Password: il mezzo di autenticazione più diffuso.

Quando ancora oltre 25 milioni di utenti nel mondo utilizzano la password 123456, vediamo un po’ di misure di sicurezza.                 

Basata sulla gestione di un “segreto” (ciò che io so), l’autenticazione tramite nome utente e password è un modo semplice ed economico per controllare l’accesso.

Tuttavia, questo metodo di autenticazione ha un basso livello di sicurezza.

Negli ultimi anni numerosi attacchi informatici hanno portato alla compromissione di interi database di account e password associate. Queste fughe di dati hanno contribuito in particolare ad arricchire la conoscenza degli aggressori, in termini di password. I rischi di compromettere gli account associati a questo metodo di autenticazione, sono notevolmente aumentati e richiedono un’attenzione speciale.

I rischi legati alla gestione delle password sono molteplici e si basano in particolare su:

• la semplicità della password;
• “ascolto in rete” (sniffing) per raccogliere le password trasmesse;
• mantenere la password in chiaro;
• la debolezza delle procedure di rinnovo della password, in caso di dimenticanza (caso di domande “segrete”). ​

Non esiste una definizione universale di una buona password, ma la sua complessità e la sua lunghezza consentono di ridurre il rischio di successo, in un attacco informatico, che consisterebbe nel testare in successione molte password (attacco di forza bruta). Si ritiene che la lunghezza della password sufficiente per resistere ai comuni attacchi, sia da 12 caratteri. Quando la dimensione della password diminuisce, devono essere previste misure compensative.

Autenticazione password: lunghezza, complessità, misure aggiuntive

I requisiti minimi in termini di dimensione e complessità della password, variano a seconda delle misure aggiuntive messe in atto per rendere più affidabile il processo di autenticazione: quindi, se l’autenticazione si basa esclusivamente su una password, ciò implica almeno l’uso di una password complessa di almeno 12 caratteri, composti da lettere maiuscole e minuscole, numeri e caratteri speciali.

 Misure complementari all’inserimento di una password (restrizioni di accesso, raccolta di altri dati, supporto in possesso dell’utente) consentono di ridurre la lunghezza e la complessità della password, poiché queste misure sono in grado di garantire un livello di sicurezza equivalente alla password da sola.

La tabella seguente mostra i 4 casi di autenticazione con password  

	Esempio di utilizzo	lunghezza minima	Composizione della password	Misure complementari
solo password	FORUM, BLOG	12	lettere maiuscoleminuscolofigurepersonaggi speciali	Consiglio una buona password
Con limitazione di accesso (la più comune)	SITI DI E-COMMERCE, ACCOUNT AZIENDALE, WEBMAIL	8	Almeno 3 dei seguenti 4 tipi: lettere maiuscole minuscolo figure personaggi speciali	Blocco di più tentativi: (esempi) Ritardo di accesso all’account dopo diversi errori «Captcha» Blocco dell’account dopo 10 errori
Con informazioni aggiuntive	BANCA IN LINE	5	Numeri e/o lettere	Blocco di più tentativi + Informazioni aggiuntive comunicate di per sé con una dimensione di almeno 7 caratteri (es. identificativo dedicato al servizio) Dove Identificazione del terminale dell’utente (es.: indirizzo IP, indirizzo MAC, ecc.)
Con attrezzatura di proprietà della persona	CARTA DI CREDITO O TELEFONO	4	Figure	Materiale di proprietà della persona (es. carta SIM, carta di credito, certificato) + Bloccato dopo 3 tentativi falliti

In ogni caso
la password non deve essere comunicata all’utente in chiaro tramite e-mail.

Questi requisiti sono regole minime. Il controllo degli accessi potrebbe dover fare affidamento su regole più complesse, a seconda dei rischi a cui è esposto il sistema.  

Sicurezza dell’autenticazione

Qualunque siano le misure messe in atto, la funzione di autenticazione deve essere sicura:

• utilizzando un algoritmo pubblico ritenuto potente;
• l’aggiornamento del software privo di vulnerabilità note.

Quando l’autenticazione non avviene localmente, l’identità del server deve essere verificata utilizzando un certificato di autenticazione e il canale di comunicazione tra il server autenticato e il client, deve essere crittografato, utilizzando una funzione di crittografia sicura. La sicurezza delle chiavi private deve essere garantita.

Protezione delle password

La password non deve mai essere conservata in chiaro. Quando l’autenticazione avviene su un server remoto e, negli altri casi tecnicamente fattibili, la password deve essere trasformata mediante una funzione crittografica irreversibile e sicura, che preveda l’utilizzo di una chiave.

Rinnovo password

Rinnovo periodico

Il titolare del trattamento deve assicurarsi che la password venga rinnovata con una frequenza pertinente e ragionevole, che dipende in particolare dalla complessità imposta della password, dai dati trattati e dai rischi a cui è esposta.

L’interessato deve essere in grado di modificare autonomamente la propria password. In questo caso valgono le regole relative alla creazione delle password.

Rinnovo su richiesta

Su richiesta dell’interessato, ad esempio in caso di dimenticanza, il titolare del trattamento deve attuare una procedura per il rinnovo della password.

Se tale rinnovo richiede l’intervento di un amministratore, all’interessato viene assegnata una password temporanea, al quale viene imposta la modifica al primo collegamento.

Se questo rinnovo avviene automaticamente: la password non deve essere trasmessa in chiaro. L’utente deve essere reindirizzato a un’interfaccia da un URL temporaneo la cui validità non deve superare le 24 ore, consentendogli di inserire una nuova password e consentendo un solo rinnovo. Può essere utilizzato anche un codice di accesso temporaneo, purché abbia le stesse caratteristiche dell’URL temporaneo, ovvero abbia una validità di 24 ore e consenta un solo rinnovo.

Se il rinnovo prevede uno o più elementi aggiuntivi (numero di telefono, indirizzo postale, ecc.):

• questi elementi non devono essere conservati nello stesso spazio di archiviazione dell’elemento di verifica della password; in caso contrario, devono essere archiviati in forma crittografata utilizzando un algoritmo pubblico noto per essere forte e deve essere garantita la sicurezza della chiave di crittografia;
• al fine di prevenire tentativi di usurpazione basati sulla modifica di questi elementi, la persona deve essere immediatamente informata del loro cambiamento.

Cosa fare in caso di rischio di compromissione della password

Se un titolare del trattamento rileva una violazione dei dati in relazione alla password di una persona,

1. Il titolare del trattamento deve darne comunicazione all’interessato, entro un termine non superiore a 72 ore;
2. Deve obbligare l’utente interessato a modificare la sua password alla successiva connessione;
3. Deve raccomandare di modificare le proprie password per altri servizi, nel caso in cui abbia utilizzato la stessa password per loro.