Autenticazione

Da Wikipedia, l'enciclopedia libera.

Nota disambigua – Se stai cercando significati non informatici della parola autenticazione, vedi autenticità.

Nel campo della sicurezza informatica, si definisce autenticazione (in greco: αυθεντικός, da 'authentes'='autore') il processo tramite il quale un computer, un software o un utente, verifica la corretta, o almeno presunta, identità di un altro computer, software o utente che vuole comunicare attraverso una connessione.

Durante una comunicazione in Internet o l'accesso ad alcuni servizi messi a disposizione dal Web è importante per l'utente definire in modo univoco la propria identità, essere riconosciuto e per questo ottenere l'accesso ai propri servizi. Allo stesso modo è fondamentale anche conoscere l'identità di chi si trova dall'altra parte della "linea" della comunicazione ed essere certi che l'interlocutore con il quale si stanno scambiando delle informazioni sia veramente chi dice di essere e non un impostore.

Il problema dell'autorizzazione è spesso identificato con quello dell'autenticazione: i protocolli per la sicurezza standard, ad esempio, si basano su questo presupposto. Comunque, vi sono casi in cui questi due problemi vengono risolti con strategie differenti.

Un esempio di tutti i giorni è la comune procedura di autenticazione che conosciamo come login. Un sistema di elaborazione, progettato per essere usato soltanto da utenti autorizzati, deve essere in grado di rilevare ed escludere i non autorizzati. L'accesso ad esso, dunque, viene garantito solo dopo aver eseguito con successo una procedura di autenticazione, di solito attraverso una username e una password personale.

Tuttavia, dato che l'intera discussione si basa, quasi esclusivamente, su termini astratti, i quali, a volte, possono anche risultare ambigui, vogliamo stabilire un punto fermo: non esistono computer, software o utenti in grado di confermare, con totale certezza, l'identità di altri computer, software e utenti.

Dunque, essendo la soluzione "totalmente sicura" irraggiungibile, si può soltanto cercare di sottoporre l'autenticando a diverse prove, ad esempio delle domande alle quali bisogna rispondere correttamente. Sicuramente è estremamente importante che l'identità virtuale sia associata univocamente a quella "fisica" e sia quindi possibile verificare che la persona che fruisce del servizio sia veramente chi afferma di essere, per i servizi più critici, come quelli che prevedono transazioni finanziarie o comunicazione di dati personali.

Il processo di autenticazione avviene diverse volte al giorno, senza magari accorgersene: un timbro di voce al telefono, un volto, bastano per farci riconoscere un conoscente e concedergli l'attenzione. Un contenitore di login/password è la chiave hardware.

Questo è un oggetto che contine una memoria interna dove è possibile memorizzare password, codici, firme digitali. La sicurezza del contenitore si basa sull'affidabilità del proprietario, in quanto è logico che se quest'ultimo lascia incustodita la propria chiave, la sicurezza può essere compromessa. Un esempio di chiave hardware sono le smart card. Alcuni esempi comuni di processi d'autenticazione coinvolti in un controllo d'accesso sono i seguenti:

prelievo di denaro da uno sportello Bancomat.
controllo remoto di un computer tramite Internet
servizi bancari online

I metodi tramite i quali un essere umano può autenticarsi sono divisi in tre classi, in base a ciò che egli:

è (es. impronte digitali, impronta vocale, modello retinico, sequenza del DNA, calligrafia o altri identificatori biometrici)
ha (es. tesserino identificativo)
conosce (es. password, parola chiave o numero di identificazione personale (PIN))

Visualizzazione di una procedura di autenticazione basata su protocollo SSH da parte di un utente su un sistema FreeBSD)

Spesso, al posto del singolo metodo, viene usata una combinazione di metodi, i.e. un tesserino identificativo e un PIN. Questa prende il nome di autenticazione a due fattori.

Le impronte digitali, in passato, erano considerate il più autorevole metodo di autenticazione, ma alcuni recenti casi giudiziari, nei tribunali degli Stati Uniti e di altri paesi, hanno sollevato grossi dubbi sull'affidabilità del suddetto metodo. È stato teorizzato l'uso di vari altri metodi biometrici (i.e. scansione della retina), ma per quasi tutti è stata dimostrata una possibile ambiguità di risultati.

Nel contesto dell'ICT, sono stati sviluppati dei metodi crittografici (vedi firma digitale) i quali, per ora, non sono raggirabili se (e solo se) la chiave originaria, utilizzata per cifrare l'informazione, non è stata compromessa. Questi ottimi metodi sono, almeno per ora, considerati inattaccabili. Ma non c'è, però, la certezza che essi rimangano "sicuri" per sempre. Imprevisti sviluppi matematici futuri, potrebbero rendere vulnerabile l'intera generazione moderna di algoritmi di cifratura, mettendo in seria discussione tutto ciò che è stato autenticato in passato. In particolare, un contratto digitalmente firmato non avrebbe più alcun valore nel caso che il sistema crittografico di base fosse stato 'bucato'. La scelta dei diversi metodi di autenticazione è condizionata dai diversi fattori tra cui l'usabilità, l'importanza delle informazione da proteggere ed il costo del sistema.