Biometria Il futuro dell'autenticazione?

Oggi leggo un articolo pubblicato da Mat Honan in cablato qualificato "Elimina la password: perché una serie di caratteri non può più proteggerci" (che tradotto nella nostra lingua è: "Uccidere la password: perché una stringa di caratteri non può più proteggerci?"), ho ricordato una conversazione di pochi giorni fa con alcuni membri di questa comunità in cui menzionava quanto poco molto diffuso l'uso dei lettori di impronte digitali come meccanismo di autenticazione, soprattutto nei dispositivi mobili più utilizzati e nei vantaggi che il loro utilizzo fornirebbe.

L'articolo in questione presenta esempi recenti di come gli account di alcuni utenti (incluso l'autore dell'articolo) siano stati violati, evidenziando la reale incapacità delle password e gli attuali meccanismi di autenticazione e verifica per proteggere le nostre informazioni e privacy. E ne sostiene le ragioni. per questa affermazione, tutti molto validi e che potrebbero essere riassunti in quattro grandi gruppi:

1.- Aumento della capacità di elaborazione che consente l'hacking delle password tramite l'uso della forza bruta e dei dizionari delle password disponibili sulla rete. Dai, con la capacità delle attuali CPU e GPU, utilizzando programmi di hacking ampiamente disponibili con la forza bruta, con dizionari che possiamo facilmente ottenere in rete, è solo questione di tempo prima che qualcuno riesca a trovare la password di un file crittografato , anche quando si suppone sia "sicuro" perché contiene lettere, numeri e altri caratteri, con l'aggravante che queste capacità continueranno ad aumentare in futuro.

2.- Riutilizzo delle password da parte dello stesso utente. Cosa abbiamo mai fatto? Usiamo lo stesso account di posta elettronica per autenticarci in diversi servizi, inoltre, utilizziamo lo stesso nome utente e password quando ci registriamo in vari punti della rete, oltre a "concatenare" i nostri account con lo stesso indirizzo email di "backup", quindi che se qualcuno ha accesso a uno dei nostri account, praticamente ha accesso a tutti loro.

3.- Uso di pishing e malware per rubare le password. Ecco, ciò che più influenza il buon senso dell'utente, perché se di solito clicchi sui link di quanta posta ricevi o quante pagine visiti, sei esposto a fornire tu stesso le informazioni che verranno successivamente utilizzate contro di te.

4.- Uso di "ingegneria sociale". Ci sono due aspetti ampiamente utilizzati qui. Da un lato, stiamo sempre più mettendo la nostra vita in rete: Facebook, Linkedin, blog personali, ecc. mettere a disposizione di tutti, dettagli dettagliati della nostra vita (dove studiamo, chi sono i nostri amici, il nome del nostro animale domestico, ecc. ecc.), che sono nella maggior parte dei casi le risposte alle domande di verifica di quasi tutti i servizi in che registriamo. D'altra parte, la capacità degli hacker di utilizzare strumenti di social engineering per interagire con i servizi ai clienti, consente loro di ottenere risultati con relativa facilità, sfruttando le informazioni che hanno su di noi, per convincere questi servizi che sono l'utente vero e ottenere tenere i nostri conti.

Ebbene, con lo sviluppo della società dell'informazione, è un fatto innegabile che la nostra presenza su Internet continuerà a crescere, mentre dipenderemo in misura maggiore dall'uso dei servizi online per la nostra vita quotidiana, che ha aggiunto all'intenzione trasformare i telefoni cellulari in portafogli elettronici a pagamento, attraverso l'utilizzo della tecnologia NFC (Near Field Communication), sono gli ingredienti per una tempesta perfetta in termini di sicurezza, impossibile da evitare con il solo utilizzo di password e meccanismi di verifica come quelli attuali .

Come in tutte le questioni in cui è coinvolta la sicurezza, è necessario stabilire un compromesso tra la forza del meccanismo di autenticazione e la facilità d'uso e la privacy del servizio in questione. Sfortunatamente, finora, la facilità di utilizzo ha prevalso a scapito della robustezza dei meccanismi di autenticazione.

Sembra esserci una coincidenza nell'opinione che la soluzione a questo problema risieda in una combinazione di password, analisi dei modelli di utilizzo e utilizzo di dispositivi biometrici per garantire un processo di autenticazione che renda la vita più facile agli utenti, con più meccanismi di verifica. quelli attuali.

Già alcuni fornitori di servizi sulla rete hanno iniziato a utilizzare modelli di utilizzo come complemento alle password, ecco perché, ad esempio, quando accediamo al nostro account Gmail da un IP diverso da quello che facciamo di solito, ci invia a una schermata di verifica verificare con un altro metodo (telefonata o messaggio di testo) che siamo l'utente legale dell'account. Su questo aspetto, sembra esserci un consenso sul fatto che è solo una questione di tempo che la maggior parte dei fornitori di servizi in rete adotti varianti simili.

Quello che ancora manca è che non sia iniziato ad essere implementato l'utilizzo di meccanismi o dispositivi biometrici nell'ambito dell'autenticazione, esistono varie forme, dalle più semplici come il riconoscimento di pattern vocali o il riconoscimento facciale (completamente eseguibili da software) e per le quali mobile i dispositivi dispongono già dell'hardware necessario (microfoni e telecamere), anche i più complessi come lettori di impronte digitali o scanner dell'iride.

Nonostante siano già stati compiuti alcuni passaggi al riguardo, come il riconoscimento facciale per sbloccare il cellulare in alcuni telefoni Android o il recente acquisto da parte di Apple della società AuthenTec, specializzata in queste tematiche, il suo utilizzo non va oltre l'aneddotica e Cos'è più preoccupante è che non si è ancora iniziato a discutere l'integrazione di queste forme di autenticazione con i servizi in rete.

A mio parere, il riconoscimento facciale o vocale, sebbene siano i più facili da implementare e non richiedano hardware aggiuntivo, sono i metodi meno sicuri, mentre gli scanner dell'iride sono totalmente impossibili da integrare nei dispositivi mobili, che L'opzione migliore sono i lettori di impronte digitali, che per le loro ridotte dimensioni e molteplicità di “chiavi” sarebbe la soluzione perfetta; Mi spiego meglio: se siamo rauco dall'influenza o abbiamo subito un incidente o abbiamo una lesione facciale, il riconoscimento vocale o facciale sarebbe complicato, mentre con un lettore di impronte digitali possiamo configurare l'uso di più dita, quindi un An incidente in uno non ci impedirebbe di accedere ai nostri dati e servizi.

Attualmente esistono già alcuni notebook che integrano i lettori di impronte nella loro configurazione, senza notare un sostanziale aumento di prezzo di questi modelli, il che ci permette di dedurre che il loro costo non è significativo, nonostante il loro utilizzo non sia stato esteso. D'altronde purtroppo al momento sono pochissimi i dispositivi mobili dotati di lettori di impronte digitali e la loro integrazione in essi non sembra essere una tendenza.

Alcune opinioni suggeriscono che siamo di fronte alla classica situazione di gallina e uova: i lettori non sono integrati nei dispositivi perché i servizi di rete non li usano come meccanismo di autenticazione, ma a loro volta i servizi di rete non li usano come meccanismo di autenticazione a causa del piccolo numero di dispositivi che li hanno integrati di serie. Questo sembra essere il nodo gordiano che nessuno osa tagliare al momento.

Al di là di questo impasse in cui ci troviamo, credo che ci sia una situazione da risolvere per la sua implementazione e cioè l'istituzione degli standard necessari per l'utilizzo delle impronte nell'autenticazione, ovvero il lettore di impronte scansiona un'immagine e da esso, deve essere generata una sorta di firma elettronica, che è quella che verrebbe inviata al servizio come "password" per l'autenticazione, quindi l'algoritmo per la generazione di quella firma deve garantire che lettori diversi generino firme uguali di una stessa impronta, senza pregiudicare la sicurezza e questo non sembra essere qualcosa di semplice.

Sì, lo so che a questo punto alcuni tireranno fuori quello che hanno visto in un film dove alzando un'impronta digitale lasciata su un vetro riescono ad usarla per accedere a un'installazione, ma questo, al di là dello spettacolare che risulta sullo schermo, è non credo che diventerà una moda di cui dovremmo prenderci cura in futuro; A meno che uno di noi non sia un agente 007 o abbia i codici di accesso a Fort Knox.

Come dice l'autore dell'articolo che dà origine a questo post, il primo passo per risolvere un problema è il riconoscimento della sua esistenza per poter poi iniziare a proporre soluzioni ed è proprio di questo che si tratta. Consiglio a tutti coloro che possono leggere l'articolo a cui mi riferisco, perché è molto illustrativo, oltre che piacevole da leggere (che purtroppo chi non conosce l'inglese non potrà godere), con l'ulteriore incentivo di contenerne perle di come gli hacker abbiano ingannato servizi "affidabili" per ottenere l'accesso.

Sei d'accordo con la mia opinione o sei uno di quelli che ancora credono che le password siano sufficienti per noi?