Il conto sale. Ogni singolo giorno, la persona media accumula un’altra credenziale di accesso.
Banche. E-mail. Commercio elettronico. Mezzi sociali. Il portale dell’ufficio.
Stai gestendo un esercito crescente di stringhe di personaggi. E qualcuno cerca sempre di rubarli.
Gli hacker non vogliono solo l’accesso. Vogliono i soldi legati a quell’accesso. Transazioni fraudolente, identità rubate, conti prosciugati. Il motivo è semplice. Il metodo è implacabile.
Come chiudi la porta quando hai cinquanta chiavi in tasca?
Sta emergendo un nuovo approccio. Non si tratta solo di rendere le password più difficili da indovinare. Si tratta di renderli inutili.
La fatica dell’attrito
Considera la giornata tipica di un utente.
Ti svegli. Controlli la tua email. Accedi alla tua app bancaria. Cerchi una nuova maglietta. Rispondi a un messaggio Slack di lavoro.
Si tratta di cinque eventi di autenticazione distinti.
Ora immagina di farlo per ogni servizio che utilizzi.
L’attrito è reale. Ed è pericoloso.
Perché gli utenti sono stanchi. Quando la sicurezza diventa troppo complicata, le persone imbrogliano.
Usano la stessa password ovunque.
Lo scrivono.
Lo condividono.
Ciò crea un’enorme vulnerabilità. Se un sito viene violato, l’aggressore ha la chiave di tutto il resto.
Phishing e forza bruta
Anche le minacce si stanno evolvendo.
Gli attacchi di phishing stanno diventando sempre più intelligenti. Imitano siti legittimi con una precisione terrificante. Digiti la tua password in una pagina di accesso falsa. L’hacker lo capisce immediatamente.
Poi c’è la forza bruta. Gli script automatizzati provano migliaia di combinazioni al secondo. Se la tua password è “Password123”, hai finito.
Il danno finanziario è immediato.
L’importo viene addebitato sulla tua carta di credito. La tua identità è stata rubata. La tua reputazione è compromessa.
Il passaggio alle passkey
È qui che entra in gioco il nuovo metodo.
Si chiama passkey.
Noto anche come credenziali FIDO2 o WebAuthn.
Il nome non conta tanto quanto la funzione.
Le passkey sostituiscono completamente le password.
Si basano sulla crittografia a chiave pubblica.
Ecco come funziona in un inglese semplice.
Il tuo dispositivo (telefono o laptop) genera una coppia di chiavi univoca.
Una chiave rimane sul tuo dispositivo. Non se ne va mai.
L’altra chiave viene inviata al sito Web o all’app. Questa è la chiave pubblica.
Quando accedi, il tuo dispositivo dimostra di possedere la chiave privata.
Lo fa utilizzando la biometria o un PIN.
FaceID. Impronta digitale. Il tuo codice di blocco schermo.
Non esiste un segreto condiviso. Nessuna stringa di lettere da indovinare.
Se un sito web viene violato, l’aggressore ottiene solo la chiave pubblica. Inutile.
Non possono decodificare la tua password.
Non possono usarlo altrove.
Perché questo è importante per te
Non è necessario capire i conti.
Hai solo bisogno di conoscere il vantaggio.
Non è più necessario ricordare stringhe complesse.
Non è più necessario reimpostare le password dimenticate.
Non dovrai più cadere nei siti di phishing che richiedono una password.
Un sito di phishing potrebbe sembrare reale. Potrebbe anche richiedere un codice di verifica.
Ma senza il tuo dispositivo fisico e il tuo consenso biometrico, l’accesso fallisce.
L’hacker non ottiene nulla.
Questo non è un concetto futuro.
Le principali piattaforme lo stanno lanciando
Perché le password semplici non funzionano e come la sicurezza basata sul comportamento cambia il gioco
Il tuo telefono è fondamentalmente un computer con tutta la tua vita nelle sue tasche. Coordinate bancarie. E-mail private. L’elenco potrebbe continuare. Questa comodità ha un prezzo elevato: il rischio di infezioni, trojan e hacking vero e proprio. Quando entrano i criminali, il danno è reale. Eppure continuiamo a rendergli le cose troppo facili.
La persona media utilizza più di 20 account protetti da password. Usano circa cinque password diverse per mantenerle tutte sbloccate. Questa ripetizione è un incubo per la sicurezza.
Come i criminali rubano effettivamente le tue chiavi
Stephan Wiefling, un esperto dell’Università di Scienze Applicate di Bonn-Rhein-Sieg (H-BRS), analizza i due principali modi in cui gli hacker aggirano le vostre difese. Non è sempre magia high-tech.
Innanzitutto, ci sono enormi perdite di database. Ricordi Adobe? LinkedIn? MySpace? Questi siti spesso memorizzavano male i dati degli utenti. Gli hacker rubano la combinazione di email e password. Quindi usano una tecnica chiamata “Credential Stuffing”. È automatizzato. Provano le stesse credenziali su ogni altro sito che utilizzi. Akamai, un fornitore di servizi online, registra 250 milioni di questi tentativi ogni giorno. Se riutilizzi le password, il gioco è fatto.
La seconda è l’arte di indovinare. Sembra ingenuo. Funziona comunque. Wiefling osserva che le percentuali di successo raggiungono il 70% in meno di 100 tentativi. Perché? Perché gli esseri umani sono prevedibili. Gli hacker usano il tuo nome, il nome del tuo animale domestico, i compleanni della famiglia. Lo inseriscono in modelli statistici per generare un elenco delle password più probabili. Il computer indovina ciò che ritieni sia intelligente. Di solito è sbagliato.
Un nuovo scudo: riconoscere il vero te
Per porre fine a tutto ciò, Wiefling ha sviluppato un sistema di protezione. Non controlla solo se la tua password è corretta. Controlla se sei tu a digitarlo.
Questo si chiama risiko-basierte Authentifizierung (autenticazione basata sul rischio). Il sistema accetta i tuoi dati di accesso purché nulla sembri strano. Se rileva un comportamento strano, richiede un secondo passaggio di verifica.
Cosa conta come strano? Utilizzando un dispositivo da cui non hai mai effettuato l’accesso prima. Accedi da una posizione geografica che non hai mai visitato. Oppure accedi al sito alle 3 del mattino di martedì, quando di solito dormi. Il sistema segnala questa deviazione. Chiede prove.
Il comfort incontra la cautela
Per la maggior parte dei siti, questo è un gioco da ragazzi. Digiti la password una volta. Se il comportamento è normale, sei dentro. Uno studio di laboratorio con quasi 70 partecipanti ha confermato che funziona. Gli utenti si sono sentiti molto più sicuri con l’autenticazione basata sul rischio rispetto alle password semplici. Lo preferivano per i social media e i siti di shopping.
Ma per quanto riguarda i conti bancari?
Lì le persone sono diverse. In un secondo studio, i partecipanti si sono rifiutati di fare affidamento esclusivamente sul comportamento dei siti ad alta sicurezza. Volevano la tradizionale autenticazione a due fattori (2FA). Ciò significa accedere sempre due volte. Password più un PIN monouso. È più attrito. Ma per i tuoi soldi, lo prenderai.
Cosa rende una password effettivamente sicura?
Niente di tutto questo funziona se la tua password di base è spazzatura. Wiefling suggerisce di utilizzare un gestore di password. Molti browser offrono questa funzionalità integrata.
Ecco la parte controintuitiva: la complessità non è il re. La lunghezza è. Una frase lunga e memorabile come “Montags arbeite ich oft sehr gerne” batte una stringa breve e caotica come “$Le90pch”. È più difficile per un computer applicare la forza bruta a una frase lunga.
E per favore. Smettere di riutilizzare le password. Usa il gestore. Li memorizza in una cassaforte digitale crittografata. Devi solo ricordare una password principale. Quella chiave sblocca tutto il resto.
Non è perfetto. Il sistema può ancora essere ingannato se un utente malintenzionato conosce la tua routine. Oppure se sei in viaggio e il sistema segnala il tuo comportamento normale come sospetto. Ma è un passo avanti rispetto alla speranza che nessuno indovini il nome del tuo cane.
Devi ancora stare attento. Gli strumenti aiutano. Non ti salvano.
