Microsoft vuole che tu non abbia password, ma dovresti?

Sbarazzati delle tue password e inizia a utilizzare l'autenticazione biometrica come impronte digitali e scansioni del viso, afferma Microsoft. Non così in fretta, ribattono alcuni esperti di sicurezza.

L'anno prossimo gli accessi senza password dovrebbero diventare lo standard, ha affermato recentemente Microsoft blog sulla sicurezza. L'azienda pubblicizza Windows Ciao, uno strumento di scansione biometrica che ti consente di accedere a Windows 10 con la tua impronta digitale. Ma alcuni osservatori dicono che dovresti esitare prima di salutare Ciao a braccia aperte.

"L'uso della biometria descritto nei piani di Microsoft è promettente, ma dovremmo tutti prestare attenzione alle nuove versioni e implementazioni della biometria autenticazione, come abbiamo appreso quando i ricercatori hanno dimostrato che le prime iterazioni del FaceID di Apple potevano essere ingannate," Phil Leslie, il co-fondatore di cybersecurity ditta Scudo Havoc, ha detto in un'intervista via e-mail.

"Mi fiderei dell'approccio biometrico di Microsoft con le password per un'app Web gratuita senza alcuna informazione di pagamento? Probabilmente. Lo userei per il mio conto bancario in questo momento? Non ancora."

Lascia che siano le tue dita a parlare

Invece delle password, Microsoft afferma di ritenere che gli utenti sarebbero meglio serviti utilizzando dispositivi di sicurezza biometrici come quelli che scansionano le impronte digitali o la forma del viso. Il software Windows Hello di Microsoft offre questa opzione.

Secondo il post sul blog sulla sicurezza di Microsoft, il numero di consumatori che utilizzano Windows Hello per accedere ai dispositivi Windows 10 anziché una password è cresciuto fino all’84,7% nel 2020, rispetto al 69,4% del 2019.

Per trasmettere il messaggio che è meglio usare l'assenza di password, Alex Simons, vicepresidente aziendale per la gestione del programma di identità Microsoft, sottolinea nel post del blog si afferma che la criminalità informatica costa all’economia globale 2,9 milioni di dollari ogni minuto, con circa l’80% di questi attacchi diretti alle password.

"Le password sono una seccatura da usare e presentano rischi per la sicurezza di utenti e organizzazioni di tutte le dimensioni, con una media di un account aziendale su 250 compromesso ogni mese", ha aggiunto.

Conveniente ma non più sicuro

Ma gli utenti dovrebbero tenere presente che, sebbene le soluzioni senza password come Microsoft Hello possano essere più convenienti, non aumentano la sicurezza. "Alla fine, è ancora necessaria una password per proteggere gli account", Craig Lurey, co-fondatore e CTO del fornitore di gestione delle password Sicurezza del custode, ha detto in un'intervista via e-mail.

"I criminali informatici lo sanno e possono comunque accedere al dispositivo o all'app saltando l'autenticatore biometrico e testando password deboli o riutilizzate. Mirano anche al recupero dell'account, che utilizza password e domande di sicurezza."

I dispositivi mobili, in particolare gli smartphone, sono spesso il dispositivo di autenticazione utilizzato come parte di un'infrastruttura senza password. Gli utenti devono assicurarsi che il dispositivo sia privo di malware prima di consentire l'accesso, Hank Schless, senior manager delle soluzioni di sicurezza presso società di sicurezza informatica Lookout, ha detto in un'intervista via e-mail.

"Un dispositivo mobile compromesso potrebbe consentire a un utente malintenzionato di accedere alla tua infrastruttura se è in grado di sfruttare il dispositivo utilizzato come forma di autenticazione", ha aggiunto.

Esistono alternative a Hello di Microsoft se stai cercando di eliminare le password. Una soluzione è l'app Nuggets, che utilizza un processo di onboarding una tantum.

Eseguendo la scansione di un documento d'identità rilasciato dal governo (come un passaporto o una patente di guida) e completando un altro controllo, i consumatori possono semplicemente accedere a qualsiasi sito o app con i propri dati biometrici. Non è necessario un nome utente o una password, a nessun livello. E nessun passaggio di dati personali di alcun tipo al momento del login.

Anche se il sistema senza password è ampiamente implementato, non è la soluzione miracolosa per risolvere tutti i problemi di sicurezza dell’accesso degli utenti, ha affermato Schless. "Il phishing mobile sarà ancora un problema", ha aggiunto. "Anche se è meno incentrato sulla raccolta delle credenziali, è comunque necessario proteggere i dipendenti dai collegamenti di phishing che forniscono malware al dispositivo."

Le password possono essere una seccatura, ma sono una tecnologia collaudata e affidabile. Le soluzioni biometriche proposte da Microsoft potrebbero non essere adatte a tutti.