Qualche giorno fa Microsoft ha introdotto la possibilità di accedere all'account senza password, usando Windows Hello (impronta o riconoscimento facciale) o chiavi hardware come la FIDO2. Un annuncio che fa seguito a quanto comunicato dall'azienda lo scorso aprile. Nel caso di Microsoft parliamo di 800 milioni di account, ma non si tratta solo di Microsoft.
Oltre a Microsoft Edge infatti anche Chrome e Firefox sono pienamente compatibili con il protocollo WebAuthn, e probabilmente presto lo sarà anche Safari – si tratta di un progetto con molti partner importanti. La speranza è quella di raggiungere in fretta un futuro senza password, che sia anche un futuro più sicuro.
Accesso con la password: i rischi
Quando visitate un sito e dovete inserire username e password, usate la tastiera. Qui abbiamo un primo punto di rischio: esistono malware che possono spiare cosa scrivete e mandarlo a qualcun altro, un criminale che potrebbe usare i vostri dati. Sono i keylogger, e ne esistono per tutti i sistemi operativi.
Un software di sicurezza, volgarmente detto antivirus, può proteggervi da questo primo problema – spesso lo fanno con una tastiera a schermo da usare con il mouse. Superato questo problema la password viene inviata al sito web. Qui c'è il secondo problema: il passaggio dell'informazione potrebbe non essere sicuro, qualcuno potrebbe intercettare e rubare il dato. La contromisura più comune è l'uso di connessioni HTTPS. Se la connessione non è sicura, il browser lo segnala con un messaggio.
Poi la vostra password arriva a destinazione. Il sito la riceve, la confronta con quella memorizzata e se è corretta vi fa entrare. Tutto a posto? Nemmeno per sogno: un sito sicuro non dovrebbe nemmeno averla la vostra password memorizzata, ma solo una sua conversione in hash.
Già, la password non dovrebbe nemmeno lasciare il vostro computer, ma essere "digerita" da un sistema sicuro ancora prima. Non è quello che succede, tant'è che ogni tanto c'è qualche servizio online a cui vengono rubati i dati di decine di migliaia di persone, password comprese. Purtroppo non c'è modo di sapere se il sito a cui vi state registrando tratta le vostre password con la massima cura oppure no – lo scoprire solo nel malaugurato caso di data breach. Allo stato attuale, dunque, dobbiamo fidarci.
2FA: efficace ma scomoda
Two Factors Authentication. Quanto detto finora lascia intendere che il rischio di vedersi rubati i dati è piuttosto alto – ragion per cui non dovremmo mai usare la stessa password su più di un sito. L'autenticazione in due fattori è una valida contromisura: oltre a utente/password è necessario un secondo dato, generato da un'applicazione per smartphone molto robusta.
Solo il legittimo proprietario dell'account può avere accesso a questo codice, e quindi anche in caso di furto l'account resta protetto. A meno che non vi abbiano rubato il telefono su cui è installata l'applicazione, e che il telefono stesso non sia protetto da un codice o impronta digitale.
La 2FA è una buona soluzione ma si diffonde lentamente, troppo lentamente. Un po' perché molti ancora non sanno che esiste, e un po' perché è scomoda. Bisogna comunque mettere nome e password, poi bisogna tirare fuori il telefono e inserire un ulteriore codice. Il risultato? Google ha aggiunto la 2FA nel 2011, e a gennaio 2018 solo il 10% dei suoi utenti la usava. Praticamente nessuno.
Vivere senza password
Tramite Windows Hello o altri sistemi è invece possibile abbandonare la password e accedere con l'impronta digitale, il riconoscimento facciale o hardware dedicato – chiavette USB come la FIDO2 per esempio. L'autenticazione biometrica si può, in effetti, ingannare con soluzioni specifiche – si può persino stampare una falsa impronta digitale – ma allo stato attuale delle cose è comunque un sistema preferibile.
Grazie al protocollo WebAuthn infatti ci si mette al riparo da tutti i pericoli esposti sopra. In primo luogo perché l'impronta o l'analisi del volto non lasceranno mai il vostro computer (o smartphone). Questa informazione viene infatti elaborata localmente in una porzione protetta della memoria (come il chip T2 di Apple o la piattaforma TPM).
Molti credono che usando il sensore si regali l'impronta a Microsoft, Apple o altri. Non è così: questa informazione non lascia mai il dispositivo e resta sempre sotto il vostro controllo.
In altre parole: si posa il dito sul sensore, e il sistema lo trasforma in un codice alfanumerico univoco. È questo codice che viene spedito, usando un sistema di autenticazione a doppia chiave. Ogni utente, quindi ognuno di noi, ha due chiavi. Quella pubblica, in quanto tale, è nota a tutti e serve a identificarci. Quella privata invece è segreta e serve a sbloccare le informazioni.
WebAuthn è proprio ciò che rende questo sistema funzionale ed ergonomico. Noi facciamo un gesto semplice, posare il dito sul sensore o inserire una chiavetta USB, e il computer genera per noi la chiave privata – usando meccanismi molto sicuri e difficili da violare.
Quando vogliamo entrare su un sito, diciamo Facebook, dovremo scaricare una micro applicazione (tipicamente in JavaScript) per completare l'operazione. Ma nemmeno quest'applicazione avrà accesso alla chiave privata, in sostanza perché il sistema non si fida di lei. Questo programma è semplicemente l'intermediario tra il computer e il sito a cui vogliamo accedere. Ciò che accade è piuttosto complicato ma si può riassumere in questo modo: l'app richiede di risolvere un complesso sistema matematico, e voi "accettate la sfida" posando il dito. L'elaborazione corretta della vostra impronta è la soluzione del problema.
Perché WebAuthn può aumentare la sicurezza di tutti noi
WebAuthn rende quindi possibile usare questi sistemi di autenticazione praticamente ovunque, e ciò è possibile grazie a CTAP (Client to Authenticator Protocol) un protocollo che stabilisce in che modo deve avvenire la comunicazione sicura.
Il potenziale sta nel fatto che è un sistema più comodo rispetto a mettere nome utente e password. Dove il sistema F2A ha faticato ad imporsi, WebAuthn ha invece il potenziale per diffondersi rapidamente tanto su desktop quanto su mobile. Proprio perché le persone potrebbero preferire accedere mettendo il dito sul sensore che inserendo la loro password. Si eliminano diverse seccature, come il doversi ricordare la password o il doverla affidare a un sito di cui non possiamo fidarci pienamente.
Non solo, l'incremento di sicurezza (potenziale) è dato anche dal fatto che così facendo molti (troppi) smetteranno di usare password troppo semplici o ripetute. Una cattiva abitudine che solo pochissimi di noi hanno perso.
Un altro vantaggio notevole è che ci si mette al riparo dal phishing: se anche qualcuno dovesse indurvi a registrarvi su un sito falso, non avrà in mano dati utili – mentre oggi la vittima finisce per cedere la propria password, che poi viene riutilizzata per rubare dati.
Chi ha un notebook recente, con videocamere a infrarossi o sensore di impronte digitali, può iniziare a sperimentare la novità con Microsoft Edge e gli account Microsoft. Ma il colosso di Redmond è solo una tra le grandi aziende che ha messo in moto questo cambiamento: nell'arco di pochi mesi, sarà diffuso capillarmente.
Non è perfetto ma è meglio
Usare una password complessa e univoca, insieme a un sistema 2FA, è in teoria ancora la protezione più solida di cui vi possiate dotare. Ma è una protezione accettabile (e usata) solo da persone disposte ad affrontare lo sforzo necessario.
L'autenticazione biometrica è intrinsecamente più debole, ma se tutti la usassero potremmo contrastare con efficacia i numerosi casi di data breach di cui vi abbiamo raccontato in questi ultimi anni. Avremmo meno vittime in casi come questi, e questo è senza dubbio uno scenario auspicabile. E chi desidera la maggiore sicurezza possibile, dopotutto, potrà continuare a usare il sistema che preferisce. Con la serenità di sapere che anche clienti e fornitori hanno fatto un passo in più nella giusta direzione.
Lo sapevi che puoi aggiungere il lettore di impronte digitali al tuo computer? Costano molto poco.