Lampi di Cassandra / SPID2, l’opinione del NIST

Fonte: Punto Informatico del 28/07/16

di M. Calamari – Negli USA l’autenticazione a due fattori a mezzo SMS viene bocciata e sparirà presto dalla circolazione. E non è solo questione di malware

081210.wired.spy-cloud.large

SPID2 è già stato oggetto di esternazioni di Cassandra: la nostra amica sosteneva che l’attuale offerta di SPID, limitata alla SPID2 con SMS, era insicura e controproducente ai fini della sicurezza, particolarmente per la possibilità di infezioni dello smartphone da parte di malware avanzati.

Agenda Digitale, quotidiano telematico di informazione, pubblicava un articolo nel quale, in buona sostanza, si sosteneva che se un device è infetto, e un attacco Man-in-the-browser o Man-in-the-middle è in corso, non c’è doppio fattore che tenga.

Anche se è senz’altro vero che non avere malware sul proprio smartphone sia cosa buona e giusta, nel contesto SPID si tratta di un’affermazione semplicistica, fuorviante e tecnicamente sbagliata, perché non tratta il nocciolo del problema.

In queste ore, il NIST (National Institute of Standards and Technology), ente statunitense che cura le standardizzazioni tecnologiche e che non è proprio l’ultimo arrivato nel settore, ha pubblicato il final draft del documento “Digital Authentication Guideline – Authentication and Lifecycle Management”. La parte B del documento (Cassandra si scusa della pedanteria) pianta gli ultimi chiodi sulla bara della autenticazione a due fattori con SMS (2FA-SMS). Un sintetico riassunto della questione si trova su Slashdot.

Ma citiamo direttamente la raccomandazione contenuta in questa imminente normativa. Il NIST raccomanda che le applicazioni utilizzino token fisici e crittografici. Il documento prevede, quasi a “malincuore”, che essi possano attualmente assumere anche la forma di app per cellulari, quindi di dispositivi che possono essere rubati o “temporaneamente presi in prestito”.

NIST sottolinea poi il fatto che la 2FA-SMS ha un altro punto debole che ha eroso la sua affidabilità, quello dei servizi VoIP: “Se la verifica fuori banda deve essere effettuata tramite un messaggio SMS su una rete pubblica di telefonia mobile, il gestore del processo deve assolutamente controllare che il numero di telefono pre-registrato in uso sia veramente associato con una rete mobile e non con un VoIP (o altro sistema telefonico basato su software)”. Aggiunge inoltre che “la modifica del numero di telefono pre-registrato non deve essere possibile senza una vera autenticazione a due fattori, da utilizzare al momento del cambio numero. Il cambio del numero tramite SMS è deprecato, e non sarà più consentito nelle versioni future di questa guida.”

In buona sostanza, oltre ai problemi legati ai malware avanzati che possono infettare uno smartphone (e certamente lo faranno) rendendo l’autenticazione a due fattori via SMS insicura, NIST individua altri due vettori di attacco: le reti VoIP e le problematiche legate al cambio del numero telefonico su cui ricevere l’SMS, che impediscono di usare la 2FA-SMS come metodo di autenticazione sicuro.

Ricordiamo la definizione di base della 2FA: “Qualcosa che sai, più qualcosa che hai”.
Gli smartphone e le reti GSM non sono sotto il controllo dell’utente ma di terzi, legittimamente o illegittimamente, quindi non rappresentano un “qualcosa che hai”. E questa è un’ulteriore conferma che la SPID2, realizzata con SMS e non con token hardware, non dovrebbe proprio esistere.

Ma in Italia ci vorrebbe una catastrofe affinché la convenienza della 2FA-SMS, scelta per facilitare il “decollo” del PIN di Renzi della SPID, venisse messa in discussione.

Marco Calamari
Lo Slog (Static Blog) di Marco Calamari
L’archivio di Cassandra/ Scuola formazione e pensiero

Geo

Lastoffagiusta Dal blog www.lastoffagiusta.i

Geo .

.

.

.

La delicatezza

Nel vocabolario di italiano la parola “delicatezza” è così definita:

delicatezza
[de-li-ca-téz-za] s.f.

1 Qualità di ciò che non urta, non offende i sensi ma al contrario li blandisce, inducendo sensazioni gradevoli SIN finezza, morbidezza: delicatezza di una stoffa

2 Qualità di chi usa discrezione e tatto cercando di non offendere, di non essere inopportuno SIN sensibilità, garbo: aiuto offerto con molta delicatezza.

Nel contesto mi riferisco alla seconda e nella fattispecie quella umana.

E’ raro, incontrare persone che la possiedono. Io ne conosco un paio, forse tre.

Non bisogna confonderla con la dolcezza o altre gradevoli peculiarità che stanno sempre bene se non diventano pedanti o melense.

La delicatezza ha la sua unicità nel saper porre, proporre anche con fermezza, argomenti, opinioni, idee, che pensiamo possano interessare altri o fatti che ci riguardano direttamente, compresa la presenza fisica, senza aggredire il nostro interlocutore.

E’ una dote che invidio a…

View original post 255 altre parole

Attenti a quelle due

Libera.mente

La canzone di sottofondo di musica napoletana fa la cornice

il quadro in questo cemento urbano grigio e soffocante di luglio

sono loro: gli occhi persi e le parole in testa, troppe.

Loro, ne ho incontrate due  in giorni a distanza ravvicinata, con ovvio desiderio di essere viste diversamente uguali (già chi non vorrebbe essere visibile nel cuore?)

Anziane signore con cappelli di paglia colorata a falde larghe ed estrosi occhiali brillantati, scarpe scintillanti di pietrine povere e vestiti leggeri da lady primavera che non è mai finita.

Perse nel loro sogno di bellezza…

Come lo sono anche io di questi ultimi giorni viaggianti a vagabondare e incontrare e stupirmi e provare il brivido di bellezza che è la vita quando arriva dopo tanto temporale.

Il clima giusto e evocare non più tempeste, le due signore ne avranno viste di ogni colore, da sole ora nel loro viaggio in bus semideserto, oppresse…

View original post 176 altre parole

500 e oltre

followed-blog-500-2x

Circa un mese fa mi è giunta la notifica con il simbolo che vedete sopra, il significato è lampante: avevo raggiunto i 500 follower solo da WordPress. Appena ricevuta la segnalazione volevo condividerla con amici e lettori ma altri eventi hanno portato la mia mente altrove, perciò l’ho lasciata a languire sul desktop del pc per evitare che cadesse nel dimenticatoio.

So che non è un premio di sfavillante rilievo e che la stragrande maggioranza dei blogger hanno migliaia di seguaci ma, per un oscuro e smunto bloggino come il mio, 500 è un bel numero. Numero che nel frattempo è aumentato, sicché ora i miei lettori sono 529.

Pertanto il post di oggi non è soltanto una botta di ridanciana vanità, ma soprattutto un ringraziamento a chi mi regala la propria fiducia donandomi la gioia di sapere che non spargo soliloqui destinati a cadere nella fosca nebulosa di parole su…

View original post 12 altre parole

Anatre libere tra Liguria e Venezia Giulia: le minoranze

Gatto Atlantico

Che poi l’Italia non va mica solo da nord e sud… va anche da Nord a Nord e ci vuole tanto ad attraversarla e in questi giorni preferisco non parlare di treni. Ma ho fatto una vacanza felice e lo voglio raccontare. L’ho fatta col cuore libero come non mi accadeva da anni; con leggerezza e con la libertà del volo basso di quelle anatre che con Valeria abbiamo visto a Cividale, tra un caldo antipatico e un vinello friulano. Tra i migliori. L’ho detto tante volte che io amo il Nord dell’Italia. Mi piace perché mi dà lo stesso senso di compiuto che ricevo interiormente quando scrivo: quella capacità di chiudere un discorso con ordine. Un po’ come quando si porta avanti una tesi storica. Oppure quando trovo un perché a quella inquietudine di chi è minoranza. Che non significa ‘in minoranza’. C’è differenza e l’ho sentita cantare quella…

View original post 334 altre parole

Pepe Frías · Sofrito

Proposta musicale del 08/07/16

sofrito

 

.

.

Sofrito

Enjoy!

.

.

.

Pubblicato su 3Music. Leave a Comment »