Sulla base dei dati raccolti da letteralmente miliardi di tentativi di accesso al proprio servizio cloud Azure, Microsoft aggiorna le proprie raccomandazioni sulle password, abbandonando diverse best practice del settore consolidate da tempo.
Microsoft ha recentemente pubblicato un white paper intitolato "Linee guida Microsoft sulle password", che illustra le nuove linee guida sulle password, basate sull’enorme quantità di dati raccolti durante gli accessi ad Azure AD. (Ogni giorno vengono registrati oltre 10 milioni di tentativi di attacco con nome utente e password .) Alcuni aspetti sono quelli che ci si potrebbe aspettare… ma altri sfidano le convenzioni tradizionali in materia di password.
L'autore (Robyn Hicock del Microsoft Identity Protection Team, con un lungo elenco di collaboratori tra i membri del suo team, Microsoft Research e Microsoft IT) afferma che le pratiche di vecchia data in materia di password non reggono di fronte ai moderni attacchi orientati alle credenziali. Inoltre, alcune di queste politiche aumentano la facilità con cui le password possono essere compromesse e dovrebbero quindi essere cambiate o abbandonate del tutto.
Microsoft consiglia sette azioni per garantire la massima protezione dell'identità basata su password:
- Mantenere un requisito di lunghezza minima di 8 caratteri (e più lungo non è necessariamente meglio).
- Eliminare i requisiti di composizione dei personaggi.
- Eliminare la reimpostazione periodica obbligatoria della password per gli account utente.
- Vietate le password più comuni, per tenere fuori dal sistema quelle più vulnerabili.
- Istruite i vostri utenti a non riutilizzare la password per scopi non lavorativi.
- Applicare la registrazione per l'autenticazione a più fattori.
- Abilitare le sfide di autenticazione a più fattori basate sul rischio.
Diamo un'occhiata alle raccomandazioni più insolite che influenzano direttamente il modo in cui un'organizzazione definisce la propria politica sulle password di dominio.
Eliminare gli anti modelli
Mantenere un requisito minimo di lunghezza pari a 8 caratteri. Microsoft Research ha scoperto che le password web lunghe e complesse rappresentano un peso per gli utenti (non c’è da stupirsi), ma in realtà hanno un’efficacia limitata per diversi motivi. La sicurezza della password è irrilevante se l’utente cade vittima di un attacco di phishing e la rivela, oppure se sul proprio sistema è presente un malware keylogger. Questi sono gli attacchi più comuni secondo gli autori. La password deve solo essere abbastanza forte da resistere a una regola di blocco del tipo «tre tentativi». Si noti che, sebbene questo studio riguardi le password web, non c’è motivo per cui non debba applicarsi anche alle password di Active Directory (e alla propria politica di blocco).
Eliminare i requisiti relativi alla composizione dei caratteri. Si tratta di un’idea interessante in teoria, ma Microsoft e altri (Bruce Schneier, ad esempio) hanno scoperto che, quando si trovano di fronte a requisiti di complessità delle password, le persone tendono a seguire alcuni schemi riconoscibili che i programmi di cracking delle password sfruttano. Ad esempio, è emerso che una password tipica è composta da una radice, solitamente qualcosa di pronunciabile, più un suffisso come un numero. E sì, sanno benissimo che stai usando "$" al posto della "s", "!" al posto della "i", ecc.!
Eliminare l’obbligo di reimpostare periodicamente le password degli account utente. I cambi periodici di password, anche in questo caso un'idea in linea di principio valida, falliscono quando vengono applicati dal cervello umano. Perché? Perché le persone tendono a creare la nuova password basandosi su quella precedente, in modo molto prevedibile. Inoltre, poiché i criminali utilizzano le password non appena riescono a ottenerle, non vi è alcun vantaggio nel contenimento (ovvero, gli avvisi del tipo "Siamo stati compromessi; si prega di cambiare la password per impedire che il proprio account venga hackerato" arrivano con troppo ritardo).
Il consiglio aggiornato sia di Schneier che di Microsoft è che, a meno che non si ritenga che la propria password possa essere stata compromessa, è meglio non cambiarla. Modificherei questa raccomandazione suggerendo di rafforzare le password nel tempo, ma senza cercare di tenerne traccia da soli: arrendetevi ai nostri padroni robotici e utilizzate un’utilità come LastPass per generare password lunghe, complesse e impossibili da memorizzare, conservandole nel suo archivio crittografato. In questo modo dovrete ricordare solo una password complessa: la password principale del vostro archivio. Una volta affidata la gestione a un’utilità di questo tipo, vi sentirete davvero liberi; potrete creare all’istante una password intricata di 18 caratteri come "wO2AECJ^OZhbXwY#0Y" per un sito web ed essere certi che sia praticamente impossibile da decifrare.
Applicare i modelli di successo
Vietare le password comuni. Microsoft ritiene che il passo più importante da compiere per la sicurezza sia quello di bandire dal sistema un elenco di password deboli conosciute (ad esempio abcdefg, passw0rd, ecc.) per rafforzarlo contro gli attacchi brute-force. Microsoft ha scoperto che il divieto di queste password (come avviene per Azure AD) è molto efficace per eliminare le password deboli dal sistema.
Se stai leggendo questo articolo in un'azienda tradizionale, probabilmente starai pensando: "Va tutto bene, ma come faccio a implementare una politica del genere nel mio ambiente Active Directory on-premise?" Se sei un esperto di AD come me, sai che ciò richiede un filtro password personalizzato che deve essere installato su tutti i controller di dominio AD, e Microsoft non fornisce funzionalità di blocco delle password già pronte all'uso.
Esistono prodotti di terze parti quali Anixis Password Policy Enforcer o nFront Password Filter che offrono questa funzionalità. Secondo quanto riferito, Microsoft sta lavorando a una propria implementazione di questa funzionalità; nel suo feed Twitter, l’autrice afferma: «Stiamo lavorando a qualcosa in merito. Restate sintonizzati», ma ovviamente non c’è modo di stabilire quando questa funzionalità sarà disponibile. Poiché questa funzionalità dovrebbe integrarsi con Active Directory di Windows Server, i tempi necessari dipenderanno dalle modalità di implementazione. Se dovesse diventare parte integrante di Active Directory, il momento per una profonda integrazione in Windows Server 2016 è ormai passato – il che significa un’attesa di due anni fino al rilascio della prossima versione di Windows Server. Un filtro password aggiornato (passfilt.dll) può invece essere reso disponibile per il download in qualsiasi momento.
Incoraggiate i vostri utenti a non riutilizzare la propria password per scopi non legati al lavoro. Non è difficile immaginare che, una volta che un utente ha scelto quella che ritiene una buona password per il lavoro, la riutilizzi anche su altri siti. Purtroppo, si tratta di una pratica talmente diffusa che i criminali provano sempre a utilizzare le credenziali compromesse su numerosi siti; Microsoft rileva ogni giorno 12 milioni di credenziali trapelate (Microsoft gestisce un ampio elenco di credenziali compromesse) che vengono testate sui propri sistemi.
Si tratta di un modello davvero difficile da far rispettare, perché si può attuare solo attraverso la sensibilizzazione degli utenti. Ed è una battaglia in salita, perché complica le cose agli utenti.
Rendi obbligatoria la registrazione per l'autenticazione a più fattori. L'autenticazione a più fattori (MFA) sta rapidamente prendendo piede tra le aziende e i principali fornitori di servizi SaaS. Disporre di una seconda serie di dati di sicurezza (come un indirizzo e-mail alternativo o un numero di cellulare) che possano essere verificati fuori banda migliora notevolmente la sicurezza. Attiva l'autenticazione a più fattori ogni volta che puoi! Sì, può essere un po' fastidioso, ma è di gran lunga meno fastidioso di un account compromesso.
Abilitazione delle sfide di autenticazione a più fattori basate sul rischio. Questo modello porta l'MFA a un livello superiore, attivando una richiesta di MFA quando viene rilevata un'attività sospetta (come un indirizzo IP geograficamente diverso da quello con cui l'utente ha effettuato l'accesso in precedenza). Naturalmente, ciò richiede che la funzionalità sia disponibile nel sistema di sicurezza di accesso.
Si noti che, se la vostra azienda è soggetta a requisiti di conformità, potreste non essere in grado di mettere in pratica alcuni o tutti questi suggerimenti. Tuttavia, è sempre utile essere al corrente di ciò che accade nel mondo reale. E non c’è nulla di più reale dei dati provenienti da un luogo in cui si verificano 10 milioni di attacchi al giorno.
