Riassunti

L'autenticazione è il processo di verifica dell'identità di un utente o di un client. I siti web sono potenzialmente esposti a chiunque sia connesso a Internet. Ciò rende i meccanismi di autenticazione robusti parte integrante di un'efficace sicurezza Web.

Esistono tre tipi principali di autenticazione:

• qualcosa che sai, come una password o la risposta a una domanda di sicurezza (fattori di conoscenza);
• qualcosa che hai, ovvero un oggetto fisico come un telefono cellulare o un token di sicurezza (fattori di possesso);
• qualcosa che sei o fai, ad esempio, i tuoi dati biometrici o modelli di comportamento (fattori di inerenza).

Differenza tra autenticazione e autorizzazione

• L'autenticazione è il processo di verifica che un utente sia chi dichiara di essere.
• L'autorizzazione implica la verifica se a un utente è consentito fare qualcosa.

Autenticazione basata su password

Gli utenti forniscono credenziali (nome utente e password) che il sistema confronta con quelle memorizzate.

Strategie di attacco e contromisure:

• Attacchi al dizionario offline: Uso di elenchi di password comuni confrontati con hash rubati. Contromisura: impedire l'accesso ai file delle password.
• Attacchi specifici all'account: Phishing o ingegneria sociale mirata. Contromisura: blocco dell'account dopo 5 tentativi falliti.
• Attacchi alle password più diffuse: Tentativi di usare password deboli (es. "123456") su molti account. Contromisura: inibire l'uso di password comuni.
• Workstation hijacking: Accesso fisico a una sessione già aperta. Contromisura: invalidare le sessioni dopo un periodo di inattività.

Password con hash e salt

Una password con hash è trasformata in una stringa univoca non reversibile.

• Salting: Aggiunta di un valore casuale (il "salt") prima dell'hashing per rendere uniche le password simili e prevenire attacchi con "rainbow table".
• Bcrypt: Un moderno schema di hashing che include una variabile di costo per rallentare il cracking brute-force.

Token Protocol

Insieme di procedure che utilizzano stringhe uniche (token) invece delle sole password.

1. Token di accesso: Usato per accedere alle risorse senza reinviare le credenziali (es. OAuth 2.0).
2. Scadenza: Token a breve termine (accesso) e a lungo termine (refresh token).
3. Autenticazione stateless: Come i JWT, contengono informazioni crittografate sull'utente senza che il server debba mantenere lo stato della sessione.
4. Revoca: Necessità di invalidare token in caso di compromissione.

Vulnerabilità comuni

• Brute-force: Tentativi automatizzati per indovinare credenziali. Può essere facilitato da nomi utente prevedibili (es. email aziendali o "admin").
• Enumerazione dello username: Identificare se un nome utente è valido osservando differenze nei:
  • Codici di stato HTTP.
  • Messaggi di errore.
  • Tempi di risposta (es. il server impiega più tempo se l'utente esiste perché deve controllare la password).
• Protezione brute-force difettosa: Blocchi IP che possono essere aggirati ruotando l'IP o blocchi account che possono essere sfruttati per l'enumerazione.
• Credential stuffing: Uso di coppie username:password rubate da altri siti.

Autenticazione multifattoriale (2FA)

Aggiunge un livello di sicurezza richiedendo un secondo fattore.

• Bypass semplici: A volte il sito carica la pagina "protetta" subito dopo il primo passaggio, senza verificare il completamento del secondo.
• Logica difettosa: Ad esempio, poter modificare il cookie dell'account durante l'invio del codice 2FA per accedere all'account di un'altra vittima.
• Attacchi SMS: Soggetti ad abusi tramite intercettazione o SIM swapping.

Reimpostazione password

Processo intrinsecamente pericoloso.

• Tramite URL: Deve usare token ad alta entropia. Se l'URL usa solo parametri indovinabili (es. ?user=victim), un aggressore può cambiare la password di chiunque.
• Password brute-force via password change: Sfruttare moduli di modifica password che espongono il nome utente in campi nascosti.