Chiunque abbia avuto bisogno di usufruire di un servizio web, nel momento in cui ha compilato un form per la registrazione, ha generato un proprio profilo personale virtuale, creando sostanzialmente una propria identità cibernetica caratterizzata da specifici attributi.
Allo stesso modo, dall’altra parte, chi deve gestire ed erogare quel servizio dovrà avere una propria identità digitale. Si viene così ad instaurare un’interazione tra le identità digitali del cliente e del fornitore.
Il sistema informativo di gestione del servizio, prima di concedere all’interlocutore l’accesso alle risorse, dovrebbe avviare un processo di identificazione per verificare la corrispondenza degli attributi specifici d’identità nel rispetto di determinati parametri di protezione fondamentali per la sicurezza informatica:
- la riservatezza e l’integrità delle informazioni;
- l’autenticazione degli interlocutori;
- l’autorizzazione per l’accesso alle risorse pertinenti.
Questo tipo di approccio consente di applicare delle politiche di accesso alle risorse secondo preordinati ruoli e permessi rispettivamente assegnati agli interlocutori.
Indice degli argomenti
Identità cibernetica: riservatezza e integrità dell’informazione
Le comunicazioni su Internet usano il protocollo denominato TCP/IP (Transmission Control Protocol/Internet Protocol), che permette di trasmettere informazioni da un computer ad un altro attraverso una serie di computer intermedi e reti diverse.
Questo scenario, senza opportune misure di prevenzione, può far sì che una terza parte, estranea alle comunicazioni, possa interferire tramite intercettazione (portando a termine un attacco di tipo MITM, man in the middle).
Il ben noto protocollo HTTPS (Hypertext Transfer Protocol Secure) fin dalle prime versioni è stato implementato nel tentativo di scongiurare tale minaccia (non del tutto debellata) attraverso le ben note tecniche di crittografia a chiave pubblica.
La crittografia e la decrittografia consentono a due parti in comunicazione tra loro di nascondere le informazioni che si scambiano, garantendone così la riservatezza:
- il mittente cifra l’informazione prima di spedirla;
- il ricevente decifra l’informazione dopo averla ricevuta.
Le implementazioni di crittografia a chiave pubblica più comunemente usate sono basate su algoritmi brevettati dalla RSA Data Security. Tale algoritmo (denominato anche crittografia a chiavi asimmetriche) prevede una coppia di chiavi, una pubblica ed una privata associata ad una entità che autentica l’identità della chiave medesima.
La tecnica crittografica pur dando una soluzione al problema della violazione della riservatezza dell’informazione, non può da sola risolvere quello relativo all’integrità e alla falsa autenticazione.
Identità cibernetica: la firma digitale
Le tecniche per garantire l’integrità e l’autenticazione si basano sull’utilizzo della crittografia hash. La funzione hash restituisce un numero di lunghezza fissa con le seguenti caratteristiche:
- il valore restituito dalla funzione è unico per ciascun dato in ingresso e rappresenta un sunto del dato stesso;
- ogni variazione subita dal dato comporta un valore hash differente;
- il valore hash restituito non può essere dedotto dalla funzione stessa.
Il funzionamento della firma digitale, per fare un esempio pratico, si basa essenzialmente sull’utilizzo di un algoritmo di tipo hash. Immaginando una corrispondenza in rete tra due interlocutori, gli elementi che vengono inviati al destinatario sono:
- il documento originale in chiaro;
- il valore hash del documento originale, successivamente cifrato con la chiave privata del firmatario (firma digitale).
Per verificare l’integrità dell’informazione, il software ricevente, procedendo in modo diverso:
- decifra la firma digitale con la chiave pubblica del firmatario;
- ottiene il valore hash del firmatario e genera con lo stesso algoritmo un nuovo hash dal documento originale ricevuto;
- se i due valori hash non restituiscono lo stesso risultato, allora l’informazione è stata alterata oppure la firma digitale è stata creata con una chiave privata che non ha corrispondenza con la chiave pubblica presentata dal firmatario.
L’autenticazione degli interlocutori
Tipicamente in rete si hanno interazioni fra un client (ad esempio un browser) che, lanciato in esecuzione per la navigazione, dialoga con i vari server remoti erogatori dei servizi. In una comunicazione del genere è molto importante l’autenticazione reciproca tra l’utente e il fornitore del servizio (si pensi alle transizioni di home banking).
Si possono considerare diverse modalità per effettuare un’autenticazione:
- modalità basate sull’utilizzo di semplici credenziali;
- modalità più robuste dal punto di vista della sicurezza, basate sull’utilizzo di certificati digitali a chiave pubblica;
- modalità definite multi-fattore.
Il metodo classico per l’autenticazione è basato sull’uso di una coppia di credenziali (username e password). In questo caso il protocollo di comunicazione verificherà la corrispondenza delle stesse con quelle presenti sul proprio database ed in caso positivo autorizzerà l’accesso.
Un altro esempio di autenticazione è quello tramite certificato digitale, procedura prevista dal già citato protocollo sicuro (HTTPS). Nel processo di riconoscimento il server esigerà l’autenticazione del client secondo un protocollo di comunicazione basato su uno scambio di chiavi pubbliche e private che, se attestano l’identità del client, si conclude con l’autorizzazione di accesso alla risorsa richiesta.
Mettendo a confronto queste due modalità di autenticazione si può evidenziare che:
- l’approccio classico tramite una coppia di credenziali è vulnerabile soprattutto perché i dati potrebbero essere carpiti, ad esempio, tramite tecniche ben note quali SQL injection, phishing e social engineering;
- che l’approccio tramite certificato è vulnerabile:
- perché il certificato potrebbe non essere verificato ed attendibile;
- perché questo accorgimento non garantisce una protezione dei dati prima e dopo le operazioni crittografiche. Infatti, l’integrità e la riservatezza, se i client ed i server coinvolti nella comunicazione fossero stati già contaminati con un malware, potrebbero essere comunque a rischio.
Anche il sistema di autenticazione multi-fattore, pur rafforzando il grado di sicurezza, comunque merita di alcune considerazioni.
Un’autenticazione a due o più fattori si contrappone dunque ad una semplice autenticazione basata sulla sola password (autenticazione ad un fattore).
Le forme di autenticazione a più fattori usano una combinazione di metodologie così definite:
- una cosa che conosci: una parola d’ordine;
- una cosa che hai: un oggetto fisico;
- una cosa che sei: una caratteristica biometrica.
Un esempio di autenticazione a due fattori è la Carta Nazionale dei Servizi (CNS):
- il tesserino o token USB rappresenta la cosa che hai;
- il pin rappresenta la cosa che conosci.
Questo modo di procedere a fronte di un maggiore sforzo economico e di complessità per chi eroga il servizio rende di sicuro più difficile la vita a chi voglia violare un accesso, ma non impossibile. Dovrà superare solo più livelli di protezione.
È utile, a questo punto, fare alcune osservazioni:
- la password o qualunque codice segreto basato su qualcosa che conosci, è il metodo più comodo perché il suo uso non necessita di particolare hardware ma è facilmente violabile tramite le ben note strategie (phishing, social engineering e SQL injection);
- i dispositivi fisici come token o smart card per il processo di autenticazione si basano su infrastrutture a chiave pubblica. Sono dispositivi sicuri ma nello stesso tempo vinvolano l’utente al loro possesso per usufruire dei relativi servizi;
- l’uso di caratteristiche biometriche per l’autenticazione è conveniente per l’utente in quanto non occorre ricordare codici segreti o possedere dispositivi particolari. Spesso, però, non è standardizzato e richiede particolari supporti con elevati costi di manutenzione.
Considerazioni finali
Lo step successivo all’autenticazione e verifica dell’identità cibernetica di un utente è l’autorizzazione tramite la quale il sistema informativo specifica i privilegi d’accesso alle risorse, secondo una definita politica di gestione e decide se le richieste degli utenti autenticati devono essere approvate oppure rigettate.
Difendere e proteggere il patrimonio delle informazioni e della propria reputazione digitale deve dunque rappresentare una strategia chiave per gestire al meglio ogni attività aziendale, affidandosi all’occorrenza anche alla consulenza di esperti nel settore, compiendo tutte le azioni utili allo scopo:
- conoscere i rischi e le tecniche usate per rubare informazioni e violare l’identità cibernetica, tramite attività di formazione e training aziendale;
- fornire all’esterno solo quelle informazioni strettamente necessarie al marketing;
- utilizzare con i clienti metodi di pagamento sicuri e collaudati;
- adottare sistemi di firma digitale e di cifratura per le comunicazioni;
- proteggere le componenti hardware, software e umane del proprio sistema informativo;
- prevedere una adeguata metodologia di custodia e strategia di backup del proprio capitale informativo.
