Cos'è l'Autenticazione? Metodi, Vantaggi e Perché è Importante
Autenticazione = verificare che un'entità (utente, dispositivo, servizio) sia chi/cosa dichiara di essere. È il gatekeeper per ogni interazione digitale.
Fattori Fondamentali (Qualcosa che…)
| Fattore | Esempi | Resistenza |
|---|---|---|
| Conoscenza | Password, PIN, domanda di sicurezza | Debole (phishing, riutilizzabile) |
| Possesso | Telefono (SMS/push), chiave hardware (YubiKey), smart card, app TOTP | Media (rischio furto/smarrimento) |
| Inerenza | Impronta digitale, Face ID, iride, voce, biometria comportamentale | Forte (ma irrevocabile) |
| Posizione | GPS, geo IP, SSID Wi-Fi aziendale | Contestuale |
Metodi Comuni
- Single-Factor (SFA): solo password – deprecato per qualsiasi cosa sensibile.
- Two-Factor (2FA): password + TOTP / push / chiave hardware.
- Multi-Factor (MFA): ≥2 categorie di fattori distinti (es. password + YubiKey + Face ID).
- Passwordless / Passkey: WebAuthn/FIDO2 – coppia di chiavi crittografiche, resistente al phishing.
- Certificato / mTLS: certificati X.509 per servizio-servizio.
- SSO / Federazione: SAML, OIDC – IdP (Okta, Entra ID, Keycloak) afferma l'identità.
Perché è Importante
- Protezione Dati – previene accesso non autorizzato a PII, IP, finanze.
- Compliance – GDPR Art. 32, HIPAA §164.312, PCI-DSS 8.x, SOX.
- Riduzione Frodi – takeover account (ATO) cala 99%+ con MFA resistente al phishing.
- Audit e Non-Ripudio – log firmati provano chi ha fatto cosa.
Best Practice (2024)
- Impone MFA resistente al phishing (passkey, chiavi hardware) per tutti gli utenti.
- Deprecare le password dove possibile; usa passkey (sincronizzabili via iCloud/Google/1Password).
- Implementa Zero Trust: verifica continua, stato dispositivo, privilegi minimi.
- Monitora i log di autenticazione per viaggi impossibili, credential stuffing, stanchezza MFA.
L'autenticazione non è una casella da spuntare—è un piano di controllo continuo.