A cura di Matt Bing, Security Researcher di NETSCOUT

L’appropriazione delle combinazioni di username e password impostate in fabbrica continua a rappresentare una strategia vincente per la propagazione delle botnet in ambiente IoT (Internet of Things). Gli operatori delle botnet che dispongono degli elenchi migliori producono le botnet più grandi e ottengono così una maggiore potenza di fuoco per sferrare nuovi attacchi DDoS. I bot rivolti ai dispositivi IoT non fanno distinzioni: scelgono casualmente un indirizzo da colpire e passano in rassegna l’elenco di username e password a loro disposizione fino a quando non rinunciano all’attacco o riescono invece a infettare il dispositivo preso di mira. Nel mese di settembre, abbiamo osservato 1065 combinazioni univoche di username e password in 129 paesi. Facendo un passo indietro ed esaminando i trend regionali sul malware relativi alle combinazioni di username e password osservate, abbiamo riscontrato alcune affinità locali per diverse tipologie di dispositivi IoT.

• L’interrogazione delle botnet ha rivelato che 1005 combinazioni di username e password, sul totale di 1065 combinazioni osservate, non erano incluse nell’elenco di default di Mirai.
• Le combinazioni utilizzate in diverse regioni delineano alcuni trend relativi agli impieghi dei dispositivi.
• Gli attacchi dei bot che utilizzano specifiche password impostate dal produttore sono spesso perpetrati da dispositivi compromessi in modo simile.

Il malware IoT Mirai è comparso sulle scene a fine 2016 e ha dato successivamente vita a diverse varianti, il cui successo si fonda sostanzialmente sullo stesso semplice metodo di propagazione: l’uso di username e password preimpostati. Alcune varianti del malware si sono evolute per utilizzare exploit mirati alle vulnerabilità esistenti, tuttavia una banale combinazione di username e password impostata in fabbrica continua a rappresentare uno strumento incredibilmente efficace.

Mirai ha compilato un elenco delle combinazioni di username e password utilizzate, che è stato inserito nel codice sorgente reso pubblico. Con questo codice, qualsiasi individuo in possesso di qualche competenza tecnica ha la possibilità di costruire la propria botnet IoT. Gli operatori più rapidi hanno affollato velocemente il panorama e i bot IoT si sono diffusi a macchia d’olio. Alcuni criminali hanno compreso che, utilizzando un proprio elenco personalizzato di username e password, sarebbero riusciti a evolversi infettando i dispositivi che gli altri non riuscivano a colpire.

Raccogliendo le combinazioni di username e password utilizzate dal malware IoT è possibile ottenere un fertile terreno di analisi. È sufficiente emulare il protocollo Telnet quanto basta a carpire username e password (e molto altro!): i bot saranno lieti di condividere la propria hit list con chiunque sia interessato. Una volta ottenuto un numero adeguato di dati, è possibile osservare alcuni trend.

Vediamo i dati raccolti nel mese di settembre 2018. Le prime 5 combinazioni di username e password sono davvero poco sorprendenti: admin/admin, guest/12345, root/vizxv, root/xc3511 e support/support Queste combinazioni erano contenute nel codice sorgente originale di Mirai e due di esse (vizxv e xc3511) riguardano i videoregistratori che diedero fama al bot Mirai originale.

Gli username e le password che non compaiono nel codice sorgente originale di Mirai sono i più interessanti. L’elenco comprende combinazioni di username e password di base (default/default e root/) e specifiche (root/1001chin e root/taZz@23495859). Le password più specifiche si riferiscono alle impostazioni di fabbrica di determinati dispositivi. Negli ultimi due anni, gli esecutori degli attacchi si sono impegnati per arruolare nuovi dispositivi nel proprio esercito.

Se osserviamo una mappa degli attacchi di forza bruta su Telnet, vedremo che i paesi principali sono la Russia, la Cina, il Brasile, gli Stati Uniti e la Corea del Sud. Cosa possiamo dedurre sulle combinazioni di username e password utilizzate dai bot in base alla rispettiva ubicazione geografica?

Quando un bot automatizzato come Mirai tenta un attacco indesiderato, è probabile che il dispositivo che cerca di forzare la serratura sia vittima dello stesso identico attacco. Infatti, è possibile che il dispositivo che sta sferrando l’attacco sia già stato inglobato nella botnet attraverso lo stesso attacco, forse addirittura attraverso la stessa combinazione di username e password. Alcuni dispositivi sembrano essere più diffusi in alcuni paesi per ragioni di disponibilità o popolarità.

Ad esempio, la combinazione root/20080826 osservata principalmente in Russia risulta appartenere a un dispositivo chiamato TM02 TripMate, un router da viaggio.  Analogamente, la combinazione vstarcam2015/20150602 è la parola magica che permette di accedere a una webcam. Entrambi i dispositivi sono disponibili anche negli Stati Uniti, ma sono forse più popolari in Russia. È improbabile che si tratti di attività di scansione mirate e non del comportamento di un bot, considerata la buona distribuzione delle fonti. I dati sono stati filtrati per eliminare il rumore di sottofondo, come ad esempio un singolo IP italiano che ha sferrato ripetuti attacchi su Internet per diversi giorni sfruttando la combinazione <blank>/<blank>. Altri casi sono più chiari, come ad esempio la combinazione telecomadmin/admintelecom utilizzata per i dispositivi Huawei che sono più diffusi all’esterno dei paesi occidentali.

I bot IoT utilizzano un approccio diretto alla propagazione: scelgono un obiettivo in modo casuale e continuano a tentare di colpirlo finché l’attacco non riesce o l’elenco non si esaurisce. Fino a quando i criminali informatici non adotteranno un metodo più sofisticato, i ricercatori che operano nel campo della sicurezza potranno identificare i loro obiettivi con l’ausilio degli honeypot. Pur non rappresentando una scienza esatta, lo studio del comportamento delle botnet IoT può aiutarci a comprendere meglio le tecniche di individuazione degli obiettivi e le metodologie impiegate dagli operatori delle botnet. Dall’analisi di questi trend a livello globale e regionale emerge un dilagante ecosistema IoT, pronto a essere depredato.

L'articolo IoT: password di default la grande minaccia proviene da Data Manager Online.

Oggi molte persone utilizzano i dispositivi mobili per navigare su Internet e svolgere attività online. Perdere il proprio device a causa di un atto di microcriminalità potrebbe quindi rivelarsi più dannoso e sconvolgente che mai. Il 75,8% degli individui afferma di utilizzare regolarmente Internet su uno smartphone (percentuale in crescita rispetto al 73,9% del 2016) e il 42,2% utilizza di norma un tablet per connettersi.

I dati importanti che vengono archiviati e inviati da questi dispositivi sono di diverso tipo: il 32,4% delle persone utilizza il proprio smartphone per l’online banking, e questo significa accesso a preziose informazioni di carattere finanziario. Inoltre, il 63,4% delle persone utilizza regolarmente il proprio smartphone per accedere ai propri account di posta elettronica personali; il 61%, invece, afferma di utilizzarlo per attività sui social media: entrambi gli esempi di utilizzo hanno a che fare con una quantità enorme di dati sensibili.

Avere una mole importante di dati preziosi sui propri dispositivi, però, non rende le persone consapevoli e sicure: solo il 39,7% protegge con le password i propri dispositivi mobili e solo l’8% sceglie di crittografare i propri file e le proprie cartelle per evitare accessi non autorizzati. Nel caso in cui questi dispositivi dovessero cadere nelle mani sbagliate, tutti questi dati – account personali, foto, messaggi e persino dettagli di tipo finanziario – potrebbero diventare accessibili per qualcun altro.

Anche perdere dispositivi che sono comunque protetti con una password può, però, avere conseguenze rilevanti: ad esempio, meno della metà (40%) delle persone effettua un backup dei propri dati e solo il 15,8% utilizza le funzionalità antifurto sui propri dispositivi mobili.

Questo significa che, probabilmente, in caso di furto, gli ormai ex proprietari di questi dispositivi non potranno accedere alle proprie informazioni personali e ai propri account.

Morten Lehn, General Manager Italy di Kaspersky Lab ha commentato: “Tutti noi amiamo i nostri dispositivi connessi, perché ci danno la possibilità di accedere a informazioni vitali, da qualsiasi luogo e in qualsiasi momento. I malintenzionati vogliono impossessarsene proprio per il loro valore e l’impresa criminale si rivela più facile nel caso in cui ci si imbatta in un telefono, ormai rubato, non protetto da alcuna password. Ci sono alcune cose davvero semplici che tutti possono fare per proteggere il proprio dispositivo e i dati contenuti al suo interno. Usando la protezione tramite password e una soluzione di sicurezza dedicata, compresa la protezione antifurto, è possibile proteggere le informazioni personali, le foto e gli account online da eventuali perdite e da un possibile uso dannoso.”

Kaspersky Internet Security for Android, ad esempio, è una soluzione progettata per aiutare le persone a proteggere i propri dispositivi mobili: spinge gli utenti a proteggere con le password i propri dispositivi, garantendo sicurezza rispetto alle possibili minacce online e offline, nel caso in cui un dispositivo venga rubato, colpito da malware o diventi oggetto di occhi indiscreti.

L'articolo Più della metà delle persone non protegge i dispositivi mobili con le password, un vantaggio per i “ladri digitali” proviene da Data Manager Online.

GitHub ha comunicato di aver riscontrato un bug sui propri server che permetteva alle password di essere conservate in chiaro. All’interno di alcuni log presenti sui sistemi aziendali, si potevano trovare database pieni zeppi di chiavi segrete visibili e non crittografate come ci si aspetterebbe. Si tratta di un problema molto simile di cui ha sofferto Twitter la scorsa settimana e che aveva portato la piattaforma a invitare tutti gli iscritti a cambiare le password di accesso sebbene in assenza di qualsiasi violazione. Come sia potuto accadere che le stringhe di GitHub siano rimaste così, trasparenti e alla stregua di chiunque non è stato spiegato.

Cosa succede

Quello che sappiamo si basa sulle dichiarazioni del team: “Durante un normale controllo, abbiamo scoperto che un bug ha permesso di mostrare un piccolo numero di password degli utenti al nostro sistema di registrazione interno. Siamo intervenuti tempestivamente per correggerlo ma è stato attivato un reset delle chiavi per una protezione maggiore”. Ad ogni modo pare che il breach interessi solo una certa fetta di iscritti che però potrebbe essere importante, considerando che la piattaforma ne conta oltre 27 milioni in totale.

Di norma, GitHub conserva le password dopo averle crittografate via hash ma il bug, stando a quanto comunicato, consentiva di catturarle in chiaro quando si avviava una procedura di reset manuale. Trovandosi solo su server dell’azienda, nessun soggetto terzo ha potuto accedere alle chiavi quindi le conseguenze dovrebbero essere limitate, se non pari a zero. Non è certo questo l’unico bug che girava sul portale più amato dagli sviluppatori; nel giro di un mese il team dedicato ha affermato di averne scovati circa 500 mila, nascosti tra le maglie dei file.

L'articolo GitHub ha un problema con la sicurezza delle password proviene da Data Manager Online.

Di seguito alcuni dati sul fenomeno dell’utilizzo di password semplici da indovinare, e alcune indicazioni pratiche su come creare delle password sicure.

• Gli attacchi ai dispositivi IoT sono cresciuti del 600% lo scorso anno grazie anche all’utilizzo di password deboli o di quelle fornite dai produttori dei dispositivi e mai cambiate dall’utente, che consentono ai criminali informatici di piratare dispositivi quali router, DVR, antenne satellitari e sistemi d’allarme.
• Wearable e dispositivi casalinghi connessi alla rete lasciati privi di protezione: se è vero che molti utenti proteggono smartphone, laptop e PC utilizzando una password, è altrettanto vero che i wearable e i dispositivi casalinghi connessi alla rete, sono spesso lasciati privi di protezione. Il Cyber Security Insights Report, ricerca condotta da Norton su oltre 21.000 utenti in tutto il mondo, ha evidenziato che in Italia solo la metà degli utenti protegge con una password i propri wearable (50%) e i propri sistemi di Home Theater collegati in rete (49%); leggermente più alta, invece, la percentuale di chi protegge le console di giochi (58%).
• Password spesso troppo semplici o conservate con poca cura: un utente su sei ammette di utilizzare la stessa password per tutti i propri account. Con 1.4 miliardi fra email personali e password in vendita sui siti del dark web solo lo scorso anno, utilizzare più volte la stessa password presenta dei rischi notevoli.
  • Il 50% degli italiani ammette di condividere la password di un account o di un dispositivo: il 33% condivide la password dei dispositivi connessi in casa, mentre “solo” il 27% condivide la password del proprio smartphone, il 32% la password del portatile, e il 27% quella degli account per i servizi di streaming.
  • Il 40% degli italiani annota la password e I dati di log-in su un pezzo di carta, e più di una persona su 10 conserva le password in un file sul proprio computer o sul proprio smartphone.

Nick Shaw, vice president and general manager of Norton EMEA, ha detto: “Oggi abbiamo password per un numero elevatissimo e in continua crescita di servizi online e dispositive connessi. È facile cadere nella tentazione di utilizzare sempre la stessa password per comodità. Nonostante un flusso costante di notizie relative a sottrazioni di dati e di password, ancora troppe persone sembrerebbero credersi invincibili ed evitano di prendere persino le precauzioni più elementari per proteggere se stessi.”

Come creare password sicure

• Quando acquistate un dispositivo IoT o un wearable assicuratevi sempre di cambiare la password e lo user name forniti dal produttore
• Create sempre password solide e uniche, difficili da indovinare
• Utilizzate un software di gestione delle password – ad esempio, identity Safe di Norton, disponibile gratuitamente – per conservare tutte le password di tutti i vostri account, anche le più complicate.
• Un’idea per creare password solide potrebbe consistere nell’utilizzare una frase tratta da un film o da una canzone, ad esempio “una mela al giorno toglie il medico di torno”, e:

• Utilizzare solamente la prima lettera di ogni parola: UMAGTIMDT
• Distribuire casualmente lettere maiuscole e minuscole: UmAGtiMdT
• Sostituire alcune lettere con numeri e simboli: Um@Gt1MdT

L'articolo Aumentano del 600% gli attacchi ai dispositivi connessi, protetti da password deboli proviene da Data Manager Online.

Proprio nel giorno del Password Safety Day, l’occasione ideale per sensibilizzare gli utenti sulla sicurezza online, Twitter ha scoperto che buona parte delle credenziali dei suoi utenti sono state liberamente esposte a eventuali attacchi hacker. Il social network ritiene che ben 330 milioni di password possono essere a rischio. Si parla quindi di oltre il 98% degli account potenzialmente violati. Il sito di microblogging ha invitato i suoi iscritti a cambiare la password sebbene si tratti di “un eccesso di prudenza”.

Le difficoltà riscontrate da Twitter, che ha bloccato la pubblicità di Kaspersky Lab, nascono da un problema tecnico alla rete interna e in particolare al sistema di memorizzazione delle password. Queste non sono crittografate ma convertite in sequenze casuali di numeri tramite “hashing” in modo da velocizzare il processo di autenticazione. L’azienda comunque sottolinea che il bug è stato risolto e che non ci sono conferme che le password siano effettivamente state violate. Per precauzione sarebbe comunque opportuno cambiare le chiavi d’accesso. “Recentemente – si legge nel post pubblicato dal support di Twitter – abbiamo trovato un bug che memorizzava le password smascherate in un log interno. Abbiamo corretto il baco e non abbiamo indicato alcuna violazione o uso improprio da parte di nessuno, per precauzione, prendi in considerazione la possibilità di modificare la password su tutti i servizi in cui hai utilizzato questa password”.

We recently found a bug that stored passwords unmasked in an internal log. We fixed the bug and have no indication of a breach or misuse by anyone. As a precaution, consider changing your password on all services where you’ve used this password. https://t.co/RyEDvQOTaZ

— Twitter Support (@TwitterSupport) 3 maggio 2018

L'articolo Twitter: a rischio 330 mln di account, meglio cambiare password proviene da Data Manager Online.

Istituita nel 2013, la giornata mondiale delle password ricorre annualmente ogni primo giovedì del mese di maggio. Una password «robusta» è importante per evitare che terzi non autorizzati ai servizi online. Ecco come ottenere un buon livello di sicurezza di password e identità digitali secondo G DATA.

Le password testuali, come impiegate per accedere ai social network o ai siti di shopping online, sono e saranno una componente essenziale per proteggere la propria identità digitale contro l’accesso indesiderato da parte di terzi. Da anni gli esperti di sicurezza informatica cercano di dare risposte ai quesiti su come rendere una password davvero “robusta”. Qualche tempo fa i ricercatori erano d’accordo sul fatto che una password debba constare di almeno otto caratteri e non debba contenere parole di uso quotidiano o sequenze di caratteri facili da indovinare. Questo quanto riportato ancora oggi nelle linee guida di Google sulla protezione degli account. Lo United States Computer Emergency Readiness Team (US-CERT) aggiunge che l’utente dovrebbe avvalersi di password diverse per ogni singolo account. Le password rispettare peraltro una serie di parametri complessi come la presenza di caratteri speciali o cifre oltre alle lettere (maiuscole e minuscole s’intende). Se, come annovera lo studio „Observing passwords in their natural habitat“, ogni persona possiede in media credenziali di accesso per 26,3 diversi siti e utilizza nell’80% dei casi sempre la stessa password, a volte con minime variazioni, la dicotomia tra teoria e pratica è più che evidente. A dire il vero, chi riesce a ricordarsi password sufficientemente complesse e uniche per ogni portale?

Sette consigli per una migliore protezione della propria identità digitale 

• Un plugin per gestire le password è utile: Se si impiegano password diverse per accedere ai singoli portali è davvero facile dimenticare quale si utilizza per quale account. Con un password manager, come quello integrato in G DATA Total Security, si risolve il problema. Dopo l’installazione il password manager compare come icona nel browser e registra tutte le credenziali di accesso immesse nei siti. Tutte le password sono archiviate in una cassaforte cifrata accessibile tramite immissione di una parola d’ordine “master” che sarà anche l’unica da ricordare.

• La lunghezza della password è determinante: A dispetto di molte raccomandazioni del passato pare che al momento si stia imponendo l’approccio secondo cui la lunghezza di una password risulta più importante della sua complessità. Una password può contenere X caratteri speciali, cifre, maiuscole e minuscole, ma – di fatto – più lunga è più elevato sarà il numero di varianti che un potenziale attaccante dovrà considerare.Esempio: Una password con sei lettere minuscole genera circa 309 milioni di potenziali combinazioni. Sembra un’enormità ma un computer moderno impiega circa sette secondi per passarle al setaccio. Sessantasei anni invece semplicemente raddoppiandone la lunghezza a dodici caratteri.

• Utilizzare frasi piuttosto che parole: Avvalersi di una singola parola come password non è una protezione sufficiente. Password come «calcio1234» o «password+» sono facilmente hackerabili. Ideale invece l’utilizzo di frasi non reperibili in alcun dizionario ma facili da ricordare. Il motivo: per identificare un’eventuale frase più facilmente i cybercriminali utilizzano combinazioni di parole statisticamente probabili, cosa che vanifica i benefici dell’uso di una frase, qualora molto nota o utilizzata.Esempio: Una frase da impiegare come password su può generare facilmente da „in termini di sicurezza sono una password robusta”. Molti non sanno che è possibile utilizzare anche gli spazi in una password. Con lievi modifiche ecco un’ottima passphrase: „!n t3rmini d! 5icure77a sono 1 PassWord r0bust@.“

• Modificare le password in modo corretto: Se si cambia la password, quella nuova non deve essere una derivazione di quella vecchia. Molti utenti si limitano ad aggiungere la cifra corrispondente al mese o all’anno o il numero successivo a quello già impiegato. Altri utenti modificano una password inizialmente robusta semplificandola per maggior comodità. In generale si raccomanda di modificare una password solo se richiesto dal sito, se un estraneo ha visto l’utente digitare la password o se viene reso noto che un portale sia stato attaccato. E’ possibile verificare se una banca dati e quindi la propria sicurezza è stata compromessa sul sito “Have I Been Pwned“.

• Aggiornamento immediato: Se si intende proteggere il proprio computer o smartphone, gli aggiornamenti di sicurezza sono assolutamente cruciali, specie a fronte delle vulnerabilità Meltdown e Spectre. In generale si raccomanda di mantenere sempre aggiornati i sistemi operativi, le applicazioni / app in uso e di installare gli aggiornamenti non appena disponibili.

• Autenticazione a due fattori: Gli utenti dovrebbero preferire l’autenticazione a due fattori ovunque sia disponibile. Facebook, LinkedIn, Dropbox, Google, PayPal e altri grandi operatori offrono da tempo questa possibilità.

• Protezione antivirus aggiornata: Desktop, notebook, smartphone e tablet dovrebbero essere sempre dotati di una protezione antivirus aggiornata. Soprattutto si sottovalutano i rischi a carico dei dispositivi mobili ritenendo erroneamente che tali apparecchi non possano essere sfruttati per attività criminali. Un errore di valutazione da correggere quanto prima. 

L'articolo 3 maggio: giornata mondiale delle password proviene da Data Manager Online.

Secondo un recente sondaggio, che ha coinvolto più di 14 mila persone di oltre 30 Paesi, un adulto medio utilizza circa 14 password per proteggere i suoi account, usare i servizi online o le applicazioni. Con Kaspersky Password Manager, in quest’epoca di eccesso di informazioni, gli utenti devono ricordare una sola password principale per accedere al loro archivio virtuale e sicuro contenente i login personali, le password, i contatti, i dettagli della carta di credito e molto altro ancora. Tutti i dati sono archiviati in forma criptata e possono essere inseriti in automatico nei form di registrazione dei vari siti internet. L’archivio dei dati personali è sincronizzato sui PC e sui dispositivi mobile in uso, così come nella versione web della soluzione sul portale My Kaspersky. Solo l’utente può avere accesso ai dati archiviati, per questo motivo è fondamentale non dimenticare la password principale. Senza questa il recupero dei dati è impossibile, neanche attraverso il supporto tecnico di Kaspersky Lab.

La nuova versione disponibile archivia ed inserisce in automatico anche l’indirizzo dell’utente e i dati per le procedure di pagamento online. La soluzione trasmette queste informazioni ai siti solo dopo aver verificato la loro affidabilità, così da garantire ulteriore sicurezza per dati di particolare valore ed evitare possibili furti.

La nuova versione di Kaspersky Password Manager può fare anche la scansione del computer alla ricerca di immagini e documenti che le persone spesso archiviano in formato digitale, come passaporti o polizze assicurative. Grazie alla tecnologia che si basa sul machine learning e un approccio algoritmico, la soluzione è in grado di riconoscere subito un documento da un’immagine e consiglia all’utente di salvarlo in un formato sicuro all’interno del programma1 e di cancellare eventualmente la copia non criptata. La soluzione non rileva l’esatto contenuto del documento e non procede con l’inoltro ai server di Kaspersky Lab per l’elaborazione. Kaspersky Password Manager lavora localmente sul device dell’utente e rileva la presenza di testi all’interno di immagini, riconoscendo particolari sequenze di linee. La soluzione è in grado di scansionare le immagini che contengono testi su un particolare device solo se l’utente dà avvio a questo processo attraverso il settaggio iniziale delle impostazioni. Sui dispositivi mobile è inoltre possibile scattare direttamente dal programma foto dei documenti che vengono immediatamente criptate e non restano salvate sul device in forma non protetta.

La versione free di Kaspersky Password Manager permette di salvare fino a 15 voci, tra cui combinazioni di account e password, indirizzi, numeri di carte di credito, immagini o altri documenti. Nella versione a pagamento, invece, il numero delle voci salvabili è illimitato. Nello stesso tempo, tutti i dati di un utente ora possono essere selezionati manualmente all’interno del programma per rendere comodo e rapido l’accesso ai dati usati più spesso.

“Kaspersky Password Manager nella sua versione attuale è un archivio unico e protetto per i dati più preziosi degli utenti che sono così accessibili in modo sicuro da qualunque dispositivo e in qualunque momento. Eppure è molto di più di un semplice storage. La soluzione permette a chi la usa di risparmiare tempo e fatica: il sistema procede alla compilazione automatica di form online, suggerisce password sicure, verifica l’affidabilità dei siti e rileva documenti personali non protetti all’interno dei dispositivi mobile. Questo vuol dire non solo mettere in sicurezza la vita digitale degli utenti in tutti i suoi aspetti, ma anche renderla più semplice” ha commentato Dmitry Aleshin, Vice Presidente for Product Marketing di Kaspersky Lab.

Oltre alle nuove funzioni, questa versione di Kaspersky Password Manager include anche il supporto per le versioni più recenti dei sistemi operativi Windows, Mac, Android e iOS e per i principali browser come Safari e Chrome. Inoltre permette di usare anche FaceID su iPhoneX o TouchID sui dispositivi Android al posto della password principale.

L'articolo La nuova versione di Kaspersky Password Manager protegge molto più delle password proviene da Data Manager Online.

Sicurezza e limitazioni spesso vanno a braccetto, tuttavia a fronte del naturale desiderio di semplificare, molte persone lasciano che le proprie informazioni personali siano accessibili virtualmente da tutte le direzioni. D’altro canto, i più cauti si ritrovano con una quantità incredibile di password e codici infiniti da memorizzare, e alla fine ci si avvale dell’uno o l’altro promemoria altrettanto alla mercé del mondo. Ma è possibile che non ci sia una soluzione più semplice?

Questione di fiducia

Probabilmente sì, ma “più semplice” non è sufficiente: deve essere anche “più sicura” e “meno invasiva”. Ad esempio la soluzione che permette ad algoritmi di apprendere dalle proprie abitudini potrebbe risultare invitante: la password sarebbe necessaria solo quando il sistema non riconosce un comportamento o luogo abituale, che si tratti dell’orario di attività, dei luoghi visitati, della velocità di inserimento testi, ecc. Tuttavia consentire a Microsoft Cloud di raccogliere informazioni sui propri contenuti per compilare statistiche per alcuni può comportare un livello di trasparenza incompatibile con il concetto di protezione dei dati.

Fidarsi del sistema, come oggi fa la maggior parte della popolazione al di sotto dei 20 anni, non è da tutti. Se la generazione precedente non è così lassista quando si tratta di protezione dei dati, è perché ha ancora vivido nella memoria il tempo in cui misure di sicurezza più restrittive ricordavano agli internauti che l’hackeraggio non è una pratica riservata unicamente alle celebrità e che gli attacchi informatici diretti non avvengono solo nei film di spionaggio. È anche più semplice rilassarsi quando l’unica propria preoccupazione sono i borseggiatori: a livello aziendale però questo rischio cambia dimensione drasticamente.

Meno password, più qualità

A qualsiasi livello ci si trovi, la protezione del dispositivo (tablet, computer o telefono) e la protezione dei dati implicano due password diverse. Per la prima si stanno già cercando soluzioni alternative: oltre a modelli semplici ma facilmente riconoscibili e a sensori per la lettura delle impronte digitali (qualora si fosse d’accordo sull’archiviazione delle proprie impronte, e tenendo in conto il fatto che non esiste opzione migliore), è ora possibile sostituire 10 numeri e le 26 lettere della tastiera con 12 emoji tra 2500 disponibili e selezionarne una sequenza di 4 o 6. Alta protezione E divertimento quindi, ma, di nuovo, una sola di queste password non è sufficiente! Tra le altre alternative divertenti, Nova Spatial sta attualmente sviluppando un sistema di autenticazione basato sul riconoscimento di una determinata area su una cartina mondiale digitale, le cui coordinate geografiche vengono utilizzate come codice la cui memorizzazione non è necessaria – basta sapere dove si trova un particolare albero, piscina, incrocio o altro.

Finché non sarà possibile affidarsi alla propria memoria visiva, tramite l’utilizzo di emoji e mappe, i password manager online continuano ad aumentare. Attraverso questo genere di casseforti virtuali come 1PassWord, LastPass o KeePass, basta un’unica “master password” per proteggere tutte le altre password archiviate e criptate. La master key è l’unica cosa di cui si ha bisogno, ma deve essere il più complicato possibile – una singola frase può già funzionare. Un esempio potrebbe essere “Apriti Sesamo!” (punteggiatura inclusa!).

L’altra faccia della biometria

A mali estremi, estremi rimedi: forse il futuro ci riserverà un processo di autenticazione più rigido tramite l’utilizzo di oggetti fisici? Un pollice, l’occhio, la voce o il viso sono i più noti esempi di una metodologia utilizzata sempre più di sovente per sbloccare i dispositivi, e che potrebbe finire con l’essere implementata anche per accedere ai profili delle piattaforme social. Gli hacker sostengono di aver raggirato il sistema di riconoscimento facciale dell’iPhone X tramite l’utilizzo di una maschera in lattice ultra-realistica, ma non ci si aspettano problemi generalizzati per i consumatori. Di conseguenza ci si aspetta un incremento dell’impiego della biometria e una maggior sofisticatezza nei prossimi decenni: si tratta semplicemente di sviluppare sensori per l’identificazione del DNA.

Questo genere di sensori sancirebbe la fine dei problemi causati da barbe o tagli di capelli che occasionalmente confondono i sistemi di riconoscimento facciale – l’unico altro problema potrebbe essere quello di avere un gemello cattivo! Jonathan Leblanc, Global Head of Developer Advocacy di Paypal, disse ancora nel 2015 che le password del futuro non saranno più scritte né memorizzate, ma piuttosto saranno impiantate, ingoiate o iniettate. Ha parlato anche di computer indossabili sotto forma di tatuaggio, sensori ECG che rilevano i dati del cuore o del riconoscimento delle vene e della pressione arteriosa. Probabilmente infallibile, ma piuttosto sgradevole… A tre anni di distanza, i tatuaggi digitali sembrano aver preso piede: il chimico Zhenan Bao, che ha recentemente sviluppato la e-skin, sottolinea le possibilità mediche e sociali di questo materiale elettronico connesso che coincide perfettamente con la pelle umana. Ma anche in questo caso ad un certo punto si ripresenterà l’ostico tema della confidenzialità: non saranno più le proprie impronte digitali ad essere utilizzate come password universali, bensì una sottile membrana elettronica posizionata sui polpastrelli e connessa allo smartphone. Da brividi, vero?

Il segreto dell’autenticazione a doppio fattore

Piuttosto che focalizzarsi sulla messa a punto di un’infallibile biometria al costo di chi sa quale invasione di privacy, probabilmente basterebbe pensare ad una semplificazione dell’autenticazione a doppio fattore. Questo sistema è già ampiamente utilizzato, soprattutto per i pagamenti online, che in genere richiedono un secondo codice inviato tramite SMS con una validità di qualche minuto. Il codice di conferma non solo può essere inviato sullo smartphone, ma anche a Google Watch, smartcard, applicazioni (per esempio con la soluzione Stormshield Data Security), token crittografato o chiavetta USB (come quella di sicurezza FIDO).

Ciò comporta però l’obbligo di portare costantemente con sé l’oggetto necessario alla ricezione del secondo codice. È più probabile lasciare a casa lo smartphone che parti del proprio corpo, a meno che il device non diventi una sorta di nuovo organo in dotazione allo “homo numericus”. Come ultima alternativa si può sempre diventare un genio in grado di memorizzare dozzine di sequenze numeriche… Your choice!

L'articolo Saremo presto liberi dalla maledizione delle password? proviene da Data Manager Online.

Sappiamo quanto le compagnie hi-tech occidentali abbiano vita difficile in Cina. Qui Google non riesce a veicolare i propri servizi mentre Apple si ritrova a vendere gli iPhone con uno store iper-censurato e controllato (ad esempio Skype è stato rimosso, chissà perché). Il business di entrambe le società non si basa solo su hardware e software. Da anni la Mela tenta di entrare nel mercato cinese in vari modi, stringendo accordi con imprese e istituzioni locali. Proprio con il governo di Pechino, Apple ha raggiunto un compromesso per evitare sanzioni e continuare a operare nel paese. Una legge nazionale prevede infatti, al pari di quanto succede in Europa, che i dati digitali dei cittadini cinesi restino su server ospitati internamente e non all’estero.

Cosa succede

Dopo qualche mese di trattativa, Apple ha deciso di sottostare al diktat di Pechino, trasferendo i dati del cloud degli utenti del dragone rosso su un data center installato a Guizhou. A differenza di quanto accade dalle nostre parti, dove la normativa europea ha spinto verso lo spostamento dei server delle compagnie intercontinentali per proteggere meglio i diritti dei consumatori UE, la decisione di Cupertino potrebbe creare più di un problema per quanto riguarda la privacy dei clienti in Oriente. Avere, fisicamente, la possibilità di accedere alle informazioni sensibili è una grande vittoria per il governo centrale.

Come anticipato, la modifica delle condizioni riguarda prettamente iCloud, ma è proprio qui che sono conservate le chiavi crittografiche per l’accesso all’account di iTunes e degli altri servizi offerti dalla Mela. La multinazionale avrebbe potuto ribellarsi alle leggi cinesi? Si, assolutamente, con il rischio di essere sbattuta fuori dal paese e perdere così un mercato fondamentale per il suo business. Basti pensare che in Cina Apple detiene l’85% della vendite totali nel settore smartphone premium.

L'articolo Perché Apple porta in Cina le chiavi di iCloud proviene da Data Manager Online.

IBM Security annuncia uno studio che analizza, su scala mondiale, le tendenze dei consumatori rispetto a identità e autenticazioni digitali. Dallo studio emerge che oggi le persone, quando accedono a dispositivi e app, privilegiano la sicurezza rispetto alla praticità. Emergono inoltre differenze generazionali: i giovani adulti riservano meno attenzione alla gestione delle password tradizionali e sono invece più propensi a utilizzare soluzioni di autenticazione biometriche e a più fattori e gestori di password per aumentare la propria sicurezza personale.

Poiché i Millennial diventeranno presto la generazione più rappresentata nell’ambito della forza lavoro, queste tendenze potranno influire sul modo in cui i datori di lavoro e le aziende tecnologiche forniranno l’accesso a dispositivi e applicazioni nel prossimo futuro. Nel complesso, gli intervistati riconoscono i vantaggi che le tecnologie biometriche, quali i lettori di impronte digitali, le scansioni facciali e il riconoscimento vocale, hanno rispetto alla continua crescita delle minacce alla propria identità digitale.

Nel realizzare lo studio Future of Identity gli esperti di IBM Security hanno intervistato quasi 4.000 adulti provenienti da USA, dalla regione Asia-Pacifico (APAC) e dall’Europa per ottenere informazioni sui punti di vista dei consumatori riguardo all’autenticazione. Ecco alcune importanti conclusioni:

• La sicurezza supera la praticità: nell’utilizzo delle applicazioni, in particolare quando si tratta di app legate al denaro, la sicurezza ha la massima priorità.
• La biometria è destinata a diventare dominante: il 67% degli intervistati si sente oggi a proprio agio nell’utilizzare l’autenticazione biometrica, mentre l’87% dichiara che utilizzerà volentieri queste tecnologie in futuro.
• I Millennial sono già oltre le password: sebbene il 75% dei Millennial non abbia problemi con le soluzioni biometriche, meno della metà utilizza password complesse e il 41% riutilizza le stesse password. Le generazioni precedenti mostravano maggiore attenzione nella creazione delle password, ma erano meno inclini ad adottare soluzioni di autenticazione a più o biometriche.
• APAC in testa sul fronte della biometria: gli intervistati nei paesi dell’Asia-Pacifico si sono rivelati i più esperti e quelli maggiormente a proprio agio con l’autenticazione biometrica, mentre gli USA hanno mostrato di essere parecchio indietro in queste aree.

La continua evoluzione delle tecnologie e delle minacce informatiche mette a rischio i tradizionali metodi di accesso basati su password e informazioni personali per autenticare le nostre identità online. Nel 2017, le violazioni di dati hanno rivelato informazioni personali, password e persino numeri di previdenza sociale per milioni di consumatori. A ciò si aggiunge che l’utente medio di Internet gestisce oltre 150 account online che richiedono una password, numero che si prevede salirà a 300 account nei prossimi anni.

“In seguito alle numerose violazioni di dati personali altamente sensibili, non c’è più alcun dubbio che le stesse informazioni che abbiamo utilizzato in passato per dimostrare la nostra identità online sono ora un segreto condiviso nelle mani degli hacker”, ha dichiarato Limor Kessem, Executive Security Advisor, IBM Security. “Poiché i consumatori riconoscono l’inadeguatezza delle password e attribuiscono una maggiore priorità alla sicurezza, i tempi sono maturi per adottare metodi più avanzati in grado di dimostrare l’identità digitale su più livelli e di essere adattati in base al comportamento e al rischio.”

Priorità alla sicurezza e biometria più sicura delle password

I risultati del sondaggio in merito a sicurezza, praticità e privacy mostrano che per la maggior parte delle applicazioni, in particolare per quelle legate al denaro, alla sicurezza viene attribuita maggiore importanza rispetto alla privacy e alla praticità. In particolare:

• La sicurezza è stata ampiamente classificata come la priorità principale per le app relative al settore bancario, agli investimenti e alla gestione del denaro in generale; per queste categorie in media il 70% ha scelto la sicurezza come priorità assoluta, il 16% ha scelto la privacy e il 14% ha scelto la praticità.
• La sicurezza è stata considerata di massima priorità anche per i marketplace, le app per il lavoro e la posta elettronica.
• Per le app dei social media, le priorità sono diverse, con la praticità che ha guadagnato un leggero vantaggio (scelta dal 36%), seguita da sicurezza (34%) e privacy (30%).

Il sondaggio ha esaminato, inoltre, le opinioni dei consumatori sulla sicurezza dei vari metodi di accesso e ha rilevato che alcuni tipi di soluzioni di autenticazione biometrica sono considerate più sicure delle password; tuttavia, sicurezza e privacy rimangono le preoccupazioni principali nell’adozione della biometria.

• Il 44% ha classificato le soluzioni biometriche di rilevazione delle impronte digitali come uno dei metodi di autenticazione più sicuri; password e PIN sono stati considerati meno sicuri (rispettivamente 27% e 12%)
• Le maggiori preoccupazioni delle persone riguardo all’autenticazione biometrica sono la privacy (il modo in cui i dati vengono acquisiti e utilizzati, 55%) e la sicurezza (che altri possano utilizzare dati biometrici falsi per accedere ai propri account, 50%).

Differenza di età: i Millennial utilizzano tecniche più nuove, mentre le generazioni precedenti sono in testa nella gestione delle password

Il sondaggio ha rivelato diverse differenze generazionali quando si tratta di proteggere l’identità personale online. Gli adulti più anziani hanno mostrato abitudini migliori in termini di creazione delle password, mentre le giovani generazioni sono più inclini ad adottare gestori di password, soluzioni di autenticazione a più fattori o biometriche come metodi per proteggere i propri account online. Ciò potrebbe indicare che le giovani generazioni hanno meno fiducia nelle password e cercano invece metodi alternativi per proteggere i propri account.

• Solo il 42% dei Millennial utilizza password complesse che combinano caratteri speciali, numeri e lettere (rispetto al 49% di quelli di età pari o superiore a 55 anni) e il 41% riutilizza la stessa password più volte (rispetto al 31% di quelli di età superiore a 55 anni)
• In media, le persone di età superiore a 55 anni usano 12 password, mentre i post-millennial (età 18-20) usa in media solo 5 password, il che potrebbe indicare un tasso di riutilizzo maggiore
• Per i Millennial esiste una probabilità doppia di utilizzare un gestore di password (34%) rispetto a persone di età superiore a 55 anni (17%)
• È emerso che i Millennial sono più propensi ad attivare l’autenticazione a due fattori in seguito a una violazione (32% contro il 28% della popolazione generale).

I giovani adulti hanno anche mostrato la massima preferenza per la praticità: quasi la metà (47%) degli adulti sotto i 24 anni preferiscono un’esperienza di accesso più veloce a una forma di autenticazione più sicura. Questa potrebbe essere una delle ragioni per cui è più probabile che i giovani adottino l’autenticazione biometrica; infatti, il 75% dei Millennial ha dichiarato di essere favorevole a usare soluzioni di autenticazione biometrica rispetto al 58% di quelli oltre i 55 anni.

Nel mondo: influenza della posizione geografica su utilizzo delle password e prospettive di autenticazione

Il sondaggio ha rilevato che la posizione geografica ha una forte influenza sulla percezione e sulla familiarità con le tecniche di autenticazione emergenti: la regione Asia-Pacifico è la più esperta e quella più disinvolta nell’utilizzo di metodi quali autenticazione a più fattori o biometrica. Gli USA sono i più arretrati in termini di conoscenza e familiarità riguardo alla maggior parte delle categorie. In particolare:

• Gli intervistati nell’APAC sono risultati i più propensi a dichiarare di essere informati sulle soluzioni di autenticazione biometrica (il 61% rispetto al 40% nell’UE e il 34% negli USA).
• È emerso anche che nell’APAC non hanno problemi a utilizzare oggi soluzioni biometriche (78% rispetto al 65% nell’UE e il 57% negli USA)
• L’Europa possiede le migliori prassi nella creazione delle password, con il 52% degli intervistati che utilizza password complesse (contro il 46% nell’APAC e il 41% negli Stati Uniti).
• Il 23% degli intervistati negli USA ha dichiarato di non essere interessato a utilizzare soluzioni di autenticazione biometrica ora o nel prossimo futuro, quasi il doppio della media globale

Il futuro delle identità digitali

L’analisi contenuta nel rapporto di IBM Security indica in dettaglio che gli atteggiamenti rispetto  all’autenticazione delle identità digitali sono molto varie e, sebbene sia in crescita l’accettazione di nuove forme di autenticazione come quelle biometriche, persistono le preoccupazioni, in particolare tra le generazioni meno giovani e le persone negli USA.

IBM consiglia alle organizzazioni di prendere atto di queste preferenze e di avvalersi di piattaforme di autenticazione di identità digitali in grado di offrire agli utenti la possibilità di scegliere tra diverse opzioni, ad esempio consentendo di passare da una notifica push mobile che si avvale di lettori di impronte digitali sul telefono o di un passcode da fornire una tantum. Le organizzazioni possono trovare un equilibrio tra le esigenze di sicurezza e praticità utilizzando anche approcci basati sul rischio, che attivino ulteriori punti di controllo dell’autenticazione in determinati scenari, ad esempio quando segnali comportamentali o attribuzioni di connessione (al livello di dispositivo, posizione geografica, indirizzo IP) segnalano un’attività anomala.

Inoltre, i dati rivelano che le generazioni più giovani danno meno importanza alla gestione delle password tradizionali e questo rappresenta una sfida per datori di lavoro e imprese che gestiscono l’accesso ai dati tramite password da parte di utenti Millennial. Mano a mano che aumenterà il numero dei Millennial e post-Millennial nella forza lavoro, le organizzazioni e le imprese dovranno adattarsi alla propensione delle nuove generazioni per le nuove tecnologie, consentendo un maggiore uso dei dispositivi mobili come fattore di autenticazione primario e integrando approcci che sostituiscano i metodi biometrici o l’utilizzo di token al posto delle password.

L'articolo Il Futuro delle Identità Digitali: i Millennial trasformano il panorama delle soluzioni di autenticazione proviene da Data Manager Online.