Sulla scia delle raccomandazioni aggiornate di Microsoft in materia di password, il National Institute for Standards and Technology (NIST) ha pubblicato a sua volta delle linee guida aggiornate. Queste raccomandazioni sono in linea con molte di quelle di Microsoft e ne rafforzano quindi la credibilità; in alcuni ambiti, tuttavia, vanno oltre. Quando due figure di spicco del settore della sicurezza giungono indipendentemente a conclusioni così simili, è un segnale forte che le aziende dovrebbero riesaminare attentamente le proprie politiche relative alle password, sia per i sistemi interni che per i servizi rivolti all’esterno che dispongono di un archivio delle identità.
Perché il documento del NIST è importante
In cosa consiste questa nuova pubblicazione del NIST? La SP 800-63-3 è intitolata "Linee guida per l'autenticazione digitale" e definisce i requisiti necessari per soddisfare quattro livelli di garanzia (LOA – il grado di certezza che un'entità sia ciò che dichiara di essere). Uno dei documenti, la SP 600-63-3B, è intitolato "Autenticazione e gestione del ciclo di vita" e si concentra sulle linee guida relative alle password.
Perché questo documento è così importante? Uno dei numerosi compiti del NIST è quello di fornire linee guida per il settore pubblico, ovvero per tutte le applicazioni del governo federale. Molte di queste linee guida sono solo raccomandazioni, ma alcune costituiscono requisiti che tutte le applicazioni devono rispettare. Si tratta di un’influenza di ampia portata, ma in realtà è ancora più vasta, poiché molti altri settori e aziende seguono queste linee guida.
Esaminiamo le raccomandazioni del NIST, come si confrontano con quelle di Microsoft e in quali ambiti il NIST va oltre. Un tema comune a entrambe le serie di raccomandazioni è una maggiore facilità d’uso, specialmente quando le raccomandazioni migliorano la sicurezza o quando le politiche esistenti, poco intuitive, non la migliorano. La ricerca ha dimostrato che più si rendono rigide le politiche relative alle password, maggiore è la probabilità che gli utenti aggirino le regole o utilizzino un metodo prevedibile (1, 2, ecc.) facilmente violabile.
Il NIST raccomanda di prolungare le frasi di accesso facili da ricordare.
Il NIST richiede ora un minimo di 8 caratteri, il che non è una novità radicale, ma impone anche un massimo superiore a 64 caratteri per incoraggiare l’uso di passphrase. Questo è uno dei temi centrali del documento: rafforzare i sistemi in modo che possano gestire password più sicure, ma che siano più facili da ricordare per l’utente. In altre parole, l’onere deve ricadere sui sistemi, non sugli utenti. Insieme a Microsoft, raccomandano inoltre l’uso di un dizionario di password comuni che possa essere utilizzato per impedire l’uso di password deboli (ad esempio “passw0rd!”) quando l’utente tenta di impostarle.
Un altro requisito che ci farà tutti felici è la possibilità di inserire spazi, tutti i caratteri ASCII e potenzialmente anche caratteri Unicode (come le emoji) nelle password. Riuscite a immaginare di usare le emoji nelle vostre password? Qualcuno dovrà mostrarmi qualche scorciatoia da tastiera prima che io ci provi! Gli spazi possono creare problemi perché è difficile distinguere se ce n’è uno o due, ma la cosa è resa un po’ più semplice da un’altra nuova raccomandazione secondo cui l’utente dovrebbe poter visualizzare la password che ha inserito, a condizione che questa venga nuovamente nascosta dopo un certo periodo di tempo. Abbiamo visto questa funzionalità diventare sempre più comune, e ne sono felice.
Stop alla scadenza delle password
Sia Microsoft che il NIST affrontano il tema della scadenza delle password ed entrambi raccomandano che queste non vengano fatte scadere arbitrariamente dopo un certo intervallo di tempo, a meno che non vi siano prove di una violazione. A differenza dei sistemi di gestione delle identità on-premise come Active Directory, la maggior parte dei siti web ha sempre seguito questa regola. Tuttavia, non intendo attribuire loro il merito di essere stati lungimiranti nelle loro politiche relative alle password; semplicemente non volevano le seccature che la scadenza delle password avrebbe causato ai loro servizi di assistenza e ai loro clienti.
Il NIST sconsiglia l'autenticazione basata sulla conoscenza (suggerimenti) che possa essere scoperta o violata con un attacco di forza bruta da parte di un malintenzionato. Ammettiamolo, ormai la maggior parte dei malintenzionati conosce il cognome da nubile di tua madre. Raccomanda inoltre di non utilizzare regole compositive perché sono troppo complesse per l'utente e non garantiscono la sicurezza che si pensava inizialmente.
È ora di abbandonare gli SMS
Un cambiamento significativo, che ha suscitato molti commenti, è la deprecazione ( “non lo elimineremo subito, ma non lo miglioreremo più”) dell’uso degli SMS come secondo fattore di autenticazione. Inoltre, viene categoricamente escluso l’uso di un numero VoIP (ad esempio Google Voice) per l’autenticazione tramite SMS, poiché in realtà non costituisce un secondo fattore: non è qualcosa che si possiede. La preoccupazione riguardo agli SMS in generale è che il servizio non sia sicuro come dovrebbe, poiché non è stato progettato per questo tipo di utilizzo. I criminali hanno sviluppato malware in grado di reindirizzare i messaggi SMS, mentre lo "swapping della SIM" consente a un malintenzionato di dirottare i messaggi di un utente.
Purtroppo, se si opera in un settore che deve attenersi a norme di conformità come l’HIPAA, non è possibile attuare semplicemente queste nuove raccomandazioni laddove siano in contrasto con tali norme. È necessario attendere, forse anche anni, finché le norme non si adegueranno alle raccomandazioni.
Non sei d'accordo con qualcuna di queste nuove linee guida? Si tratta di una bozza di specifica e il NIST incoraggia vivamente la partecipazione e l'invio di commenti su GitHub.
