Tecniche di autenticazione degli utenti in informatica
La autenticazione degli utenti é generalmente basata su una combinazione di tre tipi di elementi chiamati Tecniche di autenticazione:
- conoscenze dell’utente (per esempio una password);
- oggetti posseduti dall’utente (per esempio una card o una smart card);
- caratteristiche biometriche dell’utente (per esempio l’impronta di un polpastrello o l’immagine di una retina).
Le Password
La tecnica di autenticazione tramite password é quella più diffusa, ma presenta vari problemi legati al fatto che, tendenzialmente, gli utenti (sicurezza attiva e passiva):
- impostano password troppo brevi, che quindi possono facilmente essere individuate attraverso tentativi ripetuti, o prevedibili (per esempio il proprio nome);
- impostano password appropriate ma poi le scrivono in luoghi non sicuri, per non doverle imparare a memoria;
- impostano password appropriate, impiegano del tempo per impararle a memoria, ma proprio per questo non le cambiano mai.
Configurando opportunamente i sistemi é spesso possibile fare in modo che l’utente sia costretto a inserire password di lunghezza e formato appropriato (per esempio almeno 20 caratteri di cui almeno 5 numerici) ed a cambiare la password periodicamente o addirittura ad ogni sessione (one-time password), anche al fine di evidenziare eventuali accessi illeciti.
Le Card
Le card sono tessere che memorizzano in modo non duplicabile o alterabile la chiave privata dell’utente. La card dialoga con la stazione di lavoro attraverso un apposito lettore, ed software applicativo può interrogarla per ottenere la chiave privata dell’utente. La card fornisce la chiave privata solo se riceve dalla applicazione (e quindi dall’utente) un PIN (Personal Identification Number) segreto. In definitiva, analogamente a quanto avviene con il Bancomat, l’utente é identificato sia per il fatto di conoscere il PIN, sia per il fatto di possedere la card. Il punto debole delle card é insito nel fatto che la chiave privata dell’utente viene trasferita sulla stazione di lavoro, ove potrebbe essere intercettata.
Le smart card
A differenza delle semplici card, le smart card non si limitano a memorizzare in modo inalterabile la chiave privata dell’utente, ma dispongono di firmware, microprocessore e memoria con caratteristiche sufficienti a eseguire autonomamente un algoritmo asimmetrico di crittografia.
Il principale vantaggio delle smart card, rispetto alle card semplici, é che non richiedono il trasferimento della chiave privata dell’utente sulla stazione di lavoro. La chiave rimane sempre stabilmente memorizzata nella card, che resta peraltro inutilizzabile senza il PIN associato.
La presenza di un microprocessore a bordo, permette inoltre alle card interessanti funzionalità accessorie, quali ad esempio la generazione e la memorizzazione automatica di una one-time password (OTP) ad ogni sessione di lavoro.
