8BitSecurity

L’autenticazione senza password è un metodo di verifica in cui un utente accede ad un sistema senza un fattore basato sulla conoscenza, come una password o un PIN. Invece di autenticarsi con qualcosa che “conosce”, l’utente fornisce qualcosa che “possiede” (e.g., chiave USB sicura) o qualcosa che “è” (e.g., riconoscimento facciale, impronta digitale). L’autenticazione senza password offre alle organizzazioni una soluzione alternativa per la verifica dell’identità, grazie alla sicurezza e alla facilità d’utilizzo.

Come funziona l’autenticazione senza password?

In genere, un’autenticazione senza password inizia con l’accesso dell’utente a un dispositivo, a un’applicazione o a un sistema, e con l’inserimento di alcune informazioni identificative (e.g., nome, numero di telefono, indirizzo e-mail). Da lì, l’utente deve verificare la propria identità fornendo qualcosa che “possiede” o qualcosa che “è”. Se le informazioni fornite corrispondono alle informazioni presenti nel database di autenticazione, viene concessa l’autorizzazione all’utente. Al fine di aggiungere un ulteriore livello di protezione, l’autenticazione senza password viene talvolta abbinata a un altro metodo, come l’invio di un codice al telefono dell’utente.

Tale metodo di autenticazione non deve essere confuso con la MFA (autenticazione a più fattori). Infatti, mentre la MFA è un processo di verifica che richiede almeno due fattori di autenticazione (e.g., qualcosa che l’utente “conosce” e qualcosa che l’utente “possiede”), l’autenticazione senza password non permette l’utilizzo di un fattore basato sulla conoscenza.

Alcuni dei metodi di autenticazione senza password più diffusi sono:

• Autenticazione biometrica come le impronte digitali o il riconoscimento facciale.
• Codici OTP (One-Time Password), ovvero codici inviati direttamente al telefono dell’utente.
• Link “magici”, ovvero “one-time” URL inviati direttamente all’email o al telefono dell’utente.
• Applicazioni di autenticazione come Google o Microsoft Authenticator che generano un codice OTP.
• Token fisici da collegare a un computer.

Vantaggi dell’autenticazione senza password

Nonostante le password possano rappresentare un livello di difesa contro gli attacchi informatici, costituiscono al contempo un punto d’accesso che può essere sfruttato dai cybercriminali. Ad esempio, gli attacchi di phishing si basano proprio sulla possibilità che la vittima possieda delle credenziali da esfiltrare, le quali possono poi essere utilizzate per accedere a sistemi critici e a dati sensibili. Adottando l’autenticazione senza password, si elimina uno dei principali punti d’ingresso che gli attaccanti potrebbero sfruttare.   

La gestione delle password può anche risultare costosa. Le organizzazioni devono investire molte risorse in software di gestione password e continui corsi di formazioni su come generare password sufficientemente complesse. L’autenticazione senza password può diminuire il costo di gestione e supporto IT relativo alle password.

Inoltre, anche l’esperienza finale dell’utente ne trarrebbe dei benefici. Gli utenti potrebbero utilizzare il riconoscimento facciale, l’impronta digitale o un semplice click per avere accesso ad un sistema, invece di dover ricordare molteplici password complesse.

Svantaggi dell’autenticazione senza password

Nonostante le organizzazioni possano decrementare, nel lungo periodo, i costi di gestione delle password, è altrettanto vero che, nel breve termine, i costi iniziali per l’implementazione dell’autenticazione senza password non siano trascurabili. L’integrazione con i servizi presenti richiede un processo lungo e complesso, ad esempio per problematiche di compatibilità. Inoltre, bisogna anche tenere in considerazione i costi relativi ai dispositivi hardware e prodotti software da acquistare.

Anche l’accesso potrebbe risultare problematico. Per esempio, nel caso in cui sia stato configurato un solo metodo di verifica della propria identità, come la ricezione di una notifica sul cellulare, se l’utente perdesse il proprio dispositivo non potrebbe più avere accesso ai sistemi. Inoltre, ulteriori problemi sorgerebbero nel caso di compromissione di fattori biometrici come comandi vocali, che potrebbero essere replicati usando una registrazione della vittima.

Infine, considerando tutti gli anni in cui le coppie utenza e password sono state utilizzate come metodo di difesa, sarebbero necessari diversi corsi di formazioni per istruire i dipendenti e i team di sicurezza IT, su come, rispettivamente, utilizzare e gestire questo nuovo metodo di autenticazione.

Conclusione

La sicurezza dell’autenticazione senza password è strettamente legata all’infrastruttura presente in azienda. Adottare questo metodo di verifica risolve alcune problematiche di sicurezza ma al contempo ne genera delle altre. Ad esempio, decidendo di utilizzare token fisici come metodo di autenticazione, l’azienda presuppone che tali dispositivi non finiscano nelle mani sbagliate. Nonostante ciò, è indubbio che le aziende si stiano muovendo verso l’implementazione di questo metodo. Secondo un articolo di Grand View Search, il mercato globale dell’autenticazione senza password è stato stimato a circa 21 miliardi di dollari nel 2024, con una previsione di crescita fino a circa 55 miliardi di dollari entro il 2030. L’era delle password sta per finire: è solo questione di tempo.