Proteggere infrastrutture e dati fin dal momento in cui l’utente accede a un sistema. Questo, in estrema sintesi, l’obiettivo dell’autenticazione adattiva la quale, a una prima lettura, sembra non essere foriera di particolari degni di attenzione.

Le cose cambiano se si considera che, nel corso del 2022 e così come riportato nel report Identity security trends and solutions, Microsoft ha intercettato circa mille attacchi al secondo perpetrati in fase di autenticazione degli utenti.

L’autenticazione adattiva, che non va confusa con la sicurezza adattiva (nota anche con il nome di Zero Trust), valuta un mix di attributi tra i quali la biometria, la reputazione del dispositivo in uso e la sua localizzazione geografica.

Ecco come funziona e quali regole consente di creare.

Biometria, la terza dimensione della cyber security: soluzioni e problematiche di sicurezza

L’autenticazione adattiva

La combinazione tra nome utente e password è attuale e poco sicura. Un malintenzionato può riuscire a impossessarsi in modo facile (o relativamente facile) delle credenziali per accedere a una rete o a un sistema. Allo stesso modo, la sicurezza dell’autenticazione a due fattori comincia a scricchiolare e altrettanto vale per i codici One Time Password (OTP) inviati per sms.

L’autenticazione adattiva è basata sul rischio e, a seconda del contesto, richiede fattori aggiuntivi affinché un utente riesca a dimostrare la propria identità. È l’analisi del rischio a determinare il livello di autenticazione. Per esempio, il dipendente autorizzato a consultare un database può accedervi mediante le credenziali di rito (nome utente e password) mentre a chi ha privilegi di scrittura, modifica e cancellazione nel medesimo database – oltre alle credenziali – vengono posti ulteriori livelli per l’autenticazione basati su parametri biometrici o sul dispositivo usato per l’accesso.

Si tratta quindi di un processo di autorizzazione che miscela la sicurezza all’esperienza utente: i bassi privilegi ottengono accesso immediato in termini di tempo, i privilegi più alti devono sottostare a una procedura di accesso alle risorse un po’ più dispendiosa a tutela delle risorse stesse.

Le autenticazioni richieste oltre alle credenziali classiche (nome utente e password) possono essere:

1. identificazione biometrica;
2. codici OTP inviati a un numero di cellulare o a un indirizzo email specifici;
3. notifiche push inviate a un dispositivo pre-autorizzato;
4. smart card e altri ancora.

Tali metodi non si sostituiscono a vicenda ma si sommano l’un l’altro.

Le regole dell’autenticazione adattiva

Per garantire un livello di autenticazione più rigoroso a seconda del rischio intrinseco esistono diversi tipi di regole per l’implementazione dell’autenticazione adattiva.

Le regole statiche vengono applicate tipicamente alle applicazioni. Più queste sono sensibili e più sarà elevato e articolato il livello di sicurezza per accedervi. Possono essere anche associate ai privilegi concessi agli utenti.

Le regole dinamiche valutano parametri quali, per esempio, la geolocalizzazione. I sistemi di sicurezza adattiva monitorano tempi e luoghi dai quali un accesso viene richiesto. L’accesso di un utente da un luogo ritenuto insolito avvia ulteriori livelli di autenticazione. Un utente che accede sempre a un software aziendale da Milano e che il giorno dopo tentasse un accesso da Parigi non viene escluso a priori, deve provare con maggiore efficacia la propria identità e, a questo scopo, gli verranno posti altri livelli di autorizzazione.

Le regole ibride sono una miscela tra quelle statiche e quelle dinamiche. La sicurezza adattiva tende anche – laddove possibile – a favorire l’esperienza utente e quindi, per esempio, un utente che accedesse con privilegi elevati a un software aziendale ma usando un client interno riconosciuto, potrebbe essere chiamato a un’autenticazione rapida. Al contrario, se accedesse da un computer mai usato prima e dall’esterno dell’azienda, gli step di autenticazione sarebbero più articolati.

Come implementare la sicurezza adattiva

Le soluzioni offerte dal mercato sono diverse, molte aziende che si occupano di cyber security mettono a disposizione sistemi appositi.

Quando si parla di sicurezza la discriminante non dovrebbe essere il prezzo delle soluzioni ma la loro efficacia, la semplicità di implementazione e di manutenzione.

L’equilibrio tra il livello di sicurezza garantito e l’esperienza utente rimane primario: collegarsi alle risorse aziendali non deve per forza di cose diventare un processo lungo e dispendioso.

@RIPRODUZIONE RISERVATA