Differenza tra Basic Authentication, Smart card e token USB
Form/Basic Authentication
La più semplice tecnologia di autenticazione (chiamata appunto Basic Authentication) volta ad identificare un utente consiste nell’inserimento delle credenziali al momento della richiesta di accesso. La presentazione delle credenziali è interattiva e viene ripetuta ogni volta che si tenta di accedere ad una nuova risorsa.
La sicurezza del meccanismo è direttamente dipendente dalla modalità di interazione e alla complessità della password, se il canale di trasmissione dei dati non è opportunamente protetto (ad esempio via SSL per la pagina web di un sito) le credenziali sono compromesse. Inoltre all’aumentare del numero delle risorse il processo di autenticazione diventa tedioso per l’utente anche per la necessità di usare password lunghe e complesse.
Il controllo delle credenziali dipende dal servizio che implementa la richiesta, può essere effettuato in qualsiasi modo (da un semplice elenco in un file di testo ad un web service remoto).
Smart card e token USB
Le smart card e i token USB sono una tecnologia di autenticazione basata sulla crittografia a chiave privata/chiave pubblica. All’interno del dispositivo è conservata la chiave privata che identifica l’identità a cui è associata.
L’accesso alla chiave privata non è possibile a meno di conoscere il PIN dispositivo che l’utente titolare della smart card o del token riceve al momento dell’assegnazione dell’identità digitale.
L’uso della crittografia a chiave pubblica consente tecnicamente di implementare tutte le principali caratteristiche di questo tipo di comunicazione:
- riservatezza: la possibilità di rendere impossibile la decodifica del messaggio a chi non fa parte della comunicazione;
- non ripudio: la caratteristica di rendere inoppugnabile la responsabilità di partecipa alla comunicazione e al suo contenuto;
- integrità: la capacità di rilevare manomissioni al messaggio tra l’invio e la ricezione dello stesso;
- autenticazione: la caratteristica di poter garantire l’identità associata a chi partecipa alla comunicazione.
In questo contesto l’aspetto di interesse è l’ultimo, grazie al quale è possibile verificare con sicurezza un’identità digitale che di norma corrisponde in senso stretto a un’identità anagrafica. Infatti le smart card sono spesso fornite attraverso procedure di assegnazione e verifica de visu, oppure tramite meccanismi di reliance authentication. La validità dell’identità assegnata è poi assicurata tramite l’uso di Certification Authority per l’emissione e revoca dei certificati.
L’autenticazione con smart card o token USB può avvenire in diversi modi, a seconda delle scelte implementative di Identity Provider e Service Provider. Un esempio può essere l’integrazione presso l’Identity Provider dell’organizzazione come metodo alternativo all’inserimento delle credenziali, al momento dell’accesso l’utente dovrà usare un dispositivo capace di comunicare con smart card e IDP, consentendo all’utente di apporre il PIN dispositivo e sfruttare le chiave cifrata in essa contenuta.
Normalmente si identifica nelle smart card un meccanismo di Strong Authentication, un servizio quindi che riceve un’identità verificata in questo modo può permettere un accesso maggiormente privilegiato all’utente.
L’uso di smart card e token USB è soggetto a diverse difficoltà determinate dalla loro stessa natura. Per utilizzarli è necessario che il dispositivo che si sta utilizzando sia in grado di accedere al contenuto, operazione non sempre possibile e dipendente dalle piattaforme hardware. Inoltre l’utente che usa una smart card per l’autenticazione deve averla con sé ogni volta che inizia una nuova sessione di lavoro.
Per questi motivi e per i costi intrinseci di questa soluzione, l’uso delle smart card come meccanismo di autenticazione non è molto diffuso, alcune iniziative governative per l’adozione in massa di questa tecnologia si sono rivelate essere di difficile attuazione, relegando questa tecnologia agli ambiti dove rivestono caratteristiche importanti anche gli aspetti di non ripudio e integrità delle comunicazioni (ad esempio la firma digitale).
Molto interessante è l’iniziativa di FIDO (Fast IDentity Online) Alliance, che ha costituito specifiche ormai standardizzate per la produzione e l’interoperabilità di dispositivi d’autenticazione forte. La prima modalità di funzionamento è UAF, per poter offrire agli utenti transazioni sicure senza l’uso di password. La seconda modalità è U2F, costituita da un token (USB o NFC) che si aggiunge come secondo fattore al normale uso delle credenziali.
