Cos’è l’autenticazione degli utenti?
L’autenticazione è una delle procedure di cibersicurezza che un’azienda utilizza per proteggersi dagli accessi non autorizzati. L’autenticazione di un utente serve a verificare la sua identità prima di concedergli l’accesso a un’applicazione, una postazione di lavoro, uno strumento locale o una VPN. L’utente conferma la propria identità fornendo un token di sicurezza al server o al client del fornitore.
Tipi di metodi di autenticazione utente
- Autenticazione a due fattori (2FA): è una forma di autenticazione che entra in gioco dopo l’accesso iniziale eseguito con una combinazione di nome utente e password o tramite Single Sign-On. Il 2FA prevede strumenti come codici OTP, SMS, notifiche push su dispositivi mobili o token di accesso fisici (come YubiKey).
- Autenticazione a più fattori (MFA): l’MFA amplia il 2FA aggiungendo ulteriori livelli di verifica. Richiede più passaggi di autenticazione tra quelli appena discussi, come l’inserimento di una password o di un OTP, seguito da un fattore aggiuntivo come un token hardware (ad es. una YubiKey).
- Autenticazione biometrica: è una forma di MFA che verifica l’identità di un utente in base a caratteristiche fisiche, come il volto o l’impronta digitale.
- MFA contestuale: è un metodo di autenticazione avanzato che verifica l’identità di un utente basandosi su fattori contestuali, come la geolocalizzazione, l’indirizzo IP da cui parte la richiesta di accesso o elementi temporali. Ad esempio, se l’azienda sa che l’utente opera da Boston, ma una richiesta di accesso proviene da San Diego, il sistema la bloccherà perché la riconoscerà come tentativo di accesso non autorizzato.
- Single Sign-On (SSO): tecnicamente, anche l’SSO è una forma di autenticazione. MFA ed SSO vengono spesso trattati come processi distinti, perché in effetti lo sono. L’SSO si basa su un fornitore di identità federata: stabilisce l’identità di un utente, di solito tramite un token ID come un token JWT generato dal fornitore, che viene poi trasmesso al client per l’approvazione dell’accesso. Poiché l’utente ha già effettuato l’accesso al fornitore di identità (dominio centrale), la sua identità risulta autenticata dal token ID e l’applicazione concede l’accesso.
Cos’è l’autorizzazione?
Se l’autenticazione è la chiave che consente l’accesso a uno strumento o un’applicazione Web, l’autorizzazione stabilisce i diversi livelli di accesso, determinando se un utente può o meno visualizzare informazioni sensibili. Un esempio comune è l’archiviazione su cloud: gli amministratori possono impostare criteri che limitano l’accesso e le eventuali azioni consentite sui documenti.
Prendiamo OneDrive di Microsoft come esempio, dove un amministratore può condividere file con altri utenti, ma non possono controllare:
- chi può accedere a un determinato documento;
- se il documento può solo essere letto oppure anche modificato;
- chi, all’interno dell’organizzazione, può ottenere i diritti di modifica;
- se il documento può essere condiviso ulteriormente;
- se può essere condiviso all’interno del team, dell’organizzazione o con soggetti esterni.
I quattro tipi di autorizzazione
- Controllo degli accessi basato sugli attributi (ABAC): l’ABAC può essere descritto come un sistema di autorizzazione basato su criteri. Verifica i permessi di un utente prima di concedere l’accesso, controllando di solito identità, risorsa richiesta, azione da eseguire e contesto ambientale della richiesta. L’accesso è consentito solo se l’utente soddisfa tutte le condizioni.
- Controllo degli accessi discrezionale (DAC): il DAC verifica i permessi di un utente o di un gruppo. È un metodo rapido e sicuro di autorizzazione basato sull’identità dell’utente o sull’appartenenza a un gruppo.
- Controllo degli accessi obbligatorio (MAC): il MAC autorizza l’accesso in base al sistema operativo, anziché all’identità o al gruppo di appartenenza. Definisce i livelli di accesso a un sistema per prevenire gravi violazioni dei dati.
- Controllo degli accessi basato sul ruolo (RBAC): l’RBAC combina le caratteristiche del DAC e del MAC. Configura l’accesso a file e sistemi in base al ruolo e ai permessi di un utente, limitando l’accesso a specifici ruoli dell’organizzazione.
Con LastPass Business, l’accesso a singoli elementi della cassaforte o a specifiche cartelle condivise può essere gestito in base ad attributi come reparto, ruolo o anzianità. Ad esempio, i registri finanziari potrebbero essere resi accessibili solo al personale addetto alla finanza, mentre le credenziali IT solo al team informatico.
Autenticazione e autorizzazione a confronto
Sul mercato esistono numerosi sistemi di autenticazione e altrettanti tipi di autorizzazione per le aziende. Spesso, però, i responsabili aziendali pensano di dover scegliere una delle due opzioni.
In realtà, non è necessario scegliere: è possibile combinarle e farle lavorare in sinergia. L’autenticazione verifica che gli utenti siano chi dichiarano di essere, convalidandone l’identità. L’autorizzazione stabilisce a quali risorse questi utenti autenticati possono accedere. Insieme, rafforzano ogni punto di ingresso di un’organizzazione, garantendo la protezione dei dati.
Con LastPass, la tua azienda può applicare criteri di autenticazione e autorizzazione, ricavandone una soluzione completa per la gestione delle identità.
| Differenza | Autenticazione | Autorizzazione |
|---|---|---|
| Obiettivo |
Verifica dell’identità |
Concessione o negazione dell’accesso alle risorse in base all’identità verificata e ai permessi |
| Sequenza | Avviene prima dell’autorizzazione |
Avviene dopo l’autenticazione |
| Domanda chiave |
“Chi sei?” |
“Cosa ti è consentito fare?” |
| Esempi in LastPass |
|
|
Autenticazione e autorizzazione senza password
Nello sviluppare un’infrastruttura di sicurezza, gli amministratori che si occupano della gestione delle identità e degli accessi (IAM) devono saper utilizzare strumenti che vanno dall’MFA all’SSO fino al controllo degli accessi basato sul ruolo. Anche se il processo può sembrare complesso, LastPass lo semplifica offrendoti una soluzione di cibersicurezza intelligente e intuitiva con cui puoi:
- integrare fattori di autenticazione contestuale e biometrica per assicurare più protezione alla tua azienda;
- offrire a dipendenti, personale remoto e clienti un’esperienza di autenticazione senza password;
- consentire agli utenti di autenticarsi senza interruzioni su tutti i dispositivi, mantenendo efficienza e continuità operativa;
- garantire un’autenticazione sicura proteggendo ogni punto di accesso, incluso VPN, postazioni e applicazioni cloud o tradizionali;
- assicurare che i dati biometrici vengano crittografati sul dispositivo dell’utente, dove rimangono privati e al sicuro;
- sfruttare le numerose opzioni MFA personalizzabili per gestire i controlli di accesso a livello di utente o gruppo;
- approfittare di un elenco centralizzato di criteri dettagliati per definire i diritti di accesso a livello di individuo, gruppo o azienda;
- risparmiare tempo e risorse grazie a una distribuzione semplice che non richiede servizi professionali;
- automatizzare il provisioning tramite l’integrazione con directory utenti come Microsoft AD e Microsoft Entra ID per una configurazione semplice e una gestione quotidiana minima;
- adattare protocolli di autenticazione e piani di autorizzazione alle dimensioni, alle esigenze di sicurezza e al budget della tua azienda.
