Differenza e sicurezza tra Username e password e Single Sign On (SSO)

Username e password

Questa prima soluzione informatica per gestire l’accesso ad una risorsa, la più semplice, ma anche la più diffusa, è senza dubbio la coppia username-password.
Lo username definisce il nome con il quale l’utente viene riconosciuto all’interno del sistema informatico, dev’essere quindi un nome identificativo e univoco. Come venga stabilito dipende dal sistema in cui si ci trova, può essere deciso dall’utente al momento della registrazione, oppure, per motivi di chiarezza e coerenza, può essere composto dall’organizzazione stessa, ad esempio dalla sequenza nome.cognome.

Una password è una sequenza di caratteri alfanumerici che, assieme allo username, rappresenta le credenziali di accesso per una risorsa informatica. Mentre lo username è un nome pubblico, con cui si viene riconosciuti nel sistema, la password dovrebbe rimanere segreta, addirittura non dovrebbe neanche essere mantenuta nel sistema stesso, ma dovrebbe essere mantenuta una copia criptata con un algoritmo hash (ad esempio MD5) in modo da poterla confrontare con la password originale al momento dell’autenticazione, ma non di poter risalire ad essa. La password si riconosce nel paradigma di autenticazione “qualcosa che sai”.

L’autenticazione con username e password non è sicuramente fra i metodi più sicuri poiché lo username è un nome conosciuto e la password è una semplice sequenza di caratteri che può essere, più o meno facilmente, individuata. Per evitare questo, un’organizzazione può stabilire una serie di politiche di gestione delle password per rendere il sistema informatico più sicuro, ad esempio può obbligare gli utenti a scegliere password complicate e a cambiarle periodicamente. Alcune norme elementari di sicurezza per la scelta della password sono le seguenti:

• Nel determinare una password è da evitare l’uso di parole ovvie (come il proprio nome o cognome o altri dati anagrafici), di senso compiuto o direttamente associabili all’account (come l’username stesso) come anche di parole troppo brevi (di solito per le password viene stabilito un numero minimo di caratteri dal momento che all’aumentare del numero di caratteri aumenta esponenzialmente il numero delle disposizioni possibili).
• È preferibile utilizzare una password complessa e sforzarsi di memorizzarla piuttosto che sceglierne una di facile memorizzazione ma di più facile determinazione.
• È da evitare l’utilizzo di parole presenti nei dizionari, come anche anagrammi o combinazioni delle stesse (tale tipo di password sono quelle più facilmente attaccabili mediante attacchi a forza bruta), mentre è consigliabile utilizzare combinazioni del maggior numero possibile di “tipi” di caratteri: maiuscoli, minuscoli, numeri e caratteri speciali.
• È buona norma variare le password utilizzate dopo un tempo determinato e non utilizzare la medesima password per più risorse.

Single Sign On

Il Single Sign On (SSO) è una sistema di autenticazione che prevede che un utente fornisca le credenziali di accesso una sola volta, dopodiché possa accedere a tutte le risorse che fanno parte del sistema informatico senza doversi ri-autenticare.

I benefici sono molteplici, dal punto di vista dell’amministratore, il quale ha un maggiore controllo sull’accesso che viene concentrato in un solo punto, e dal punto di vista dell’utente, che non è più costretto ad autenticarsi a diverse risorse o a ricordarsi una serie di credenziali di accesso differenti. Grazie a questo ne deriva anche una sicurezza migliore, in quanto l’utente potrà tenere traccia di una sola password, anche complessa, senza il bisogno di annotarla su qualche foglietto. Oltre ad essere particolarmente comodo per l’utente è anche molto sicuro, poiché vengono scambiati dati riservati una sola volta e non ad ogni accesso ad una risorsa.

Questo modello di autenticazione è particolarmente utilizzato nei servizi web, dove viene molto bene implementarlo attraverso l’utilizzo dei cookie. Due implementazioni di SSO per risorse web sono CAS e Shibboleth, quest’ultimo nato soprattutto per supportare anche ambienti federati.