Che cos'è l'autenticazione senza password e come funziona

La maggior parte delle persone deve ricordare una stringa di password diverse per accedere a vari dispositivi e account, che si tratti di telefono e laptop o di account e-mail e social media. Diventa fin troppo facile diventare pigri per quanto riguarda l'igiene delle password , ma è allora che gli utenti diventano più suscettibili agli attacchi informatici. Ed è diventato incredibilmente facile per gli hacker rubare le password tramite violazioni dei dati , phishing e altri attacchi.

Di conseguenza, le password sono cadute in disuso negli ultimi anni. La tendenza è destinata a crescere con l'adozione sempre più ampia di una miriade di forme di autenticazione senza password, sia da parte degli utenti che delle organizzazioni. Quindi, che cos'è esattamente la protezione senza password, come funziona e quali sono i vari esempi di autenticazione senza password? Continua a leggere per saperne di più.

Che cos'è l'autenticazione senza password?

Nei termini più semplici, l'autenticazione senza password consente a un utente di verificare la propria identità senza bisogno di una password. Questo può essere ottenuto attraverso vari mezzi. Ad esempio, un utente può eseguire la scansione del viso o dell'impronta digitale per ottenere l'accesso al proprio dispositivo o account, oppure può utilizzare password monouso (OTP), spesso utilizzate nell'autenticazione a due fattori (2FA) o collegamenti URL generati specificamente per ogni tentativo di accesso.

Gli accessi tramite password sono diventati sempre più popolari negli ultimi anni, tuttavia gli utenti creano password con una sicurezza molto debole . Molti utenti utilizzano la stessa password in diversi account, non creano password adeguatamente complesse e dimenticano di cambiarle periodicamente. Anche se, ovviamente, un gestore di password affidabile può aiutare in questo.

Come funziona l'autenticazione senza password?

L'autenticazione senza password richiede agli utenti di presentare qualcosa di univoco per verificare la propria identità e ottenere l'accesso a un dispositivo o account. Questi sono noti come fattori di autenticazione e ne esistono di diversi tipi, tra cui:

• Fattori della conoscenza qualcosa che l'utente conosce, ad esempio una password
• Fattori di possesso: qualcosa che l'utente ha, come un telefono in grado di ricevere una password monouso (OTP)
• Inerenza fattori: qualcosa che è univoco per l'utente, in genere si tratta di dati biometrici come le impronte digitali o il riconoscimento facciale
• Fattori di posizione: l'utente richiede una geolocalizzazione specifica per ottenere l'accesso, ad esempio l'ufficio o la casa
• Fattori comportamentali: l'utente deve eseguire azioni specifiche per ottenere l'accesso, ad esempio la password immagine di Windows 8

Tutti gli accessi richiedono agli utenti la presentazione di almeno un fattore. Nella maggior parte dei casi, si tratta di un fattore di conoscenza, in genere una password. Tuttavia, l'accesso senza password elimina la necessità di una password sfruttando i numerosi altri fattori di autenticazione per offrire una maggiore protezione. Si tratta spesso di fattori di possessione, come le OTP, o di fattori inerenti, come la biometria.

L'autenticazione senza password è sicura?

In genere, l'accesso senza password è considerato molto più sicuro degli accessi tradizionali che richiedono l'immissione di credenziali specifiche da parte dell'utente. Questo perché, eliminando la necessità di una password, questi sistemi di accesso riducono significativamente il rischio di attacchi informatici come attacchi di forza bruta o dizionario, keylogging , credential stuffing e attacchi Man-in-the-Middle . Sono inoltre molto più immuni dai rischi di pirateria informatica, ingegneria sociale e dall'inerzia umana, che può comportare l'utilizzo delle stesse password su più account e dimenticarsi di aggiornarle.

Tuttavia, come la maggior parte delle cose, l'autenticazione senza password non è del tutto infallibile. Determinati aggressori possono comunque trovare il modo di hackerare i sistemi di autenticazione, indipendentemente dalla loro sofisticatezza. Gli hacker potrebbero essere in grado di dirottare indirizzi e-mail, numeri di telefono e persino dispositivi per intercettare determinati tipi di autenticazione delle password, come OTP e magic link.

MAE CONTRO autenticazione senza password

Sebbene possano apparire simili, l'autenticazione a più fattori (MFA) e l'autenticazione senza password sono leggermente diverse. In molti casi, MFA utilizza una password, nonché un'altra forma di verifica, ad esempio OTP o dati biometrici. Tuttavia, come suggerisce il nome, la protezione senza password elimina la necessità per gli utenti di immettere una password.

Tuttavia, esistono situazioni in cui due o più forme di accesso senza password vengono combinate e gli utenti devono superare entrambi i processi di verifica per accedere ai propri dispositivi o account. Questo è noto come MFA senza password.

Quali sono gli esempi comuni di autenticazione senza password?

Tradizionalmente, la maggior parte degli accessi utilizza un fattore di conoscenza, una password, che funzionano tutti allo stesso modo: gli utenti creano combinazioni univoche di numeri, lettere e/o simboli e utilizzano questo con un nome utente per accedere ai propri dispositivi o account. A differenza delle password, l'autenticazione senza password può assumere molte forme diverse. Come accennato, la protezione senza password in genere incorpora almeno un fattore di autenticazione, in genere non il fattore conoscenza, motivo per cui è più dinamico delle password.

Certificates

Molte app e software connessi a Internet utilizzano certificati digitali per verificare le identità degli utenti senza password. In questo caso, il dispositivo personale dell'utente conterrà una chiave privata, mentre il server dell'app o del software archivia una chiave pubblica. I due devono corrispondere in modo appropriato per abilitare l'autenticazione senza password.

Password monouso

Se vi siete mai chiesti "Che cos'è l'autenticazione OTP?", Ecco la risposta: sebbene gli utenti debbano comunque digitarli nei propri dispositivi per accedere ai propri account, le password monouso sono considerate una forma di autenticazione senza password. Questo perché si tratta di codici temporanei che gli utenti ricevono tramite messaggi di testo o app di autenticazione; sono ogni volta diverse e scadono entro alcuni minuti, quindi sono considerate più sicure delle password tradizionali. Questo è un tipo di fattore di possesso poiché, in teoria, solo l'utente dispone dei mezzi per generare o ricevere la OTP.

Biometria

Al giorno d'oggi molti dispositivi e software utilizzano la biometria per gli accessi con password. Si tratta di fattori di inerenza in quanto consentono l'accesso con caratteristiche fisiche uniche dell'utente, ad esempio impronte digitali o scansioni della retina. Gli iPhone sono un buon esempio di autenticazione biometrica in quanto consentono agli utenti di abilitare il riconoscimento facciale per accedere al dispositivo e accedere a vari account protetti, incluse le app bancarie, contribuendo a prevenire le frodi bancarie online .

Collegamenti magici

Molti popolari software basati su Internet ora offrono l'autenticazione senza password con collegamenti magici. Si tratta essenzialmente di token URL che gli utenti possono utilizzare per accedere agli account verificando l'indirizzo e-mail o il numero di telefono. Quando l'utente accede a un account che utilizza la verifica tramite magic link, il sistema invia automaticamente un collegamento URL all'indirizzo e-mail registrato o tramite un messaggio al numero di telefono; l'utente fa quindi clic sul collegamento per accedere automaticamente all'account. Questo è un altro tipo di fattore di possesso in quanto presuppone che solo l'utente avrà accesso all'e-mail o al telefono.

App di autenticazione

Le app di autenticazione di terze parti, come quelle di Google e Microsoft, sono diventate popolari per l'accesso senza password. In questo caso, un utente configura un'app di autenticazione specifica, che è già stata resa compatibile con il servizio dell'account in uso, con le proprie credenziali di accesso. Dopo aver configurato correttamente il sistema, l'utente riceverà una notifica dall'app ogni volta che accede al proprio account e dovrà fornire una OTP o verificare l'accesso per ottenere l'accesso.

Chiavi di accesso FIDO

Le chiavi di accesso FIDO (Fast Identity Online) funzionano sulla stessa idea dei certificati digitali. Quando un utente registra le proprie credenziali di accesso, il sistema genera una coppia di chiavi di crittografia: la chiave pubblica viene archiviata nel server di sistema e la chiave privata nel dispositivo dell'utente. Il sistema autentica la chiave privata nel dispositivo dell'utente per concedere l'accesso all'account.

Pro e contro della sicurezza senza password

Le aziende si rivolgono sempre più spesso alla sicurezza senza password per proteggere le parti interessate interne ed esterne e mantenere i dati al sicuro. Tuttavia, come per qualsiasi cosa nel campo della sicurezza informatica, è importante comprendere i vantaggi e gli svantaggi dell'autenticazione senza password.

Vantaggi dell'accesso senza password

Alcuni degli aspetti positivi dell'accesso senza password includono:

• È più sicuro delle password ed è resistente a molti attacchi informatici.
• Gli utenti trovano che richiede poca manutenzione in quanto non devono ricordare password complesse o modificarle periodicamente; è inoltre più facile per gli utenti abilitare nei propri account o dispositivi.
• Le aziende che utilizzano l'autenticazione senza password in genere ricevono un numero molto inferiore di richieste di supporto poiché è meno necessaria la reimpostazione delle password o la risoluzione dei problemi.
• Questi sistemi sono scalabili e in genere molto veloci e facili da implementare.
• Spesso è sufficiente per soddisfare i requisiti di conformità per la protezione dei dati, tra cui il Regolamento generale sulla protezione dei dati dell'Unione Europea e il California Consumer Privacy Act.
• Minore incidenza di blocco dell'account e carrelli della spesa abbandonati.

Svantaggi dell'accesso senza password

Sebbene l'autenticazione senza password sia diventata sempre più popolare per la sicurezza che offre, esistono alcuni inconvenienti, tra cui:

• In alcuni casi può essere più complessa e costosa delle password semplici.
• I sistemi che utilizzano i dati biometrici possono essere complessi, poiché le autenticazioni biometriche non possono essere reimpostate se sono state compromesse.
• Si presume che l'utente utilizzerà un canale sicuro durante la configurazione di un accesso senza password, ma non sempre è così: il processo di installazione può essere compromesso.
• In alcuni casi, questi sistemi non sono infallibili, ad esempio le OTP possono essere intercettate o rubate con lo scambio della SIM .
• Alcuni utenti, in particolare quelli con meno esperienza tecnica, potrebbero non essere disposti a utilizzare l'accesso senza password se hanno problemi con i sistemi o non li capiscono.

Implementazione dell'autenticazione senza password

La maggior parte dei dispositivi o dei servizi elettronici offre ora agli utenti opzioni per l'autenticazione senza password oltre ai metodi di accesso tradizionali. Ognuno incorporerà moduli diversi e la maggior parte consiglierà agli utenti di attivarlo come sicurezza aggiuntiva. Per abilitare l'autenticazione senza password, gli utenti possono semplicemente accedere alle impostazioni del dispositivo o dell'account pertinente e selezionare le opzioni appropriate (alcuni potrebbero offrirne più di una). Alcuni degli esempi più comuni di accesso senza password per i consumatori includono:

• Riconoscimento facciale per iPhone e MacBook
• OTP per la verifica periodica degli Account Google
• Magic links per diverse app e software basati su browser

Kaspersky Password Manager può essere di aiuto agli utenti che desiderano continuare a utilizzare le password ma desiderano anche trarre vantaggio da una forma di accesso senza password. Non solo può generare password complesse e univoche per ogni account, ma le archivia tutte in un archivio privato criptato che non può essere visto da nessun altro. Il programma offre inoltre un accesso sicuro consentendo agli utenti di compilare automaticamente i dettagli in vari siti Web, app e dispositivi e dispone di un proprio autenticatore in-app che consente agli utenti di abilitare l'autenticazione a più fattori nei propri account.

Per le aziende è importante scegliere e implementare la protezione senza password, soprattutto se offrono account e dispositivi rivolti ai clienti, poiché vi è l'ulteriore necessità di mantenere al sicuro le informazioni dei clienti. Vi sono diversi aspetti da considerare quando si esegue questa operazione:

• Scegliere la forma più appropriata di autenticazione senza password, ad esempio l'autenticazione biometrica con impronte digitali o magic link.
• Decidere se un fattore è sufficiente o se i clienti richiedono l'autenticazione a più fattori senza password per una maggiore sicurezza.
• Cercare e acquisire l'hardware e/o il software necessario.
• Assicurarsi che gli utenti possano registrarsi e utilizzare correttamente il sistema scelto.

L'implementazione dell'accesso senza password a livello organizzativo può essere impegnativa e richiedere ingenti investimenti in termini di tempo e denaro. Per questo motivo, molti scelgono di collaborare con provider di terze parti per eseguire in modo rapido ed efficace questa particolare forma di sicurezza informatica.

Un futuro senza password?

Con così tanti vantaggi e una sicurezza di gran lunga superiore rispetto alle password tradizionali, sembra che l'autenticazione senza password abbia un futuro roseo, in particolare con l'integrazione dell'intelligenza artificiale (AI) . Può contribuire a mantenere al sicuro gli utenti e le relative informazioni in un mondo sempre più digitale e offrire opzioni più sicure per il lavoro in remoto.

Tuttavia, potrebbe essere necessario superare alcune sfide se si desidera vedere un numero crescente della sicurezza senza password utilizzata. Questi includono il superamento dei problemi di privacy, in particolare per quanto riguarda l'autenticazione biometrica, lo snellimento dell'infrastruttura tecnica, il rafforzamento della fiducia degli utenti e la garanzia della conformità alle normative.

Articoli e collegamenti correlati:

• Suggerimenti per la creazione di una password univoca e complessa
• Cosa possono fare gli hacker con l'indirizzo e-mail?
• I 10 maggiori rischi dei giochi online e come evitarli

Prodotti e servizi correlati:

• Kaspersky Premium
• Scarica Kaspersky Premium Antivirus con 30 giorni di prova gratuita
• Kaspersky Password Manager
• Kaspersky Security Awareness