Autenticazione: Autorizzazione: Esplorare differenze e somiglianze

L’autenticazione e l’autorizzazione rappresentano due dei tre “A” nella gestione dell’identità e degli accessi (IAM). Insieme alla contabilità, sono fondamentali per la strategia di cybersicurezza di un’organizzazione. Senza la possibilità di verificare l’identità e i privilegi di un utente, è impossibile distinguere tra accesso legittimo ai sistemi aziendali e potenziali attacchi.

L’autenticazione verifica l’identità di un utente, confermando così che egli sia realmente chi afferma di essere. Una volta verificato l’utente, l’autorizzazione determina e concede il livello di accesso che l’utente ha a risorse specifiche. Mentre l’autenticazione risponde a “Chi sei?”, l’autorizzazione risponde a “Cosa sei autorizzato a fare?”

Come funziona l’autenticazione

L’autenticazione implica dimostrare che un utente è chi afferma di essere. Questo viene realizzato facendo presentare all’utente uno o più fattori di autenticazione. Nella maggior parte dei casi, questi sono tratti dai seguenti tre tipi di fattori:

• Qualcosa che conosci: I fattori basati sulla conoscenza includono password, PIN, domande di sicurezza e chiavi API.
• Qualcosa che possiedi: I fattori basati sul possesso includono password monouso (OTP) generate da o inviate a un dispositivo specifico (smartphone, chiave hardware, ecc.) o certificati digitali memorizzati su un dispositivo o smart card.
• Qualcosa che sei: I sistemi di autenticazione biometrica possono identificare gli utenti in base al loro volto, impronta digitale, voce, andatura o altre caratteristiche fisiche o comportamentali uniche.

Un sistema di autenticazione memorizzerà una copia del fattore di autenticazione o qualche mezzo per verificarne l’autenticità. Quando l’utente presenta il/i fattore/i, il sistema controlla se corrispondono. Se sì, l’identità dell’utente è verificata.

Diversi tipi di fattori di autenticazione offrono livelli di sicurezza variabili. Ad esempio, i fattori basati sulla conoscenza sono generalmente i più deboli a causa della minaccia di password deboli e attacchi di phishing. I fattori basati sul possesso sono vulnerabili a perdita o furto.

Due modi per affrontare queste debolezze includono:

• Autenticazione a più fattori L’MFA utilizza due o più tipi di fattori di autenticazione, come una password e un OTP generato da un’app di autenticazione. Questa combinazione di fattori rende più difficile per un attaccante accedere a tutti i fattori contemporaneamente.
• Autenticazione senza password: L’autenticazione senza password utilizza solo fattori “qualcosa che hai” o “qualcosa che sei” per l’autenticazione, eliminando completamente i fattori deboli basati sulla conoscenza. L’MFA senza password utilizzerà sia un fattore di autenticazione basato sul possesso che un fattore di autenticazione biometrica.

Come funziona l’autorizzazione

L’autorizzazione presuppone che l’identità dell’utente sia già stata verificata tramite autenticazione. Il suo ruolo è determinare se l’utente autenticato ha il diritto di compiere un’azione richiesta.

Questa decisione si basa sui diritti e privilegi assegnati all’utente e, potenzialmente, sul contesto della richiesta. Ad esempio, a un utente può essere permesso di visualizzare documenti altamente sensibili a causa del suo ruolo nell’organizzazione. Tuttavia, questo privilegio può applicarsi solo quando si utilizza un dispositivo di proprietà dell’azienda con una connessione sicura alla rete aziendale (direttamente o tramite una VPN).

I controlli di accesso utilizzati per prendere decisioni di autorizzazione possono essere gestiti tramite diversi modelli, come:

• Discretionary Access Control (DAC): Nel DAC, il proprietario di una risorsa definisce i controlli di accesso per essa. Ad esempio, un Google Doc implementa il DAC, dove il creatore decide chi può leggerlo o modificarlo.
• Mandatory Access Control (MAC): Con il MAC, l’accesso è gestito centralmente e definito utilizzando livelli di classificazione e autorizzazioni. Il sistema Top Secret/Secret/Classificato/Non classificato è un esempio di MAC.
• Controllo degli accessi basato sui ruoli (RBAC): RBAC crea vari ruoli, assegna privilegi a questi ruoli e assegna a ciascun utente un ruolo. Ad esempio, a un sviluppatore può essere assegnato un ruolo di Sviluppatore, che fornisce accesso agli strumenti e ai sistemi necessari per svolgere il proprio lavoro.
• Controllo degli accessi basato sugli attributi (ABAC): ABAC assegna attributi agli utenti e definisce controlli di accesso basati su combinazioni di attributi. Ad esempio, un manager IT avrebbe gli attributi IT e manager e potrebbe accedere a risorse che richiedono uno o entrambi questi attributi, come ambienti di sviluppo (IT) e registri dei dipendenti (manager).

Differenze chiave tra autenticazione e autorizzazione

L’autenticazione e l’autorizzazione svolgono ruoli molto diversi nel processo di controllo degli accessi. L’obiettivo dell’autenticazione è determinare se qualcuno è chi afferma di essere. L’autorizzazione presuppone che l’identità presunta dell’utente sia legittima e lavora per determinare se quell’utente dovrebbe avere accesso a una risorsa particolare.

Somiglianze chiave tra autenticazione e autorizzazione

L’autenticazione e l’autorizzazione sono simili in quanto il loro obiettivo finale è verificare la legittimità di una richiesta di accesso. Prima, l’autenticazione convalida l’identità dell’utente, e poi l’autorizzazione verifica che l’utente abbia l’accesso e i privilegi necessari per effettuare la richiesta.

Quali sono le principali sfide e rischi di sicurezza legati all’autenticazione?

L’autenticazione si basa sull’assunzione che solo il proprietario di un account possa presentare fattori di autenticazione per esso. Alcune minacce al successo dell’autenticazione includono:

• Password deboli: Le password deboli e riutilizzate sono una minaccia comune per la sicurezza dell’autenticazione. L’autenticazione fallisce se un attaccante riesce a indovinare la password di un utente o utilizza una password compromessa da un account per accedere a un altro.
• Attacchi di Phishing: I criminali informatici utilizzano comunemente il phishing per ingannare gli utenti a consegnare password o OTP. Un utente diretto a una pagina di phishing che somiglia a un sito legittimo può inserire la propria password o OTP, consentendo all’attaccante di autenticarsi al sito reale.
• Malware: Molti tipi di malware tentano di rubare le credenziali di accesso di un utente. Ad esempio, gli infostealers possono estrarre le password da dove sono memorizzate nella cache da un sistema.
• Cookie Rubati: I cookie memorizzano informazioni sulla sessione di un utente e implementano la funzione “Ricordami”, consentendo agli utenti di saltare l’autenticazione al loro prossimo accesso. Se questi file vengono rubati dal dispositivo di un utente, l’attaccante può accedere al proprio account bypassando l’autenticazione.
• Dispositivi Persi/Rubati: Gli smartphone sono comunemente utilizzati per ricevere/generare OTP o memorizzare certificati digitali per l’autenticazione. Se questi dispositivi vengono rubati, l’attaccante potrebbe essere in grado di accedere a questo fattore di autenticazione.
• Autenticazione: Un sistema di autenticazione può implementare un algoritmo debole o non rispettare le migliori pratiche. Ad esempio, una password predefinita può essere incorporata in un sistema, oppure potrebbe esserci un modo per bypassare l’autenticazione per scopi di manutenzione.
• Memorizzazione Insecure delle Credenziali: I sistemi di autenticazione devono comunemente memorizzare dati sensibili per verificare le richieste di autenticazione, il che può essere problematico se tali dati sono memorizzati in modo improprio. Ad esempio, le violazioni storiche dei dati hanno trovato password memorizzate in testo semplice, in file di log, hashate con algoritmi deboli e hashate ma non salate. Tutti questi fattori rendono più facile per un attaccante rubare e decifrare queste password per ottenere accesso all’account di un utente.

Quali sono le principali sfide e rischi di sicurezza legati all’autorizzazione?

Un’autorizzazione riuscita consente agli utenti di accedere solo alle risorse di cui hanno un legittimo bisogno. Alcuni modi in cui questo può andare storto includono:

• Eccessive autorizzazioni: Gli utenti vengono comunemente assegnati accesso e privilegi superiori a quelli necessari per il loro lavoro. Ad esempio, la maggior parte degli utenti non ha bisogno di accesso a livello di amministratore al proprio computer, e concederlo introduce ulteriori rischi per l’azienda.
• Autorizzazione insicura: Gli schemi di autorizzazione possono essere insicuri o vulnerabili a bypass. Ad esempio, un attaccante potrebbe essere in grado di modificare le liste di controllo degli accessi (ACL) che gestiscono l’accesso a una risorsa sfruttando una vulnerabilità del sistema.

FAQ

È l’autenticazione SSO o autorizzazione?

Il single sign-on (SSO) è un meccanismo di autenticazione che consente a un utente di autenticarsi una sola volta al sistema di autenticazione e accedere a più risorse. Questo sistema fornisce prova dell’identità dell’utente agli altri sistemi, consentendo loro di eseguire l’autorizzazione senza necessità che l’utente si autentichi più volte.

È OAuth autenticazione o autorizzazione?

OAuth è uno schema di autorizzazione che consente l’accesso di terze parti alle risorse senza condividere le credenziali dell’utente. Le applicazioni ricevono permessi e vengono gestite utilizzando token di accesso.

Può essere consentita l’autorizzazione senza autenticazione?

L’autorizzazione dovrebbe sempre essere abbinata all’autenticazione per convalidare l’identità dell’utente. Gli account ospiti, che concedono agli utenti determinati privilegi senza verificare la loro identità, sono rischiosi e dovrebbero fornire accesso minimo.

Quale viene prima, autenticazione o autorizzazione?

L’autenticazione viene prima dell’autorizzazione. L’autorizzazione presuppone che l’utente sia stato autenticato e lavora per determinare l’accesso assegnato a quell’utente.

Gestisci sia l’autenticazione che l’autorizzazione con la soluzione SASE di Cato

L’autenticazione e l’autorizzazione sono vitali per gestire l’accesso e il controllo sulle risorse di un’organizzazione. L’autenticazione forte verifica che qualcuno sia chi dice di essere, e l’autorizzazione controlla che un utente autenticato abbia il diritto di eseguire una particolare azione.

Il Secure Access Service Edge (SASE) incorpora l’accesso alla rete a fiducia zero (ZTNA) come una delle sue capacità di sicurezza integrate. ZTNA consente alle organizzazioni di implementare una gestione degli accessi con il minimo privilegio — inclusa l’autenticazione forte e l’autorizzazione — attraverso la WAN aziendale.
Con Cato SASE Cloud, le aziende possono sfruttare l’autenticazione forte e l’autorizzazione, oltre a varie capacità di sicurezza chiave e una rete privata di classe mondiale. Per saperne di più su come Cato SASE Cloud può migliorare la sicurezza e le prestazioni della tua WAN aziendale, iscriviti a una demo.