Da sempre, o quasi (leggi qui), a protezione dell’autenticazione dei sistemi, sono state rese sempre più complicate e difficili da ricordare per gli utenti.
Esistono modi alternativi alla password ormai da anni, ma, ad oggi ancora molti sistemi trasmettono in chiaro le credenziali (Guarda qui), spesso in quanto non sono attivi i metodi di crittografia.
La password resta sempre il principale modo di accesso, almeno in ambito SAP nella maggior parte delle installazioni oggi.
Come siamo arrivati a questo punto, quali sono le complessità di gestione e quali sono le nuove direttive?
Rappresenta il metodo più utilizzato e semplice di protezione dell’accesso ai sistemi.
Digitando la parola “password” su Google si ottengono più di un miliardo di risultati (Agosto 2018) contro, ad esempio, i 30 milioni della parola “multiple factor authentication”.
Di seguito il risultato tramite Google Trends
Ancora oggi esistono sistemi che hanno le password speciali SAP non in sicurezza. Leggi qui: utenze speciali SAP
Nel sito di SAP OSS (Online Service System o Support Portal) sono presenti più di 18.566 documenti legati alle password.
In tutti questi anni si sono rese sempre più complicate le regole di complessità della password.
Questo ha causato la necessità per gli utenti, al fine di ricordarsi le spesso numerose password, di semplificare la complessità stessa delle credenziali.
Più le regole sono complesse più gli utenti cercano password semplici da ricordare.
Il NIST è il National Institute of Standards and Technology ovvero un'agenzia del governo degli Stati Uniti d'America che si occupa della gestione delle tecnologie.
Nella sua pubblicazione NIST sp800-63b suggerisce le nuove direttive per la gestione della password:
“Verifiers SHOULD NOT impose other composition rules (e.g., requiring mixtures of different character types or prohibiting consecutively repeated characters) for memorized secrets. Verifiers SHOULD NOT require memorized secrets to be changed arbitrarily (e.g., periodically). However, verifiers SHALL force a change if there is evidence of compromise of the authenticator.”
Significa allora che dobbiamo "smontare" tutto ciò che è stato fatto fino ad oggi? Non credo.
O meglio, se c'è stata una compromissione del sistema, non è facendo cambiare le credenziali agli utenti che il problema viene risolto. Quel sistema probabilmente è ancora vulnerabile.
Ecco forse le nuove direttive sopra possono essere applicate se a contorno sono attive tutta una serie di contromisure, spesso non presenti oggi.
Nel caso di SAP, ad esempio, un piano di aggiornamento costante dei sistemi, soprattutto per le patch di sicurezza.
La complessità della password e la molteplicità delle stesse da ricordare porta all’introduzione di software per storicizzare in maniera sicura le proprie password.
Nell’ambito SAP esiste un prodotto, modulo del SAP Single Sing On, chiamato proprio Password Manager:
Esistono tuttavia anche altri software sul mercato open source oppure a pagamento. Ad esempio KEEPASS.
L’accesso ai sistemi informatici aziendali permette di venire in contatto con le informazioni dell’azienda. A seconda del tipo di abilitazioni concesse le informazioni potrebbero essere più o meno sensibili.
Diverse sono le tipologie di dato da considerare, dati personali, dati riservati, dati segreti. Non solo quindi normative ma anche segreti industriali.
Effettuare una formazione orientata a sensibilizzare l’importanza della protezione del dato è fondamentale per garantire una sicurezza di sistema elevata. Leggi qui!
Cosa fare quindi, ecco un elenco di attività da verificare: