Lautenticazione è, in termini generali, l'atto o il processo di confermare la verità di un'informazione sostenuto vero da un'entità. Invece l'identificazione è l'atto o il processo di confermare l'identità di una persona o cosa ed avviene attraverso l'autenticazione.
Descrizione Per esempio confermando l'identità di una persona attraverso la convalida dei suoi documenti di identità, verificando l'autenticità di un sito web con un certificato digitale, determinando l'età di un manufatto dalla datazione al carbonio, o di garantire che un prodotto è quello indicato dall'etichetta d'imballaggio. In altre parole, l'autenticazione comporta spesso verificare la validità di almeno una forma di identificazione.
Si definisce in informatica il processo tramite il quale un sistema informatico, un computer, un software o un utente verifica la corretta, o almeno presunta, identità di un altro computer, software o utente che vuole comunicare attraverso una connessione, autorizzandolo ad usufruire dei relativi servizi associati. È il sistema che verifica, effettivamente, che un individuo è chi sostiene di essere.
L'autenticazione è diversa dall'identificazione (la determinazione che un individuo sia conosciuto o meno dal sistema) e dall'autorizzazione (il conferimento ad un utente del diritto ad accedere a specifiche risorse del sistema, sulla base della sua identità).
Funzionamento Durante una connessione/comunicazione in Internet o l'accesso ad alcuni servizi messi a disposizione dal Web è importante per l'utente definire in modo univoco la propria identità, essere riconosciuto e per questo ottenere l'accesso ai propri servizi. Allo stesso modo è fondamentale anche conoscere l'identità di chi si trova dall'altra parte della "linea" della comunicazione ed essere certi che l'interlocutore con il quale si stanno scambiando delle informazioni sia veramente chi dice di essere e non un impostore.
Oggi vengono utilizzati nuovi metodi di autenticazione che vanno a sostituire le classiche password che possono risultare scadenti come sicurezza. La tradizionale autenticazione online si affida a qualcosa che si conosce, cioè una password. Questo, però, non è un metodo infallibile, infatti: una password è un dato segreto che va condiviso con chi verifica l'identità. Molto frequentemente non si ha modo di accertare che la propria password venga conservata in modo sicuro e può essere facile preda di chiunque stia osservandone l'inserimento o usando un software come un keylogger.
L'autenticazione si basa sulla presentazione della credenziale, componente tipicamente costituita da elementi pubblici (ad esempio il nome utente o l'identificativo di un servizio) e da elementi segreti.
In teoria esiste anche l'autenticazione tramite credenziale priva di elemento segreto quando cioè non è stato impostato come necessario (campo "in bianco"). Va da sè che non è un metodo sicuro e da usare unicamente quando non è possibile fare altrimenti (applicazioni software obsolete, tipo i vecchi PLC) oppure l'operazione da eseguire è banale (ad esempio: un terminale usato in comune e con il quale si può unicamente stampare etichette). Anche l'uso domestico o personale di assenza di credenziale è da scoraggiare, specie quando il dispositivo è non cifrato (in caso di furto chiunque può recuperare i dati, anche fosse solo la navigazione web eseguita e pure quelli cancellati precedentemente).
In caso di assenza di procedura di autenticazione sono indisponibili i log di login e di logout e gli altri log sono disponibili ma senza riferimento ad un utente.
I metodi tramite i quali un essere umano può autenticarsi sono divisi in tre classi, in base a:
qualcosa che so (es. password, frase chiave o numero di identificazione personale (PIN)) si può riferire alla password o ad un'autenticazione pattern-based, per esempio proposta nei sistemi operativi o un'autenticazione basata sul codice PIN, come per i bancomat.
qualcosa che ho (es. tesserino identificativo) è molto spesso un token installato su un dispositivo mobile che si possiede. Esistono due tipologie principali di token mobile: Token che si usano online (challenge/response based) Token che si usano offline (time, sequence o OTP based). qualcosa che sono (es. impronte digitali, impronta vocale, modello retinico, sequenza del DNA, calligrafia o altri identificatori biometrici) (vedi sistema di riconoscimento biometrico).
La scelta dei diversi metodi di autenticazione è condizionata dai diversi fattori tra cui l'usabilità, l'importanza delle informazioni da proteggere ed il costo del sistema. Spesso si assiste anche ad una mutua autenticazione in cui ciascuna parte in causa deve autenticarsi all'altra.
Inoltre spesso, al posto del singolo metodo, viene usata una combinazione di metodi, i.e. un tesserino identificativo e un PIN che ne aumenta la sicurezza. Questa prende il nome di strong customer authentication, come nel caso della autenticazione a due fattori.
Contenuto delle informazioni L'autenticazione di informazioni può porre problemi particolari con la comunicazione elettronica, come ad esempio la vulnerabilità agli attacchi, per cui un terzo potrebbe intercettare il flusso di comunicazione, si mette tra le parti (attacco man in the middle), per intercettare informazioni provenienti da entrambe le parti. Possono essere richiesti fattori di identità extra per autenticare l'identità di ciascuna delle parti.
L'imitare lo stile di un autore famoso, può comportare una falsificazione letteraria. Se un manoscritto originale, testo dattiloscritto, o la registrazione è disponibile, allora il mezzo stesso (o il suo confezionamento - qualsiasi cosa, da una scatola a e-mail header) può aiutare a dimostrare o confutare l'autenticità del documento.
Tuttavia, testo, audio e video, possono essere copiati in nuovi media, possibilmente lasciando solo il contenuto informativo in sé da utilizzare per l'autenticazione.
Vari sistemi sono stati inventati per consentire agli autori di fornire un mezzo, ai lettori, per autenticare in modo affidabile che un dato messaggio originato o trasmesso da loro. Queste comprendono fattori di autenticazione, come:
Una difficoltà di riprodurre un artefatto fisico, per esempio sigillo, firma, carta speciale, o impronte digitali. Un segreto condiviso, come una frase, nel contenuto del messaggio. Una firma elettronica; infrastruttura a chiave pubblica viene spesso utilizzata per garantire crittograficamente che un messaggio è stato firmato dal titolare di una particolare chiave privata. Il problema opposto è il rilevamento di plagio, in cui le informazioni da un autore diverso viene spacciata per il proprio lavoro di una persona. Una tecnica comune per dimostrare plagio è la scoperta di un'altra copia dello stesso (o molto simile) testo, che viene attribuito a qualcun altro. In alcuni casi, l'eccessiva alta qualità o una mancata corrispondenza di stile, possono far sorgere il sospetto di plagio.
Metodi e tipologie Login
Il problema dell'autorizzazione è spesso identificato con quello dell'autenticazione: un protocollo di comunicazione di sicurezza standard, ad esempio, si basa su questo presupposto. Vi sono però casi in cui questi due problemi vengono risolti con strategie differenti.
Un esempio di tutti i giorni è la comune procedura di autenticazione che conosciamo come login, presente ad esempio in forum, accesso a servizi di home banking e e-commerce, reti Wi-Fi, telefoni cellulari ecc. Un sistema di elaborazione, progettato per essere usato soltanto da utenti autorizzati, deve essere in grado di rilevare ed escludere i soggetti non autorizzati. L'accesso ad esso, dunque, viene garantito solo dopo aver eseguito con successo una procedura di autenticazione, di solito attraverso una username e/o una password personale.
Chiave hardware
Un contenitore di login/password è la chiave hardware.
Questi è un dispositivo che contiene una memoria interna dove è possibile memorizzare password, codici, firme digitali. La sicurezza del contenitore si basa sull'affidabilità del proprietario, in quanto è logico che se quest'ultimo lascia incustodita la propria chiave, la sicurezza può essere compromessa. Un esempio di chiave hardware sono le smart card. Alcuni esempi comuni di processi d'autenticazione coinvolti in un controllo d'accesso sono i seguenti:
prelievo di denaro da uno sportello Bancomat; controllo remoto di un computer tramite Internet ad esempio tramite protocollo SSH; servizi bancari online.
Esiste un altro tipo di chiave che permette l'autenticazione hardware sui siti abilitati, su sistemi server e su prodotti software personalizzati. Si basa su un sistema di scambio chiavi con un server che identifica la chiave e fornisce una password diversa ad ogni accesso rendendo l'utente identificabile in maniera univoca. In caso di perdita è possibile richiedere la disattivazione sul server stesso così da evitare che possa essere utilizzata da altri. Questo sistema viene spesso preferito alla classica password da venti caratteri in quanto l'utente tende a non ricordarsela e la scrive in fogliettini rendendo inutile la sicurezza creata dalla password stessa (problemi di base della sicurezza non dettati dalla tecnologia, ma dal fattore umano). Spesso viene usata con OpenSSH, Phpmyadmin, Wordpress e altri software.
I Token offline
I Token funzionano out-of-band, nel senso che non hanno una connessione diretta con il richiedente l'autenticazione, solitamente attraverso una chiave segreta condivisa. I token time-based sono alimentati da una batteria e fanno hashing con il numero corrente dei secondi trascorsi dal 1º gennaio 1969 e mostrano sul display una parte del risultato, solitamente un numero a sei cifre. L'hashing utilizza un segreto condiviso tra il soggetto che esegue l'autenticazione e il token. Ciò permette al primo di calcolare il valore presente sul display ed essere certo che corrisponda a quello inserito. Il token sequence-based si basa sul concetto di un elenco prestabilito di numeri, come un pad one-time. Anche se le comunicazioni fossero spiate, non sarebbe possibile conoscere il prossimo numero valido della sequenza. I malintenzionati potrebbero spiare solo il numero attuale, ma ciò potrebbe non permettere loro di continuare a danneggiarvi in futuro. I pad on-demand, on-time non sono violabili se usati correttamente e la loro applicazione evoluta prevede che un codice di autenticazione sia trasmesso all'utente o attraverso un SMS oppure con una telefonata in automatico. Come nel caso degli altri token offline, possono essere spiati, ma hanno una bassa barriera d'ingresso.
Sistemi biometrici
Il sistema di riconoscimento biometrico è uno strumento di autenticazione (applicato alle persone) che si basa sulle caratteristiche fisiche uniche dell'uomo. I metodi più utilizzati sono: impronta digitale, impronta vocale, vene della mano e retina dell'occhio.