Multi-Factor Authentication (MFA): l’unico modo per proteggersi dal furto di password

26/08/2019
Di Thomas Pedersen, Onelogin founder – 21 Agosto 2019

 

La minaccia

Ogni anno miliardi di credenziali vengono sottratte e alla fine si presentano sul web oscuro per essere sfruttate da qualsiasi hacker. Ciò mette a rischio i tuoi dati aziendali, anche se ritieni che le violazioni delle catene alberghiere e delle compagnie aeree non influiscano sulla tua organizzazione.

Il modo più semplice per un hacker di accedere a dati sensibili è entrare dalla porta principale; con nome utente e password dei dipendenti. Il tuo team di sicurezza non ha visibilità dell’attività di accesso dannoso nelle app cloud della tua organizzazione e questo abuso dilaga. I tuoi dati aziendali sono a rischio a causa di due tipi di attacchi.

Attacchi password stuffing   

Gli hacker sfruttano il fatto che molti utenti scelgono ancora password deboli che sono combinazioni di caratteri comuni o parole del dizionario normale, come “123456” e “password”.

Enormi reti di bot consentono agli hacker di distribuire i loro attacchi su milioni di IP, volando sotto il radar dei team di sicurezza delle singole organizzazioni. Gli hacker sanno che statisticamente avranno successo ogni 10.000 tentativi.

Basta un singolo attacco riuscito alla tua organizzazione prima che un hacker ottenga l’accesso alla posta elettronica e sia in grado di acquisire ulteriori privilegi impersonando il tuo dipendente. Anche se il dipendente non è un utente privilegiato, le possibilità di lanciare con successo un tentativo di phishing contro un utente privilegiato sono molto più elevate quando può essere fatto da un indirizzo e-mail all’interno dell’azienda.

Acquisizione di account VIP                                                                                                                                             

Quando gli hacker vogliono bersagliare un individuo mirato, come un dirigente o un utente privilegiato, non ci vuole molto sforzo per vedere se una delle password trapelate in una dump precedente possa funzionare per quella stessa persona nella tua organizzazione. Cercare mille diverse combinazioni di nome utente / password non è un grande sforzo se la ricompensa è grande, ed è così che le organizzazioni vengono compromesse ogni giorno.

La soluzione

Anche una password complessa può essere intercettata. Richiedere agli utenti di autenticarsi con più fattori è l’unico modo per proteggersi dal furto di password. OneLogin offre una varietà di fattori di autenticazione forti che semplificano la protezione della tua specifica popolazione di utenti. Con OneLogin, potrai scegliere quali fattori di autenticazione sono più adatti per la tua organizzazione e consentire agli utenti di registrare più fattori per supportare diversi casi d’uso.

OneLogin Protect 

Protect è l’app mobile di OneLogin per iPhone e Android che consente agli utenti di accedere con la semplice pressione di un pulsante. Protect è ideale sia per utenti desktop che per utenti puramente mobili. Protect utilizza la comunicazione out of band per prevenire attacchi man-in-the-middle ed è stato rafforzato per rilevare telefoni con jailbreak e impedire la clonazione tramite backup.

Come ulteriore vantaggio, puoi utilizzare Protect direttamente con applicazioni di terze parti, come Facebook, Gmail e Instagram.

Biometria

OneLogin è in grado di funzionare direttamente con l’autenticazione biometrica del laptop, come Hello World su PC e Touch ID su Mac. L’autenticazione biometrica supportata da hardware non è solo molto sicura, ma offre anche un’eccellente usabilità.

L’infrastruttura a chiave pubblica PKI può essere utilizzata come un fattore di autenticazione molto forte che fornisce anche una buona esperienza utente. OneLogin può sia rilasciare certificati di dispositivo sia lavorare con certificati già distribuiti sui tuoi dispositivi. Affidandoti solo ai dispositivi con certificati, puoi assicurarti che le applicazioni siano accessibili solo tramite dispositivi approvati dall’azienda che hanno installato la protezione antimalware richiesta.

SMS e voce

Alcuni dei tuoi dipendenti potrebbero non avere uno smartphone o non essere disposti a usarlo per lavoro. OneLogin ti consente di inviare un codice monouso tramite SMS da inserire durante la procedura di accesso, oppure effettuare una telefonata in cui inserire un numero visualizzato sulla pagina di accesso di OneLogin.

Domande di sicurezza

Per gli utenti che non dispongono di dispositivi mobili, le domande sulla sicurezza possono essere una soluzione. Disponibili in più di 20 lingue, gli utenti possono scegliere il proprio set di domande e risposte di sicurezza.

Fornitori di terze parti

Se l’organizzazione ha già distribuito MFA da un altro fornitore, spesso questo può essere utilizzato immediatamente con OneLogin.                                                                                                                                                                                    L’elenco dei fornitori supportati include:

  • Google Authenticator
  • Windows Authenticator
  • Yubikey
  • Duo Security
  • RSA SecurID
  • Symantec VIP
  • Fornitori conformi a WebAuthn

 

Conclusione

La migliore protezione contro il furto di password e il riutilizzo della password è l’autenticazione a più fattori. Senza di essa, la tua azienda è seriamente a rischio di violazione. Con tutte le diverse opzioni MFA disponibili oggi, non ci sono scuse!

PUBBLICATO DA:<br>Fabrizio Bressani
PUBBLICATO DA:
Fabrizio Bressani
Managing Director, DotForce

ARTICOLI CORRELATI

7 suggerimenti per fermare gli hacker del Wi-Fi

7 suggerimenti per fermare gli hacker del Wi-Fi

La sicurezza perimetrale non è più sufficiente per le reti di oggi. Questo perché ci sono tanti modi per aggirare il tuo robusto firewall e semplicemente entrare dalla porta sul retro. Alcuni dei metodi utilizzati dagli hacker per aggirare le difese perimetrali...

Come capire se una mail ha subito spoofing

Come capire se una mail ha subito spoofing

L'email spoofing è la creazione di e-mail con un indirizzo mittente contraffatto, e ha l'obiettivo di indurre il destinatario a fornire denaro o informazioni sensibili. Se la tua azienda utilizza un dominio registrato per la propria e-mail, è probabile che tu ne abbia...