Introduzione all'uso dell'autenticazione a due fattori (2FA) per prevenire il furto di identità e proteggere i dati dei propri utenti (GDPR).

1. techsoup.it
AUTENTICAZIONE
A DUE FATTORI
contro il furto
di identità
Emanuele Cisbani
Intesi Group Technology Evangelist
ecisbani@intesigroup.com
16 aprile 2018

2. ● Cosa è l'identità digitale
● L'autenticazione a 2 fattori
● Breve dimostrazione
● Domande e risposte
2
Agenda

3. electronic IDentification Authentication and Signature
● eIDAS è la base per la costruzione del Mercato
Unico Digitale in Europa
● eIDAS impone l’interoperabilità in tutta Europa dal
1/7/2016
● La Firma Elettronica Qualificata ha valore legale
equivalente a quella autografa
● Il Regolamento implica l’adozione obbligatoria per
tutti gli Stati membri
3
eIDAS: l’identità digitale a valore legale in Europa

4. ● Applicare il General Data Protection
Regulation (GDPR) - 25 Maggio 2018
● Il 50% delle imprese è in ritardo
● La percentuale fra le associazioni di
volontariato e le realtà non profit sale
probabilmente al 99,9%
● Nessuna esenzione per il terzo settore
o non profit: la normativa europea sulla
privacy parla di "organizzazioni" di
qualsiasi tipo
4
Un'urgenza che riguarda tutti (anche il non profit)
fonte: https://www.01net.it/gdpr-organizzazioni-non-profit/

5. ● “data protection by default and by design” (art.
25 GDPR)
● Proteggere i dati e gli eventuali account degli
utenti almeno con delle password secondo le
normative vigenti
● Proteggere gli account amministrativi con
l'autenticazione a due fattori
● Usare le funzionalità 2FA già disponibili
gratuitamente (soprattutto se si ricopre un ruolo
tecnico e si hanno privilegi amministrativi)
5
Come proteggere l'identità digitale

6. Non è una questione puramente normativa
È un problema di comunicazione e consapevolezza
Non siamo consapevoli di cosa sia l'identità digitale
La tecnologia cambia il nostro habitat velocemente
Siamo biologicamente e psicologicamente uguali all'uomo paleolitico
Dobbiamo imparare a usare la tecnologia senza averne paura
6
La tecnologia è un problema?

7. L'identità digitale può essere vista come una
maschera o un travestimento
L'identità digitale è simile a un documento d'identità
Possiamo avere molte identità digitali, come accade
per i documenti
Le identità digitali autentiche sono analoghe tra loro,
come lo sono i documenti
Quelle false invece non si somigliano
7
Quante identità?

8. ● «identificazione elettronica»: il processo per cui si fa uso di dati di
identificazione personale in forma elettronica che rappresentano un’unica
persona fisica o giuridica, o un’unica persona fisica che rappresenta una
persona giuridica
● «dati di identificazione personale»: un insieme di dati che consente di stabilire
l’identità di una persona fisica o giuridica, o di una persona fisica che
rappresenta una persona giuridica
● «autenticazione»: un processo elettronico che consente di confermare
l’identificazione elettronica di una persona fisica o giuridica, oppure l’origine e
l’integrità di dati in forma elettronica
8
Regolamento eIDAS - Art. 3

9. Nel mondo digitale è facile (ed economico)
riprodurre le informazioni (“copia e incolla”)
9
L’autenticità e l’Identità nell’era Digitale
L’identità è un insieme di dati, un messaggio:
come facciamo a sapere chi c’è dall’altra parte
del filo o della porta?
Se trasmetto quei “bit” che rappresentano
la mia identità, qualcuno potrebbe
intercettarli, copiarli, e simulare di essere
me: rubare cioè la mia identità!

10. 10
Identità Digitale basata sulla Biometrica
I dispositivi biometrici si basano su
caratteristiche fisiologiche o
comportamentali (impronta digitale,
scansione dell’iride, calligrafia,
riconoscimento facciale o vocale)
L’unico vantaggio risiede nel non dover
identificare e associare la persona al
dato biometrico, e nel non richiedere ad
essa di portare con sé un dispositivo

11. L’Identità crittografica si basa su una
"chiave" unica associata in modo
univoco alla persona che la possiede
e la controlla in modo esclusivo
● Garantisce la privacy
● È gestibile con lo smartphone
● Può essere revocata
● Non presenta errori di misura
● È “nativa digitale”
11
Identità Digitale basata sulla Crittografia

12. ● Cosa è l'identità digitale
● L'autenticazione a 2 fattori
● Breve dimostrazione
● Domande e risposte
12
Agenda

13. Ci sono circa 1075
chiavi possibili (RSA 1024 bit) tra le quali ne viene scelta una a caso
1010
= 10.000.000.000 cioè dieci miliardi mentre 1075
è un numero con 75 zeri!
1050
= stima del numero di atomi che compongono il pianeta Terra
1075
=1.000.000.000.000.000.000.000.000.000.000.000.000.000.000.000000.000
.000.000.000.000.000.000.000.000 cioè mille miliardi di miliardi di miliardi di
miliardi di miliardi di miliardi di miliardi di miliardi di chiavi
Ne viene scelta una a caso e viene associata alla persona che ne diventa il
possessore esclusivo (sostanzialmente è una password numerica un po' lunga)
13
Unicità delle chiavi crittografiche

14. 14
Le password usa e getta (OTP)
● viene generata una chiave unica
associata all'utente
● una copia della chiave è custodita
su dei server che applicano gli stessi
livelli di sicurezza bancari
● un'altra copia è custodita in modo
sicuro sullo smartphone (o su una
chiavetta hardware)
● la chiave unica e l'orario sono
utilizzati entrambi per generare una
nuova password ogni 30 secondi

15. Per garantire che solo il proprietario di un'identità digitale (come l'account social
che abbiamo su Google o Facebook) ne abbia il controllo, si usa la tecnica dei due
fattori di autenticazione (detta anche "Strong Authentication")
Il primo fattore è una cosa che solo tu sai: la cara vecchia password del tuo account
Il secondo fattore è una cosa che solo tu possiedi: il telefono o lo smartphone, che
è già sempre con te, a portata di mano (e che ti fornisce le password usa e getta)
Una cosa che solo tu sai più una cosa che solo tu hai
15
Il controllo esclusivo tramite due fattori (2FA)

16. Il processo di attivazione
consente di associare in
modo univoco l'account social
alla chiave crittografica
La chiave crittografica
consente di generare le
password temporanee
OTP (One Time Password)
16
La 2FA in tre mosse

17. Subscriber Identity Module (SIM)
"modulo d'identità dell'abbonato"
La SIM telefonica non è come la SIM
crittografica della Carta di Credito
Quanto è facile clonare una SIM
telefonica (non crittografica)?
Quanto costano gli SMS?
17
Le OTP ricevute via SMS

18. ● Cosa è l'identità digitale
● L'autenticazione a 2 fattori
● Breve dimostrazione
● Domande e risposte
18
Agenda

19. 19
Valid è gratis - su Android e iOS

20. ● Cosa è l'identità digitale
● L'autenticazione a 2 fattori
● Breve dimostrazione
● Domande e risposte
20
Agenda