Argo's New Dreams

Mentre il colosso di Redmond spinge verso un futuro passwordless, troppi responsabili IT restano ancorati a pratiche obsolete e controproducenti. Analizziamo perché, anche alla luce delle riflessioni emerse su Argo’s New Dreams.

La recente notizia che Microsoft sta impostando i nuovi account per essere “passwordless” di default non è solo un annuncio tecnologico, ma un segnale forte: il mondo della sicurezza informatica sta cambiando radicalmente. Eppure, nel percorso professionale di molti consulenti e addetti ai lavori, capita ancora di imbattersi in responsabili IT fermamente convinti di “verità” ormai superate, se non dannose. Una delle più comuni? L’idea che una password complessa, cambiata frequentemente, sia il baluardo definitivo della sicurezza, magari sminuendo l’efficacia dell’autenticazione a più fattori (MFA). È ora di fare chiarezza, supportati da evidenze e linee guida ufficiali, integrando anche alcune riflessioni già esplorate in passato sul tema della sicurezza aziendale.

Il Mito #1: “Cambiare Spesso la Password Aumenta la Sicurezza”

Quante volte abbiamo sentito la frase: “Qui obblighiamo a cambiare la password ogni 30/60/90 giorni, deve essere complessa, con maiuscole, minuscole, numeri e simboli!”? Sembra logico: una password che cambia spesso è più difficile da indovinare o craccare nel tempo. Purtroppo, la realtà è ben diversa.

Numerosi studi e organismi internazionali hanno dimostrato che obbligare al cambio frequente delle password spesso riduce la sicurezza complessiva. Perché?

1. Comportamento Umano Prevedibile: Gli utenti, costretti a cambiare password regolarmente, tendono a creare schemi prevedibili. Aggiungono un numero progressivo alla fine (PasswordMaggio24!, PasswordGiugno24!), cambiano solo una lettera o un simbolo, oppure scelgono password più semplici da memorizzare, vanificando la complessità richiesta.
2. Aumento del Rischio di Scrittura: Password complesse e cambiate di frequente aumentano la probabilità che gli utenti le scrivano su post-it, file di testo non protetti o le memorizzino in modo insicuro. Questo comportamento, purtroppo diffuso, vanifica molte delle politiche di sicurezza imposte.
3. Focus Sbagliato: Concentrarsi sulla frequenza di cambio distoglie l’attenzione da minacce più reali come il phishing, il malware o il riutilizzo della stessa password su più siti. Inoltre, come discusso anche nell’articolo “L’adozione di strumenti di AI come copilot mi obbliga a rivedere la mia postura relativa alla sicurezza in azienda?”, la sicurezza moderna richiede un approccio più olistico che vada oltre la semplice gestione delle password.

Cosa dicono le fonti ufficiali? Il NIST (National Institute of Standards and Technology) degli Stati Uniti, un punto di riferimento globale per le linee guida sulla cybersecurity, nelle sue Special Publication 800-63B (Digital Identity Guidelines), ha rimosso la raccomandazione di richiedere cambi password periodici arbitrari. Consiglia invece di richiedere un cambio solo se ci sono prove di compromissione dell’account. Come specificato nelle loro FAQ, alla domanda se la scadenza delle password è ancora raccomandata, la risposta cita la sezione 5.1.1.2: “I verificatori NON DOVREBBERO richiedere che i segreti memorizzati vengano cambiati arbitrariamente (es. periodicamente). […]”.

• Fonte Diretta (Linee Guida NIST): NIST Special Publication 800-63B (Vedere sezione 5.1.1.2 Memorized Secrets)
• Fonte (FAQ Ufficiali NIST): NIST SP 800-63 Digital Identity Guidelines – FAQ (Vedere domanda/risposta B05)

Il Mito #2: “L’Autenticazione a Due Fattori (MFA) Non è Sicura Quanto una Password Complessa Cambiata Spesso”

Questa affermazione è semplicemente errata e pericolosa. L’autenticazione a più fattori (MFA o 2FA) aggiunge un livello di sicurezza fondamentale che una password, per quanto complessa, non può fornire da sola. Come già sottolineato in “L’adozione di strumenti di AI come copilot mi obbliga a rivedere la mia postura relativa alla sicurezza in azienda?”, l’MFA richiede tipicamente “qualcosa che sai” (la password), più “qualcosa che hai” (uno smartphone con un’app authenticator, un token fisico, una chiave FIDO) o “qualcosa che sei” (impronta digitale, riconoscimento facciale).

Perché l’MFA è superiore? Anche se un malintenzionato riuscisse a rubare la password (tramite phishing, malware, data breach), non potrebbe accedere all’account senza il secondo fattore, che è tipicamente legato a un dispositivo fisico in possesso dell’utente.

Fonti e Dati:

• Microsoft stessa dichiara che l’MFA blocca oltre il 99,9% degli attacchi di compromissione dell’account. Questo dato è stato ribadito in diverse comunicazioni ufficiali.
  • Fonte (Microsoft): One simple action you can take to prevent 99.9 percent of attacks on your accounts – Microsoft Security Blog  
• Agenzie come la CISA (Cybersecurity and Infrastructure Security Agency) negli USA e l’ENISA (European Union Agency for Cybersecurity) in Europa raccomandano fortemente l’adozione dell’MFA come una delle misure di sicurezza più efficaci. Questo si collega anche al tema più ampio della preparazione alla cybersecurity, un’area in cui, come discusso in “Cybersecurity, impreparato un addetto aziendale europeo su 2”, c’è ancora molta strada da fare in Europa.

Sostenere che l’MFA sia “meno sicuro” di una password complessa cambiata spesso significa ignorare completamente il panorama delle minacce moderne, dove il furto di credenziali è all’ordine del giorno. Anzi, con un sistema MFA robusto implementato, la necessità di cambi password frequenti e obbligatori diventa ancora meno rilevante, come suggerito implicitamente anche dalle linee guida NIST.

Il Futuro è Passwordless: Perché è Veramente Più Sicuro

L’iniziativa di Microsoft verso il passwordless non è un capriccio tecnologico, ma la logica evoluzione della sicurezza. I sistemi passwordless (come Windows Hello con biometria, app Microsoft Authenticator per approvazione push, chiavi di sicurezza FIDO2) eliminano del tutto l’elemento più debole della catena: la password creata e ricordata dall’utente.

Vantaggi del Passwordless:

1. Elimina il Phishing Basato su Password: È molto più difficile (se non impossibile) ingannare un utente per fargli rivelare la sua impronta digitale o fargli approvare un accesso tramite un’app su un dispositivo che non ha avviato lui. I sistemi basati su standard come FIDO sono progettati per essere resistenti al phishing.
2. Elimina il Rischio di Password Deboli/Riutilizzate: Il problema alla radice viene rimosso.
3. Migliora l’Esperienza Utente: Accessi più rapidi e meno frustranti (niente password dimenticate o bloccate).
4. Si Basa su Standard Solidi: Tecnologie come FIDO2 sono standard aperti e sicuri progettati specificamente per sostituire le password.

• Fonte (Microsoft): Passwordless authentication | Microsoft Security

Il passwordless, spesso, incorpora intrinsecamente l’autenticazione a più fattori. Ad esempio, usare Windows Hello richiede il dispositivo (qualcosa che hai) e il tuo volto/impronta (qualcosa che sei). L’intelligenza artificiale gioca un ruolo crescente anche in questi sistemi, migliorando il riconoscimento biometrico e rilevando tentativi di accesso anomali, come esplorato nell’articolo “AI e Sicurezza: Come l’Intelligenza Artificiale Sta Rivoluzionando la Cybersecurity”.

Conclusione: Abbracciare il Cambiamento o Rimanere Indietro

Il panorama della sicurezza IT è in continua evoluzione. Aggrapparsi a pratiche come il cambio password obbligatorio e frequente, sminuendo l’MFA, non è solo obsoleto, ma dannoso. È un approccio che ignora le evidenze, le linee guida di enti autorevoli come il NIST e le statistiche fornite da leader di settore come Microsoft.

La mossa di Microsoft verso il passwordless di default è un invito a tutti i professionisti IT a riconsiderare le proprie strategie. È tempo di:

• Implementare l’MFA ovunque possibile. È la singola misura più efficace contro la compromissione degli account.
• Seguire le linee guida moderne (NIST): Abbandonare i cambi password periodici non giustificati e concentrarsi sul monitoraggio delle compromissioni e sulla robustezza delle password (lunghezza).
• Iniziare a esplorare e adottare soluzioni passwordless. Rappresentano il futuro della sicurezza degli accessi, offrendo maggiore protezione e una migliore usabilità.

Continuare a difendere pratiche superate non protegge l’azienda; al contrario, la espone a rischi inutili, spesso frustrando gli utenti nel processo. Come professionisti IT, dobbiamo abbracciare il cambiamento e guidare le nostre organizzazioni verso un futuro più sicuro e moderno. Il futuro è già qui, ed è (quasi) senza password.