World Password Day 2021: perché la sicurezza delle password è importante

Il World Password Day, che viene osservato ogni anno il primo giovedì di maggio, è un ottimo promemoria per ricordare che le password continuano a svolgere un ruolo chiave nel mantenere sicuri i sistemi e i dati online. Il World Password Day è il momento perfetto per riconoscere l’importanza dell’umile password e raddoppiare gli sforzi per mantenere sicure le nostre password e la nostra identità digitale.

La cattiva gestione delle password è dilagante

Poiché le password sono ancora molto importanti e lo saranno per il prossimo futuro, sia gli individui che le organizzazioni devono tenerle al sicuro. Tuttavia, il Workplace Password Malpractice Report di Keeper, condotto a febbraio, dimostra che la negligenza sulle password sta lasciando le organizzazioni vulnerabili ai cyberattacchi. Ecco alcuni dei punti salienti:

Più della metà dei dipendenti americani (57%) sta attualmente scrivendo le password relative al lavoro su post-it, e il 67% ha perso questi foglietti adesivi in passato, rendendo impossibile sapere chi alla fine ha accesso a informazioni aziendali potenzialmente sensibili.
Nel frattempo, il 62% degli intervistati usa un quaderno o un diario per memorizzare login e password, e la stragrande maggioranza (82%) afferma di tenere questi quaderni accanto o vicino ai propri dispositivi di lavoro.
Questo è diventato ancora più un problema dato che molti americani continuano a lavorare da casa. La maggior parte dei lavoratori (66%) dice che è più probabile che scriva le password relative al lavoro mentre lavora da casa, piuttosto che in ufficio. Oltre a scrivere le password relative al lavoro, i dipendenti statunitensi stanno anche salvando i loro login elettronicamente in una varietà di modi che presentano un rischio significativo. Quasi la metà (48,9%) sta salvando le password relative al lavoro in un documento nel cloud.
La metà degli intervistati (51%) dice che attualmente salvano le loro password in un documento sul loro desktop, mentre più della metà degli intervistati (55%) attualmente salvano le password relative al lavoro sul loro telefono.

Le password sono ancora importanti, anche quando si usa la biometria

La “tecnologia senza password”, come gli scanner biometrici, dipende ancora dalle password per autenticare gli utenti. Gli scanner di impronte digitali, il riconoscimento facciale e dell’iride non “sostituiscono” le password; fanno solo in modo che gli utenti finali non debbano digitarle in continuazione. La password viene ancora usata per l’autenticazione; l’utente finale semplicemente non la vede.

Notate che quando si imposta la biometria, l’autenticatore richiede all’utente di scegliere una password o un PIN. Oltre a permettere all’utente finale di bypassare la biometria e digitare la password o il PIN, la password o il PIN sono richiesti. Uno sguardo a come funzionano le cose dietro le quinte dimostra il perché:

L’utente finale scansiona la sua impronta digitale, l’iride o il viso.
L’autenticatore biometrico determina se la scansione corrisponde a ciò che ha in archivio.
In caso di esito positivo, l’autenticatore decifra la password dell’utente dal portachiavi del dispositivo e la trasmette all’app, che esegue un’autenticazione finale basata su quella password.

Le password legate a questi dati biometrici possono essere indovinate o rubate. I database contenenti dati biometrici possono essere e sono stati violati. Mentre una password può essere cambiata se viene rubata, un’impronta digitale, l’iride o il volto no. Per queste ragioni, la biometria non dovrebbe mai essere usata come opzione di login a sé stante, ma solo come parte di una configurazione di autenticazione a più fattori.

Anche le migliori tecnologie senza password si basano su una buona gestione delle password e una piattaforma di crittografia forte

Le migliori tecnologie “senza password” si basano ancora sulla sicurezza della password e sulla piattaforma di crittografia come le soluzioni di Keeper. Oltre a compilare automaticamente le password (e anche i codici 2FA) su siti web e app, Keeper genera automaticamente password forti e casuali, rendendo facile per gli utenti utilizzare password forti e uniche per ogni sito. Come con gli autenticatori biometrici, le password sono ancora lì, ma gli utenti non devono memorizzarle tutte, e sono memorizzate all’interno di una cassetta di sicurezza a cui si può accedere da qualsiasi dispositivo. Keeper supporta il login biometrico con Windows Hello, Touch ID e Face ID per un comodo accesso.

Fonte: Keeper Security

Data Breach a Verkada e l’importanza della sicurezza delle password in un mondo sempre più digitalizzato

Mentre le organizzazioni spendono milioni di dollari in tecnologie di sicurezza informatica, troppe aziende stanno ancora trascurando le basi. Secondo Verizon, oltre l’80% dei cyberattacchi riusciti sono riconducibili a password deboli o compromesse. Questo include il recente cyberattacco a Verkada, che ha compromesso circa 150.000 telecamere di videosorveglianza, compresi i feed situati negli impianti di produzione Tesla, la sede centrale di Cloudflare e gli uffici distaccati, e una serie di ospedali, prigioni e scuole, come riportato in ComputerWeekly.

Nel caso di Verkada, non è stata compromessa una password qualsiasi. Come riportato da Dark Reading, si trattava di una password “super admin” che garantiva un accesso quasi illimitato non solo a tutte le telecamere di sorveglianza di Verkada, ma anche ai suoi sistemi più sensibili. E c’è di peggio. Secondo Dark Reading, questa password è stata condivisa da oltre 100 utenti interni a Verkada.

Si tratta di tante persone a cui concedere l’accesso “super admin”, soprattutto perché la maggior parte delle organizzazioni stanno adottando ambienti di sicurezza zero-trust. Tra le altre salvaguardie, lo zero-trust impone che ai dipendenti sia dato l’accesso ai sistemi con il “minimo privilegio”; questo significa che ad ogni dipendente è concesso solo l’accesso ai sistemi sufficiente per eseguire il proprio lavoro, e non di più.

Mentre il mondo si digitalizza, i rischi informatici crescono

La pandemia COVID-19 ha accelerato di diversi anni gli sforzi di trasformazione digitale delle organizzazioni. Questo include la distribuzione di dispositivi Internet of Things (IoT) come le telecamere di sorveglianza. Ci sono già più dispositivi IoT che persone sulla Terra, e Cisco stima che entro il 2023, i dispositivi IoT supereranno gli esseri umani di tre volte.

Mentre le aziende di soluzioni di sicurezza lanciano nuove tecnologie nei prossimi anni, è fondamentale che i leader organizzativi non perdano di vista il passo più semplice ma più importante per proteggere i loro sistemi e dispositivi: proteggere le password dei loro dipendenti.

Ecco alcune lezioni sulla sicurezza delle password che abbiamo imparato dal Data Beach a Verkada

Richiedere che tutti i dipendenti usino password forti e uniche per ogni account legato al lavoro e abilitare l’autenticazione a più fattori (2FA) su tutti gli account che la supportano.
Implementare il controllo di accesso basato sui ruoli (RBAC) con accesso con il minor numero di privilegi. È difficile concepire uno scenario in cui 100 dipendenti abbiano bisogno di un accesso “super admin”.
Distribuire un gestore di password in tutta l’azienda e richiedere ai dipendenti di usarlo.

La piattaforma di gestione e sicurezza delle password Zero Trust di Keeper offre agli amministratori IT una visibilità completa delle pratiche relative alle password dei dipendenti, consentendo loro di monitorare l’uso delle password e applicare le politiche di sicurezza delle password in tutta l’organizzazione. I controlli di accesso permettono agli amministratori di impostare le autorizzazioni dei dipendenti in base ai loro ruoli e responsabilità, nonché di impostare cartelle condivise per singoli reparti, team di progetto o qualsiasi altro gruppo.

Keeper richiede solo pochi minuti per l’implementazione, richiede una gestione minima e può essere scalato per soddisfare le esigenze di organizzazioni di qualsiasi dimensione.

Fonte: Keeper Security

Wandera aggiunge un’altra funzionalità alla sicurezza aziendale

In qualità di Enterprise Mobile Security provider, Wandera prende seriamenti in considerazione la sicurezza dei propri clienti.
La loro soluzione gestisce ogni giorno più di due miliardi di dati in entrata ed offre agli amministratori una visibilità e un controllo sempre maggiore dei propri dispositivi mobili.
Wandera sa quanto siano sensibili i dati che gestisce e continua a garantire il massimo livello di protezione per i propri utenti. Ecco perché ha rilasciato l’autenticazione a due fattori (2FA) per gli amministratori del portale RADAR.

Che cos’è l’autenticazione a due fattori?
L’autenticazione a due fattori è un processo di verifica a due passaggi che garantisce che noi e solo noi possiamo accedere al nostro account. Oltre ad un semplice login tramite username e password, 2FA richiede un codice aggiuntivo o un token da immettere, che possiede solo l’utente. Il token viene generalmente generato in tempo reale da un altro dispositivo dell’utente.
2FA è cresciuta in popolarità, soprattutto tra le imprese. Poiché le minacce informatiche continuano ad avanzare e gli attacchi diventano più frequenti, una semplice combinazione di username e password, per alcune organizzazioni, non è più sufficiente.

Autenticazione a due fattori di Wandera
L’autenticazione a due fattori di Wandera, per il proprio portale online RADAR, consente agli amministratori di aggiungere quel livello extra di sicurezza al loro login.
Questa funzionalità può essere configurata con qualsiasi applicazione di generazione di codici temporanei TOTP (Time-based Password One-Time Password).

Tra i più popolari:

Per iPhone: Google Authenticator, Duo Mobile, 1Password, Authy
Per Android: Google Authenticator, Duo Mobile, Authy
Per Windows Mobile 10: Microsoft Authenticator, Duo Mobile

Una volta configurato il servizio, gli amministratori dovranno inserire il codice generato nel loro successivo accesso al portale.
E’ inoltre disponibile l’opzione per essere ricordati su una macchina specifica (se non si vuole generare un codice ogni volta che si esegue il login).Se questa opzione è selezionata, gli amministratori saranno obbligati a inserire il codice TOTP solo se cambiano il browser o non hanno inserito un codice per un certo periodo di tempo.

Fonte: Wandera