Autenticazione

L'autenticazione è, in termini generali, l'atto o il processo di confermare la verità di un'informazione sostenuto vero da un'entità. Invece l'identificazione è l'atto o il processo di confermare l'identità di una persona o cosa ed avviene attraverso l'autenticazione.

Descrizione

Per esempio confermando l'identità di una persona attraverso la convalida dei suoi documenti di identità, verificando l'autenticità di un sito web con un certificato digitale, determinando l'età di un manufatto dalla datazione al carbonio, o di garantire che un prodotto è quello indicato dall'etichetta d'imballaggio. In altre parole, l'autenticazione comporta spesso verificare la validità di almeno una forma di identificazione.

Si definisce in informatica il processo tramite il quale un sistema informatico, un computer, un software o un utente verifica la corretta, o almeno presunta, identità di un altro computer, software o utente che vuole comunicare attraverso una connessione, autorizzandolo ad usufruire dei relativi servizi associati. È il sistema che verifica, effettivamente, che un individuo è chi sostiene di essere.

L'autenticazione è diversa dall'identificazione (la determinazione che un individuo sia conosciuto o meno dal sistema) e dall'autorizzazione (il conferimento ad un utente del diritto ad accedere a specifiche risorse del sistema, sulla base della sua identità).

Funzionamento

Durante una connessione/comunicazione in Internet o l'accesso ad alcuni servizi messi a disposizione dal Web è importante per l'utente definire in modo univoco la propria identità, essere riconosciuto e per questo ottenere l'accesso ai propri servizi. Allo stesso modo è fondamentale anche conoscere l'identità di chi si trova dall'altra parte della "linea" della comunicazione ed essere certi che l'interlocutore con il quale si stanno scambiando delle informazioni sia veramente chi dice di essere e non un impostore.

Oggi vengono utilizzati nuovi metodi di autenticazione che vanno a sostituire le classiche password che possono risultare scadenti come sicurezza. La tradizionale autenticazione online si affida a qualcosa che si conosce, cioè una password. Questo, però, non è un metodo infallibile, infatti: una password è un dato segreto che va condiviso con chi verifica l'identità. Molto frequentemente non si ha modo di accertare che la propria password venga conservata in modo sicuro e può essere facile preda di chiunque stia osservandone l'inserimento o usando un software come un keylogger.

L'autenticazione si basa sulla presentazione della credenziale, componente tipicamente costituita da elementi pubblici (ad esempio il nome utente o l'identificativo di un servizio) e da elementi segreti.

In teoria esiste anche l'autenticazione tramite credenziale priva di elemento segreto quando cioè non è stato impostato come necessario (campo "in bianco"). Va da sè che non è un metodo sicuro e da usare unicamente quando non è possibile fare altrimenti (applicazioni software obsolete, tipo i vecchi PLC) oppure l'operazione da eseguire è banale (ad esempio: un terminale usato in comune e con il quale si può unicamente stampare etichette). Anche l'uso domestico o personale di assenza di credenziale è da scoraggiare, specie quando il dispositivo è non cifrato (in caso di furto chiunque può recuperare i dati, anche fosse solo la navigazione web eseguita e pure quelli cancellati precedentemente).

In caso di assenza di procedura di autenticazione sono indisponibili i log di login e di logout e gli altri log sono disponibili ma senza riferimento ad un utente.

I metodi tramite i quali un essere umano può autenticarsi sono divisi in tre classi, in base a:

qualcosa che so (es. password, frase chiave o numero di identificazione personale (PIN)) si può riferire alla password o ad un'autenticazione pattern-based, per esempio proposta nei sistemi operativi o un'autenticazione basata sul codice PIN, come per i bancomat.

qualcosa che ho (es. tesserino identificativo) è molto spesso un token installato su un dispositivo mobile che si possiede. Esistono due tipologie principali di token mobile:

Token che si usano online (challenge/response based)

Token che si usano offline (time, sequence o OTP based).

qualcosa che sono (es. impronte digitali, impronta vocale, modello retinico, sequenza del DNA, calligrafia o altri identificatori biometrici) (vedi sistema di riconoscimento biometrico).

La scelta dei diversi metodi di autenticazione è condizionata dai diversi fattori tra cui l'usabilità, l'importanza delle informazioni da proteggere ed il costo del sistema. Spesso si assiste anche ad una mutua autenticazione in cui ciascuna parte in causa deve autenticarsi all'altra.

Inoltre spesso, al posto del singolo metodo, viene usata una combinazione di metodi, i.e. un tesserino identificativo e un PIN che ne aumenta la sicurezza. Questa prende il nome di strong customer authentication, come nel caso della autenticazione a due fattori.