Sicurezza o convenienza? Tutta la verità sulle tecnologie biometriche.

Panoramica

Spesso le persone hanno un’idea sbagliata della tecnologia biometrica e dell’uso che ne viene fatto per proteggere le nostre informazioni private. Molti ritengono che le tecnologie biometriche, come Touch ID o Face ID, possano essere utilizzate per sostituire le password tradizionali. Tuttavia, questo non è affatto vero. Come leggerai di seguito, la tecnologia biometrica va piuttosto considerata come uno strumento conveniente per gli utenti o un secondo fattore di autenticazione.

Abbiamo ancora bisogno delle password

Ogni software, app cloud o sito web che utilizziamo quotidianamente richiede la creazione di un account. In genere, ciò comporta la creazione di un nome utente (o di un’email) e di una password. Molti servizi offrono anche l’opzione di accesso tramite Google o Facebook, un metodo che delega l’autenticazione a un fornitore di identità di terze parti affidabile utilizzando i protocolli OAuth o OpenID Connect. Questi fornitori non richiedono solo un nome utente e una password, ma di solito anche un’autenticazione a due fattori (ad esempio, un codice unico inviato tramite messaggio di testo o metodi equivalenti). Esiste un gran numero di fornitori di identità ampiamente utilizzati, come Okta, Azure e JumpCloud, che sfruttano un protocollo diverso (SAML 2.0) per fornire funzionalità di Single Sign-On (SSO). Ognuno di questi fornitori richiede comunque l’uso di un nome utente e di una password al momento dell’accesso ai loro sistemi.

Come funziona la biometria sui dispositivi mobili

Prendiamo iOS come esempio. Quando attiviamo la funzionalità Touch ID, i dati delle impronte digitali vengono archiviati da Apple all’interno di un chipset sul dispositivo e non sono in alcun modo disponibili agli sviluppatori di software. Gli sviluppatori di software che desiderano sfruttare la tecnologia Touch ID possono semplicemente comunicare al sistema operativo di richiedere l’impronta digitale e attendere un esito positivo o negativo. Se l’esito è positivo, sarà possibile recuperare alcuni dei dati archiviati dallo sviluppatore nel keychain (ad esempio una chiave di crittografia o una password). In particolare, questa opzione può essere utilizzata per aggirare la schermata della password dell’app e per permettere all’utente di accedere automaticamente. L’utilizzo di questa procedura fornisce semplicemente una maggiore comodità all’utente, eliminando la necessità di dover digitare la propria password. Infatti, il keychain e l’app si scambiano comunque una password.

Ora, cosa succede se la password per una particolare app è debole (ad esempio 123456)? Il fatto che la funzionalità biometrica venga utilizzata per estrarre la password dal keychain e fornirla all’applicazione non contribuisce in alcun modo a rafforzare il livello di sicurezza. Se l’app ha accettato una password così debole, si può supporre che un utente malintenzionato dall’altra parte del mondo possa indovinare tale combinazione e accedervi.

Le app che sfruttano le funzionalità biometriche per gli accessi memorizzano semplicemente la tua password nel keychain o in un elemento sicuro sul dispositivo. I dati biometrici non vengono mai convertiti direttamente in una password o chiave. Questo metodo può essere utilizzato unicamente per recuperare o meno, a seconda dell’esito della procedura, informazioni dall’hardware precedentemente archiviate dall’applicazione. Per questo motivo, la biometria è comoda, ma non più sicura.

È risaputo che i produttori di hardware come Apple e Google non forniranno mai agli sviluppatori di siti web o app i dati biometrici effettivi utilizzati per identificare gli utenti. Ciò comporterebbe una fuga di informazioni private degli utenti ed esporrebbe i dati biometrici a potenziali furti o hacking.

Perché è sempre necessaria la password

Il primo motivo per cui le password restano necessarie è che possono essere cambiate. Se la tua password per un particolare servizio viene compromessa o rubata da un utente malintenzionato, puoi semplicemente reimpostarla sul sito interessato. Tuttavia, non puoi ripristinare l’impronta digitale o il tuo viso.

In secondo luogo, solo una password robusta e unica è efficace contro un attacco di forza bruta perché la conosci solo tu (o un Password Manager crittografato).

Infine, per i prodotti più sicuri, i dati delle tue password sono crittografati e la crittografia richiede una chiave per decifrare le informazioni memorizzate. Una chiave può essere derivata solo da una password robusta che viene digitata esattamente nello stesso modo ogni volta. Una chiave di crittografia non può essere ricavata direttamente da un’impronta digitale. Questo perché i sistemi operativi non forniscono dati biometrici grezzi agli sviluppatori, in quanto ciò comporterebbe il rischio di far trapelare le impronte digitali degli utenti in tutto il mondo. E anche se i dati biometrici grezzi fossero disponibili agli sviluppatori di software, non sarebbero in una forma utilizzabile come chiave crittografica. La decrittografia è binaria, o funziona o non lo fa: la chiave non può differire nemmeno di un singolo 0 o 1. È noto che la biometria non è mai una tecnologia esatta, e ogni suo “successo” o “fallimento” è il frutto di una stima. Al contrario, la decrittografia non può mai essere eseguita sulla base di una stima.

Sta tutto nella sicurezza del codice

La realtà dei fatti è che su iOS le funzionalità Touch ID e Face ID possono essere aggirate digitando il codice del dispositivo. Per la maggior parte delle persone, questo è un numero di 4 o 6 cifre. Sui dispositivi Apple e Android gli utenti devono inserire costantemente questo codice come meccanismo di fallback. Pertanto, se il codice viene scoperto, un utente malintenzionato può accedere al tuo dispositivo e impostare una nuova impronta digitale o inizializzare l’ID facciale. Ciò potrebbe sorprendere molti utenti e incoraggiarli a impostare un codice alfanumerico più robusto sul dispositivo. È importante cercare un prodotto che consenta ai clienti di aggirare l’utilizzo del Touch ID e limitare l’uso della tecnologia biometrica.

La crittografia è importante

Cerca un prodotto che sia zero-knowledge. Ciò significa che le informazioni all’interno del prodotto sono crittografate e decrittografate solo al livello del dispositivo, utilizzando una chiave di crittografia derivata dalla tua master password.

Se un sito web, un’app o un servizio ti consente semplicemente di accedere senza una password o se il servizio non esegue la decrittografia sul lato client, dovresti essere consapevole che le tue informazioni verranno archiviate sui loro server, senza alcuna forma di protezione. Se i dipendenti di tale azienda vogliono visualizzare le tue informazioni, hanno la piena capacità di farlo. In teoria, ciò comporta anche, che se l’azienda ha un bug nel proprio software, le tue informazioni potrebbero essere esposte pubblicamente su Internet.

A seconda del tipo di informazioni archiviate presso il servizio potrebbe anche non importarti più di tanto, tuttavia, nel caso di file riservati, password e altre informazioni segrete, l’esito potrebbe essere molto grave. Le informazioni private e riservate dovrebbero essere crittografate a livello di dispositivo e ciò può essere ottenuto solo con una chiave di crittografia derivata da un input che nessun altro conosce, in poche parole, una password che hai in mente solo tu!

Creare prodotti zero-knowledge è estremamente difficile. Ecco perché la maggior parte delle aziende non lo fa. L’aspetto fondamentale per utenti e attività è capire quali informazioni vengono archiviate e quanta fiducia si ha nell’azienda che protegge le informazioni.

Per quanto riguarda la biometria, il punto principale è che la tecnologia biometrica non può crittografare direttamente le tue informazioni. Pertanto, qualsiasi servizio che non dispone di strumenti di protezione delle password e si basa completamente su un sistema biometrico per gli accessi non può essere considerato completamente sicuro.

La biometria come secondo fattore di autenticazione

Come secondo fattore di accesso a un dispositivo, la biometria può essere utile per la maggior parte delle applicazioni, preservando al contempo i massimi livelli di sicurezza. Ad esempio, dopo aver digitato una password o aver utilizzato il tuo Password Manager per accedere a un sito web o a un’applicazione sul tuo computer, potrebbe esserti richiesto di eseguire l’autenticazione con l’impronta digitale o il riconoscimento facciale sul tuo dispositivo mobile.

Questo tipo di processo richiede che lo sviluppatore dell’app o del sito web abbia integrato un’applicazione per dispositivi mobili o un servizio di autenticazione di terze parti che supporti i dispositivi biometrici. Per associare correttamente un’autenticazione biometrica come secondo fattore, è necessario disporre di una funzionalità di registrazione e di un backend che comunichi in modo sicuro le informazioni relative al secondo fattore tra l’applicazione e i server.

Nell’utilizzare l’autenticazione biometrica come secondo fattore, l’aspetto più importante per la protezione delle informazioni dipende quindi dai canali di comunicazione tra il dispositivo biometrico e i server di backend. Un hacker che tenta di entrare in un account protetto da un dispositivo biometrico cercherà di ingannare i server per autenticare l’utente, piuttosto che tentare di penetrare nel lettore di impronte digitali. Pertanto, la fiducia che riponi nell’applicazione o nel fornitore di software non dipende solo dalla presenza dell’autenticazione biometrica, ma anche dal metodo di implementazione.

In breve

Nonostante la biometria stia diventando sempre più diffusa, è importante comprendere la differenza tra la sicurezza fornita e la comodità acquisita. Ogni singolo utente e organizzazione ha un diverso livello di avversione al rischio. La biometria da sola non può garantire la sicurezza e una solida strategia di gestione delle password è fondamentale per prevenire gli attacchi informatici e il furto di dati.

I dispositivi mobili e i computer desktop che incorporano l’autenticazione biometrica offrono semplicemente un modo conveniente per trasferire una password dall’hardware fisico all’app a cui si sta accedendo. Una password debole o riutilizzata per più app e siti web comporta comunque un rischio elevato di hacking e furto di dati, anche se si utilizza un dispositivo biometrico. Tuttavia, come secondo fattore, la biometria può costituire un meccanismo di sicurezza conveniente e utile se implementato in modo sicuro dal fornitore del software.

Craig Lurey
CTO, Keeper Security