ereditarietà
o a qualcosa di simile, si parla in realtà di biometria.
Quindi, se il vostro dispositivo mobile utilizza un'impronta digitale per
sbloccarlo, questo sarebbe un fattore di ereditarietà.
Allo stesso modo, se si utilizza qualcosa come Face ID, che esamina
la struttura del viso e consente di sbloccare
il telefono utilizzando tale elemento, anche
questo è un fattore biometrico.
Quindi lo chiameremmo fattore di ereditarietà,
o qualcosa del genere.
Il quarto fattore è quello che chiamiamo fattore di comportamento,
e mi piace definirlo come qualcosa che si fa.
Quando si considera un fattore di comportamento,
questo si baserà sul modo in cui si fanno determinate cose.
Ora, questi non sono molto comuni nei dispositivi mobili,
ma sono utilizzati in altri settori.
Ad esempio, in una struttura in cui lavoravo, era stato
installato un sistema di telecamere
che rilevava l'ingresso nell'edificio.
Il motivo per cui lo hanno fatto
è che stavano misurando l'andatura dei dipendenti
mentre camminavano verso la porta.
E lo usavano come uno dei fattori per autenticare
che la persona fosse chi diceva di essere, perché questo
comportamento era unico per ogni persona.
Un'altra area in cui vediamo utilizzare il comportamento
è il sistema di riconoscimento vocale.
Ora, si potrebbe pensare che il riconoscimento
vocale sia un fattore di ereditarietà, e potrebbe esserlo,
a seconda di come è impostato il sistema di autenticazione.
Ma in realtà, la maggior parte dei sistemi di riconoscimento
vocale non guarda a quello che avete
detto, ma a come lo avete detto.
Questo perché ognuno dice le cose in modo diverso.
La nostra voce e il modo in cui pronunciamo certe
parole hanno un'intonazione unica.
E quindi anche questo può essere un fattore di comportamento.
Il quinto fattore di autenticazione
è il cosiddetto fattore di localizzazione, che
a me piace definire come il luogo in cui ci si trova.
Ora, il dispositivo è dotato di un ricevitore GPS al suo interno,
per cui sa sempre dove si trova sulla faccia
della terra.
Possiamo quindi utilizzare la posizione come
parte del processo di autenticazione e dire che è
possibile accedere al telefono e utilizzarlo
solo quando ci si trova in determinate aree.
Potrebbe trattarsi di un Paese, di uno Stato,
di una città o anche solo di un isolato intorno
al vostro edificio.
Questo dipende dal vostro caso d'uso,
ma ho lavorato in organizzazioni
in cui i dispositivi mobili potevano essere utilizzati
solo entro un isolato dalla sede centrale.
E se ci si spingeva oltre, i dispositivi
si spegnevano e si bloccavano fino a quando non
si rientrava nel perimetro.
E questo è noto come fattore di localizzazione.
Ora, se utilizziamo uno qualsiasi di questi cinque
fattori, il fattore conoscenza, il fattore possesso, il fattore inerenza,
il fattore comportamento o il fattore ubicazione, chiamiamo
questa autenticazione a singolo fattore.
Quindi, se prendo il mio dispositivo mobile, passo il dito verso
l'alto e inserisco un PIN a quattro cifre,
questo è un singolo fattore di conoscenza che viene presentato.
Ma se combino insieme due o più di questi fattori, si ottiene
la cosiddetta autenticazione a più fattori.
Se si utilizzano due fattori,
a volte si parla di autenticazione a due fattori o 2FA.
Se si dispone di una combinazione di due, tre, quattro
o cinque di questi fattori, si parla
anche di autenticazione multifattoriale, perché si dispone
di due o più fattori di autenticazione.
Ora, quando si dispone di un dispositivo
rilasciato dall'azienda, questa può utilizzare il proprio
software MDM o di gestione dei dispositivi mobili per decidere esattamente
i requisiti necessari per accedere
al dispositivo.
Può trattarsi di una semplice impostazione
di un PIN o di una password lunga un certo numero
di caratteri, oppure può essere richiesto l'uso di
un fattore di ereditarietà o di un'autenticazione biometrica, come un'impronta
digitale o una scansione facciale.
Questo dipende dalla politica aziendale,
dal sistema e dai dispositivi in uso
e da ciò che supportano.
La maggior parte degli smartphone di oggi
supporta almeno un fattore biometrico o di ereditarietà.
Si tratta di un'impronta digitale o di una scansione facciale,
a seconda del modello utilizzato.
Un altro utilizzo dei nostri smartphone al giorno d'oggi
è come parte del nostro sistema di autenticazione a due fattori.
Se si va su un sito web, molte volte
il sito vi chiederà di accedere usando il vostro nome
utente e la vostra password, che è un fattore
di conoscenza, o qualcosa che conoscete.
Poi vi invieranno un messaggio di testo con
un codice univoco sul vostro smartphone.
In questo caso si sta creando una MFA o 2FA, perché si utilizzano due
fattori: il fattore di conoscenza del
nome utente e della password e il fattore di
possesso del fatto che si possiede
lo smartphone e si riceve il messaggio di testo.
Al giorno d'oggi, vediamo molti siti web che
utilizzano l'autenticazione a due fattori o l'autenticazione
a più fattori, perché fornisce un ambiente molto più sicuro
per gli utenti.
Per questo, è possibile scaricare un'applicazione
chiamata Authenticator, che funge da fattore di possesso all'interno
del dispositivo mobile.
Authenticator consente di registrarlo con
il proprio sito web che supporta 2FA o MFA.
E verrà utilizzato per creare questi codici casuali
senza dover disporre di un dispositivo portachiavi fisico,
perché lo smartphone funge da portachiavi e si sincronizza
con il sito web a cui si sta cercando
di autenticarsi.
Tenete quindi presente questo aspetto quando
pensate all'autenticazione a più fattori.
Multifattoriale significa che è necessario avere
due o più di questi fattori.
L'ultima cosa che vorrei menzionare
a proposito dell'autenticazione multifattoriale,
e che spesso mette in crisi gli studenti, è che il fatto
di avere due fattori non significa che si sia già arrivati
alla multifattorialità.
Se vi faccio accedere con un nome utente, una password
e un PIN, si tratta di due fattori di conoscenza.
Ma non si tratta di un'autenticazione a due fattori
o di un'autenticazione a più fattori, perché entrambi i
fattori appartengono alla stessa categoria.
Sono entrambi qualcosa che si conosce, il
che rappresenta un fattore di conoscenza.
Per poter disporre di un'autenticazione
a due fattori o di un'autenticazione multifattoriale, è necessario
disporre di due o più categorie rappresentate dai cinque fattori
di conoscenza, possesso, inerenza, comportamento e ubicazione.