| Undefined
Da molti anni a questa parte si è ormai imposta come standard di cyber security presso molte aziende l'autenticazione a più fattori (indicata dall'acronimo inglese MFA) che, giorno dopo giorno, dimostra essere la pratica più efficace per tenere al sicuro i propri dati dalle minacce degli attacchi informatici.Questo meccanismo, ad oggi, sta dimostrando di essere un buon metodo di sicurezza informatica se viene ben implementato ma, al contempo, si può tramutare spesso in un disastro, soprattutto se gli sviluppatori utilizzano delle scorciatoie o trucchi per rendere più facile utilizzare i loro sistemi.
Cos'è la multi factor authentication e chi la usa
Brevemente, l'autenticazione a più fattori è un meccanismo che supera il tradizionale binomio “nome utente” e “password” per identificare un utente e permettergli l'accesso a vari sistemi informatici.Nello specifico, il sistema per l'accesso ai dati protetto dalla sicurezza informatica tramite MFA richiede l’uso combinato due fattori:
- Qualcosa che si conosce, come un passcode o un PIN;
- Qualcosa che si possiede, come una smart card o un token, una caratteristica fisica, che rientra nella biometria come ad esempio il volto, la voce o un'impronta digitale.
L'utilizzo combinato di questi requisiti permette di ottenere una maggiore sicurezza, complicando di fatto il lavoro dell'attaccante che a questo punto deve sottrarre all'utente più di un identificativo, rendendogli addirittura molto complicato riprodurre ovvero ottenere l'autenticazione se questa è basata addirittura sulle caratteristiche fisiche.Secondo alcuni sondaggi condotti da Microsoft di recente, solamente lo 0,01% degli account di privati cittadini utilizzano sistemi di MFA all'interno dell'ambiente Windows. Il numero cresce per quanto riguarda gli account aziendali, con l'11% del totale, ma sono numeri ancora distanti da una percentuale adeguata per poter parlare di mitigazione dei rischi alla sicurezza informatica.Di recente, l'utilizzo dell'autenticazione a più fattori sta crescendo e il merito deve andare, in parte, anche alla Pandemia da Covid19: i datori di lavoro, costretti ad organizzare sistemi di lavoro da remoto, hanno cominciato ad investire in progetti di sicurezza per lo sviluppo di MFA per proteggersi tanto da attaccanti organizzati quanto da attacchi informatici singoli e randomizzati sulla rete.Nella stessa direzione, anche altri colossi del digitale hanno investito pesantemente nell'introduzione di sistemi di sicurezza informatica che prevedono l'autenticazione in più fattori.Google, ad esempio, l'ha resa una procedura obbligatoria per tutti i suoi account utenti. Apple, invece, ha rilasciato Safari 14 con l'implementazione dei protocolli di FIDO2 mentre risalgono all'anno scorso le dichiarazioni di Joe Biden, il quale ha dichiarato che tutte le agenzie esecutive degli Stati Uniti d'America avrebbero a breve adottato sistemi di MFA.Naturalmente, gli attaccanti non sono rimasti a guardare e, nel corso del tempo, hanno studiato le falle e i problemi dell'autenticazione a più fattori per riuscire a trovare dei modi per minare comunque la sicurezza informatica degli utilizzatori. Questa tecnologia, infatti, non è esente da rischi e alcuni dei metodi più intelligenti e funzionali per violare l'autenticazione a due fattori si riscontrano nel phishing, finalizzato a sottrarre agli utenti legittimi chiavi e password per la sicurezza MFA.
Le minacce alla Multi factor Authentication
Gli attacchi informatici contro i sistemi di MFA sono in continuo aggiornamento perché le competenze e le conoscenze su queste pratiche aumentano man mano che i malintenzionati accrescono le loro conoscenze o individuano una falla. Eccone una lista dei principali.1. Attacchi man-in-the-middle con SMS.Questo sistema per violare la MFA attacca tutte le procedure che prevedono l'utilizzo di codici monouso inviati tramite messaggio di testo al numero di cellulare collegato all'account. Tramite questo metodo, gli attaccanti che vogliono minare la sicurezza informatica sottraggono il numero di telefono dell'utente e ricevono il codice al posto del reale destinatario, prima di utilizzarlo. I metodi utilizzati per attuare effettivamente questo attacco sono diversi. Uno, ad esempio, prevede clonazione della SIM per dirottare i messaggi diretti ad un determinato numero di telefono verso una SIM differente. La clonazione può avvenire tramite tecniche di social engineering, così da indurre gli operatori di telefonia mobile a emettere una nuova SIM card, oppure, corrompendo chi lavora presso uno store o presso il customer care dei provider, o con l’uso di documenti falsi.2. Attacchi pass-the-cookie.Con questo metodo, l’attaccante è in grado di estrarre dei dati necessari all'autenticazione in due fattori utilizzando i cookie del browser che l'utente utilizza. Questo perché questo strumento memorizza i dettagli di autenticazione nello stesso: una pratica che, per favorire la comodità dell'utente, permette al malintenzionato di estrarre dati utili da utilizzare in futuro per i suoi scopi illeciti.3. Ingegneria sociale.Anche per rubare dati di autenticazione in due fattori, gli attaccanti possono utilizzare metodi di ingegneria sociale come lo shoulder surfing. Un caso celebre, ad esempio, è quello dell'attaccante che telefona al malcapitato fingendosi un rappresentante della sua banca, chiedendogli i dati della sua autenticazione in due fattori per via di un controllo che stanno operando per poi svuotare il conto corrente della vittima.
Francesco Nonni @ F3RM1 Foundation