Sono anni che nel ramo ICT si discute sull’alternativa all’impiego delle password. Sono tante, spesso inadatte a tutelare le informazioni che vogliamo proteggere. Da una parte la sicurezza, la conformità della parola chiave, e dall’altra l’usabilità, la capacità di essere ricordata, la facilità d’impiego. Quale potrebbe essere l’alternativa alla classica password?
Che cosa è una password
Per prima cosa conviene capire bene che cosa sia una password: è una parola segreta che non dovrebbe essere scoperta da estranei, e che ha lo scopo di proteggere informazioni sensibili. Per questo motivo la password dovrebbe, oltre a rimanere segreta, possedere criteri di conformità tra cui:
- Una lunghezza di almeno 8 caratteri.
- Almeno una maiuscola.
- Almeno un simbolo.
- Almeno un numero.
- Nessuna ripetizione di caratteri.
- Nessun significato semantico intuibile.
- Obbligo di sostituzione almeno ogni 180 giorni.
- Impossibilità di cambiarla con le ultime 5 già utilizzate.
Di conseguenza una qualsiasi alternativa alla password dovrebbe garantire, come requisito minimo, i medesimi livelli di sicurezza. Da notare che tra le caratteristiche della password non sussiste l’unicità universale: una parola chiave di un’utente può essere uguale a quella di un’altro utente. Questo dettaglio è, in realtà, molto più importante di quanto non possa sembrare. Una buona parte dei tentativi di rimozione della password, nasce dalla consapevolezza che le parole segrete non sono conformi alle caratteristiche sopra riportate e, invece, sono molto simili tra loro. Di conseguenza esisterà una buona percentuale che un utente medio faccia uno di una password non sicura, per l’accesso ai propri dati personali.
La colonna portante di ogni password
Da quanto scritto prima è possibile dedurre che la solidità di una password sia rappresentata nel tempo da due fattori essenziali:
- La sua variabilità.
- La sua complessità.
Ogni password, tuttavia, ha anche un altro elemento in comune: il meccanismo cifrante, l’algoritmo per intenderci. Quando scegliete una password per accedere ad un sito, ad esempio, la parola da voi scelta viene cifrata attraverso una chiave privata, secondo un algoritmo ben preciso. Alcuni di questi algoritmi, benché irreversibili, sono considerati poco sicuri. Un esempio è il MD-5, largamente usato, molto veloce, irreversibile ma considerato ormai vecchio. Di conseguenza il meccanismo cifrante è un ulteriore elemento critico nel principio delle parole chiave. È così da sempre, dai tempi dei cifrari romani, fino alla celebre macchina Enigma. Anche la registrazione di un’impronta, della mappa della retina, o la scansione vocale, sarebbero a loro volta cifrati attraverso una chiave principale che ha lo scopo di rendere illeggibile quella password agli umani. Questo significa, in breve, che ogni password (biometrica e non) è soggetta ad una trasformazione automatica da “in chiaro” a “cifrata”. Una volta cifrata, ogni qualvolta l’utente dovrà tentare un accesso, la password verrà confrontata con quella già memorizzata la prima volta, seguendo lo stesso percorso.Le password sono tante, questo è la vera difficoltà che si riscontra nel loro impiego quotidiano. In alcuni casi sono anche molto diverse l’una dall’altra: quella per l’accesso a Facebook è diversa da quella per l’accesso alla posta elettronica, che è ancora diversa da quella per l’accesso alla banca. Ma allora quale può essere l’alternativa?
Affidare tutto ad un dispositivo
Alcune scuole di pensiero sostengono che l’accesso ai servizi internet può essere reso sicuro facendo in modo di utilizzare il proprio dispositivo come “garante”. Ciò significherebbe che all’acquisto del tablet, o dello smartphone, l’utente imposta un riconoscimento sicuro. Quando il servizio internet richiede l’autorizzazione, la riceve dallo smartphone sottoforma di un semplice messaggio “ok…è valido” ed è il dispositivo ad effettuare il riconoscimento. La password quindi (biometrica o no), non uscirebbe mai dal proprio smartphone/tablet.
Sarebbe interessante ma poco funzionale. E se il telefonino fosse dimenticato? Se il telefonino venisse rubato? Se fosse semplicemente scarico?
Cambiare si può ma è un processo lungo…
Cambiare si può ma è un processo molto lungo ed in parte già è iniziato. Per prima cosa è necessario scegliere un mezzo di riconoscimento sicuro: la biometria è un valido sostegno ma questo non basta. I produttori dovranno inserire un sistema di riconoscimento biometrico (almeno uno) all’interno di ogni dispositivo. Che sia un tablet, uno smartphone, un orologio. Successivamente sarà il turno degli sviluppatori: si dovranno implementare applet di autenticazione sicura, esattamente come attualmente si prova a fare con la firma digitale. Un sistema di comunicazione che può essere rappresentato come dicevamo prima.
- L’utente si reca sul sito e chiede di accedere.
- Il sito verifica se il dispositivo dal quale si naviga sia dotato di sensori di riconoscimento biometrico.
- Qualora lo fosse, apre una sessione di richiesta autenticazione/accesso.
- Il dispositivo invita l’utente a sfruttare il sensore biometrico per il riconoscimento.
- L’utente, ad esempio, appoggia il dito sul sensore.
- A riconoscimento avvenuto, il sistema risponde al portale in modo affermativo.
- La sessione si avvia e l’utente viene introdotto nel portale.
Questo garantisce:
- Unicità di autenticazione.
- Semplicità di utilizzo.
- Il mancato trasferimento sulla rete della password, perché la validazione verrebbe effettuata internamente al proprio dispositivo.
Tuttavia è chiaro che i dispositivo i questione farebbe la differenza. In tal senso è molto interessante ipotizzare l’impiego di un sistema ibrido, similare a quanto avviene per il sistema SPID.
Immaginiamo di essere su un computer che non è nostro l’autenticazione dovrà essere effettuata da uno dei nostri dispositivi (un orologio, un telefono) ma dovrà garantire che a navigare sia un computer portatile qualsiasi. In tal caso sarebbe possibile incrociare il principio della OTP con quello della biometria.
- L’utente si siede davanti al portatile non di sua proprietà e va sul portale per autenticarsi.
- Sceglie una voce di autenticazione che potrebbe essere chiamata con “Accesso da un dispositivo diverso”.
- Il portale richiede un codice.
- L’utente utilizza uno dei suoi dispositivi (telefonino, tablet, orologio) per aprire un’app e richiedere un token di autenticazione temporaneo (una OTP).
- L’utente inserisce il token nel portale tramite il notebook e inizia la navigazione.
L’uso della OTP richiede che il proprio dispositivo, almeno la prima volta, venga accreditato per l’accesso ma, una volta fatto, quel determinato dispositivo può fornire token di accesso anche off-line. Se l’apertura dell’App per la generazione del token, fosse accessibile solo da uno smartphone protetto da impronta biometrica, l’accesso sarebbe considerato sicuro.
Conclusioni
Considerare le password come “obsolete” è forse un errato modo di ragionare. Almeno fino a quando non vi saranno alternative concrete a questo sistema di accesso. È essenzialmente un problema legato alla produzione di sensori biometrici a basso costo con un’affidabilità medio-alta. Oggi un dispositivo da 150 euro viene dotato di un sensore decente per il riconoscimento delle impronte. La larga diffusione del sistema, unita alla miniaturizzazione dei componenti, rende possibile incastonare tale sensore anche dentro un piccolo smartwatch o un, perché no, all’interno di un paio di smartglass. LG ha già dichiarato di esser riuscita ad inserire un lettore di impronte sotto lo schermo degli smartphone, garantendo così l’accesso al dispositivo direttamente appoggiando il dito sullo schermo.
Resta solo da attendere per capire quale sarà la scelta presa di produttori di hardware ma anche quella che gli sviluppatori intenderanno integrare all’interno delle proprie soluzioni software. Forse, per il momento, non è ancora giunto il tempo di dire addio alle password.
