Autenticazione e autorizzazione: Tipologie di autenticazione in informatica

L’autenticazione è il processo mediante il quale è possibile identificare e attestare l’attendibilità di un utente o di un device. L’autenticazione inoltre è strettamente correlata al concetto di autorizzazione in quanto una volta verificata l’identità è possibile stabilire se si gode del livello necessario e quindi dell’autorizzazione per accedere ad una determinata risorsa.

Tipologie di Autenticazione

Le tipologie di autenticazione nell’ambito dell’IT (e quindi della sicurezza informatica) si dividono in 2 grandi categorie in base alle entità coinvolte nella procedura stessa. User-to-device e device-to-device. Come è facilmente intuibile la prima categoria è utilizzata per gestire l’autenticazione quando la comunicazione avviene tra un utente e un dispositivo mentre la seconda quando comunicano direttamente 2 dispositivi senza l’intervento dell’utente.

Username e Password

Si tratta del metodo user-to-device più utilizzato nell’IT. Ogni utente a cui è consentito l’accesso ad un device o una rete di device ha un proprio username, un identificativo univoco, ed una password, una stringa alfanumerica. I vantaggi di questo metodo sono la velocità, la scarsa complessità e il basso costo.

Lo svantaggio principale è la vulnerabilità dovuta al fatto che mediamente l’utente utilizza una password riconducibile alla sua sfera privata e quindi vulnerabile ad un attacco di social engineering. Per prevenire questo genere di situazione la password dovrebbe essere randomly generated (casuale).

Autenticazione Biometrica

Nell’autenticazione biometrica l’identificazione dell’utente avviene mediante la scansione di tratti fisiologici dello stesso. Tra i tratti fisiologici più comunemente utilizzati traviamo: impronte digitali, iride, impronta vocale, immagine facciale. La diffusione di questo tipo di autenticazione sta procedendo di pari passo con la sempre maggiore diffusione di dispositivi (es smartphone) in grado di scansionare questi tratti caratteristici.

Tra i vantaggi di questa tecnologia annoveriamo la disponibilità immediata della chiave di accesso in quanto facente parte dell’utente stesso contrariamente a quanto avviene con password o token che possono essere dimenticate o persi.
Ci sonò però anche numerosi svantaggi. Infatti è stato dimostrato che il sensore biometrico è ingannabile sia se si tratta di riconoscimento facciale sia dell’iride sia delle impronte, inoltre essendo non modificabile il furto di una scansione diventa un problema davvero enorme, cosa che non avviene invece con password o token che possono essere rispettivamente cambiati e sostituiti. Da mettere in conto è anche il costo aggiuntivo per la realizzazione di questi sensori biometrici. Un ultimo problema è legato alla diffidenza dell’utente nel comunicare a terze parti questi dati così importanti, infatti molte persone interpretano l’acquisizione dei tratti caratteristici come violazione della privacy.
Pur avendo alcuni svantaggi questo tipo di autenticazione viene utilizzata nel campo dell’IT ma non in sistemi che richiedono un elevatissimo grado di sicurezza.

Autenticazione basata su certificati

L’autenticazione basata su certificati consiste nell’uso di un certificato digitale per identificare un utente o un device prima di garantire l’accesso ad una risorsa.
Nel caso dell’autenticazione utente è spesso utilizzato insieme al tradizionale metodo username e password. La maggior parte delle soluzioni basate su certificati oggi utilizza una piattaforma di gestione basata su cloud, ovvero una piattaforma che rende facile gestire i certificati: creare nuovi certificati, rinnovare certificati scaduti, revocare certificati.

A differenza di altri metodi come l’autenticazione biometrica o il one-time-password, non c’è bisogno di hardware aggiuntivo in quanto i certificati sono memorizzati localmente o sulla macchina dell’utente o sul device. Questo non solo rappresenta un vantaggio economico dato che l’hardware per le scansioni biometriche è abbastanza costoso ma rappresenta una vera e propria comodità per l’utente che non rischia di perdere il token o addirittura che gli venga rubato. Un altro vantaggio nell’usare i certificati è che consentono l’autenticazione reciproca, significa che entrambe le parti coinvolte in una comunicazione possono/devono identificarsi, sia che la comunicazione è user-to-device sia device-to-device. Dunque un vantaggio non da poco nell’ambito dell’IT dove sono sempre più frequenti le interconnessioni tra i vari device senza l’intervento dell’utente.