Autenticazione e autorizzazione sono due processi distinti ma interconnessi all’interno del sistema di gestione dell’identità e dell’accesso (IAM) di un’organizzazione. L’autenticazione verifica l’identità di un utente, mentre l’autorizzazione determina il livello di accesso alle risorse di sistema che l’utente può avere.

Il processo di autenticazione si basa su credenziali, come password o impronte digitali, che gli utenti presentano per dimostrare la loro identità. L’autorizzazione, invece, si basa su permessi utente che delineano cosa ciascun utente può fare all’interno di una particolare risorsa o rete. Ad esempio, in un file system, i permessi potrebbero stabilire se un utente può creare, leggere, aggiornare o eliminare file.

Questi processi si applicano sia agli utenti umani che a quelli non umani, come dispositivi, carichi di lavoro automatizzati e applicazioni web. Un sistema IAM può gestire sia l’autenticazione che l’autorizzazione, oppure questi processi possono essere gestiti da sistemi separati che lavorano in sinergia.

L’autenticazione è generalmente un prerequisito per l’autorizzazione: il sistema deve conoscere l’identità dell’utente prima di concedergli l’accesso a qualsiasi risorsa. Gli attacchi basati sull’identità, in cui gli hacker dirottano account utente validi e abusano dei loro diritti di accesso, sono in aumento. Questi attacchi sono il metodo più comune utilizzato dalle minacce per infiltrarsi nelle reti, rappresentando una percentuale significativa degli attacchi informatici complessivi.

Autenticazione
L’autenticazione, abbreviata in “authn”, si basa sullo scambio di credenziali utente o fattori di autenticazione. Quando un utente si registra per la prima volta in un sistema, stabilisce un set di fattori di autenticazione. Quando effettua l’accesso, presenta questi fattori, che il sistema confronta con quelli in archivio. Se corrispondono, il sistema conferma l’identità dell’utente.

I fattori di autenticazione più comuni includono:

• Fattori di conoscenza: qualcosa che solo l’utente conosce, come una password, un PIN o la risposta a una domanda di sicurezza.
• Fattori di possesso: qualcosa che solo l’utente possiede, come un codice PIN monouso inviato al cellulare personale o un token di sicurezza fisico.
• Fattori intrinseci: dati biometrici, come il riconoscimento facciale e la scansione delle impronte digitali.

Tipi di autenticazione

• Autenticazione a fattore singolo (SFA): richiede un solo fattore di autenticazione per dimostrare l’identità di un utente, come un nome utente e una password.
• Autenticazione a più fattori (MFA): richiede almeno due fattori di autenticazione di tipi diversi.
• Autenticazione a due fattori (2FA): un tipo specifico di MFA che richiede esattamente due fattori.
• Autenticazione senza password: non utilizza password o altri fattori di conoscenza, diventando popolare come difesa contro i ladri di credenziali.
• Autenticazione adattiva: utilizza l’intelligenza artificiale e l’apprendimento automatico per adattare i requisiti di autenticazione in base al rischio del comportamento dell’utente.

Esempi di autenticazione

• Utilizzo dell’impronta digitale e del codice PIN per sbloccare uno smartphone.
• Mostrare un documento d’identità per aprire un nuovo conto bancario.
• Un browser web verifica che un sito web sia legittimo controllandone il certificato digitale.
• Un’app verifica se stessa tramite un’interfaccia di programmazione dell’applicazione (API) includendo la propria chiave API segreta in ogni chiamata effettuata.

Autorizzazione

L’autorizzazione, abbreviata in “authz”, si basa sui permessi utente. I permessi sono policy che specificano a cosa un utente può accedere e cosa può fare con quell’accesso in un sistema. Gli amministratori e i responsabili della sicurezza in genere definiscono le autorizzazioni utente, che vengono poi applicate dai sistemi di autorizzazione.

Un esempio di autorizzazione è un database sensibile contenente record di clienti, dove l’autorizzazione determina se un utente può vedere il database e cosa può fare al suo interno (leggere, creare, eliminare o aggiornare voci).

Tipi di autorizzazione

• Controllo degli accessi basato sui ruoli (RBAC): determina i permessi di accesso degli utenti in base ai loro ruoli.
• Controllo degli accessi basato sugli attributi (ABAC): utilizza gli attributi di utenti, oggetti e azioni per determinare i livelli di accesso.
• Controllo degli accessi obbligatori (MAC): impone policy di controllo degli accessi definite centralmente a tutti gli utenti.
• Controllo di accesso discrezionale (DAC): consente ai proprietari delle risorse di impostare le proprie regole di controllo di accesso.

Esempi di autorizzazione

• Un utente accede al proprio account di posta elettronica e può vedere solo le proprie e-mail.
• In un sistema di cartelle cliniche, i dati di un paziente possono essere visualizzati solo dai fornitori autorizzati dal paziente.
• Un utente crea un documento in un file system condiviso e imposta i permessi di accesso su “sola lettura”.
• Un sistema operativo impedisce a un programma sconosciuto di modificare le impostazioni di sistema.

Come l’autenticazione e l’autorizzazione lavorano insieme

L’autenticazione e l’autorizzazione degli utenti svolgono ruoli complementari nella protezione delle informazioni sensibili e delle risorse di rete. L’autenticazione difende gli account utente, mentre l’autorizzazione protegge i sistemi a cui tali account possono accedere. Sistemi IAM completi aiutano a monitorare le attività degli utenti, bloccare l’accesso non autorizzato e applicare autorizzazioni granulari, garantendo che solo gli utenti giusti possano accedere alle risorse giuste.

Affrontare gli attacchi informatici avanzati

Gli attacchi basati sull’identità sono aumentati notevolmente. Gli hacker possono decifrare le password, usare malware o acquistare credenziali da altri hacker. Il phishing è un’altra tattica comune per il furto di credenziali. Misure di autenticazione e autorizzazione avanzate sono importanti difese contro il furto di identità e l’abuso di account. L’autenticazione può rendere più difficile il furto di account, mentre sistemi di autorizzazione granulari possono limitare i danni causati dagli hacker malintenzionati limitando i privilegi degli utenti alle sole risorse necessarie.

Hai bisogno di aiuto? Contattaci!