211service.com
Più password, più problemi
È facile ricordare un nome utente e una password. Mantenere cinque o dieci di fila è molto più difficile. Il sovraccarico di password ha afflitto a lungo i tecnici, ma poiché tutti passiamo più tempo a fare qualsiasi cosa, dallo shopping alle operazioni bancarie, ai giochi sul Web, è diventato un problema più diffuso.
Diverse aziende stanno cercando di combattere il problema. Gli approcci vanno dai gestori di password che proteggono i tuoi dati di accesso con una password principale a metodi che eliminano la necessità di più password in primo luogo.
Al 2007 studia di Microsoft Research ha esplorato la forza, la frequenza e l'utilizzo delle password appartenenti a 500.000 utenti di computer. Lo studio ha rilevato che ogni persona aveva una media di 6,5 password che usava per 25 diversi account online, il che significa che ogni password veniva riciclata circa quattro volte.
Cinque anni dopo, la maggior parte di noi ha molti più account a cui accedere da computer desktop, smartphone e tablet. Ma probabilmente non siamo migliori nel trovare password sicure, quelle che non possono essere facilmente indovinate o decifrate usando un computer e, come mostrano le violazioni della sicurezza di alto profilo in siti Web come LinkedIn ed eHarmony, le password deboli mettono le nostre identità online a rischio.
Lo strumento più comune per organizzare un eccesso di password è il gestore di password, ma poche persone le usano, afferma Cormac Herley , autore dello studio Microsoft Research del 2007. Una startup chiamata Dashlane spera di cambiare questo, con una semplice gestione delle password e uno strumento di compilazione automatizzata dei moduli che, a suo dire, può rendere più facile fare acquisti online. Dashlane crittografa e archivia le password sul computer o sullo smartphone di un utente. Quindi solo la password principale, che non è memorizzata sui server di Dashlane, può essere utilizzata per accedere alle informazioni.
La società è emersa da un beta test privato ad aprile e Daniela Perdomo, direttore della crescita degli utenti di Dashlane, afferma che attualmente ha centinaia di migliaia di utenti che hanno archiviato collettivamente 1,5 milioni di password con il suo software desktop e smartphone (la maggior parte utilizza una versione gratuita del servizio). Afferma che la tecnologia di compilazione automatica dei moduli di Dashlane è accurata dal 90 al 95 percento delle volte.
Il punto debole qui, ovviamente, è dimenticare la tua password principale. Ma l'approccio rende anche più difficile per gli altri accedere ai tuoi dati semplicemente rubando il tuo dispositivo. E la configurazione di un gestore di password potrebbe ispirarti a rendere più sicure le tue password individuali, sapendo che ora dovrai solo ricordare quella password principale per accedere a tutti i tuoi account sul tuo computer. Perdomo riconosce che la maggior parte delle persone non è pronta a essere proattiva riguardo a password deboli o identiche. Alla persona media non importa finché non viene hackerata, dice, facendo eco all'opinione di diversi esperti di sicurezza.
Un altro svantaggio fondamentale dei gestori di password è che spesso devono essere installati e sincronizzati su ogni dispositivo che utilizzi per accedere ai tuoi account. Questo potrebbe essere utile se sei sul computer di casa o di lavoro, ma meno se sei a casa di un amico.
È probabile che avrai il tuo smartphone con te, però. Anche questo sta entrando in gioco come un modo per bilanciare la sicurezza e la convenienza dell'accesso. Questa è l'idea alla base ID telefono , che gli ingegneri del software Mike Thomas e Vahur Roosimaa hanno creato all'inizio di settembre in occasione di un hackathon, una maratona di eventi di programmazione in cui i programmatori hanno nuove idee, ospitato dal blog di tecnologia TechCrunch. Attualmente un prototipo, PhoneID ti consente di accedere a siti Web con il tuo computer desktop utilizzando lo smartphone per scansionare un codice QR sullo schermo, afferma Thomas. In questo modo, non dovresti mai digitare un nome utente e una password.
La prima volta che visiti un sito Web partecipante sul tuo computer desktop, sullo schermo viene visualizzato un codice QR. Scansionandolo con il tuo telefono, il tuo computer richiederà al tuo computer di chiedere il tuo numero di telefono e PhoneID invierà al tuo telefono cellulare un SMS su cui è possibile fare clic per accedere al sito e autenticarti. Nelle visite successive, la scansione di un codice QR sullo schermo ti consentirà di accedere immediatamente.
PhoneID richiede che un sito web aggiunga diverse righe di codice. E sebbene possa essere configurato per funzionare con siti in cui disponi già di un account e una password, attualmente è orientato alla creazione di un nuovo account su un sito. Thomas afferma che l'approccio potrebbe evitare che i siti Web debbano archiviare e proteggere le informazioni sulla password e impedire ai consumatori di ricordare le proprie credenziali di accesso. Anche per chi è tecnicamente esperto, tenere traccia di tutte le tue password è difficile, dice.
L'analista di Gartner Gregg Kreizman pensa che soluzioni come PhoneID diventeranno più comuni man mano che le aziende sfrutteranno le fotocamere, i sensori e le capacità di geolocalizzazione degli smartphone. Queste funzionalità potrebbero aiutare fornendo altri modi per autenticare gli utenti, afferma.
E se potessimo semplicemente ridurre del tutto le password? Gli esempi esistenti più popolari di questo approccio sono Facebook Connect e Accedi con Twitter, due servizi che ti consentono di accedere a siti Web con le tue credenziali di Facebook o Twitter. Ciò rende le cose convenienti per gli utenti, garantendo anche ai siti l'accesso ad alcune delle tue informazioni personali. Tuttavia, non è così sicuro. Un altro approccio è arrivato di recente da Intel, che, all'Intel Developer Forum, ha annunciato un piano dal suono futuristico per autenticare le persone leggendo i modelli delle vene.
Una startup chiamata OneID ha un'idea diversa Richiede ai siti Web di utilizzare il proprio metodo di accesso, che utilizza la crittografia a chiave pubblica, una tecnologia di sicurezza che crittografa e decrittografa i dati utilizzando due tipi di chiavi appartenenti a ciascuna delle parti, una tenuta segreta e l'altra pubblicata apertamente, e la conoscenza dei dispositivi utilizzati per proteggere accedi con un solo clic.
Il fondatore di OneID Steve Kirsch, che ha anche fondato il motore di ricerca Infoseek, afferma che quando un utente preme un pulsante OneID su un sito Web, il sito invia la propria chiave pubblica al computer dell'utente. Tale chiave viene quindi inoltrata a un server OneID, che può effettuare una rapida determinazione in base alle specifiche del sito Web e alle preferenze dell'utente su ciò che deve accadere dopo, se è necessaria un'ulteriore autenticazione o se all'utente può semplicemente essere consentito di accedere al sito.
Gli utenti OneID non devono impostare una password. Tuttavia, un'app per smartphone che approva attività ad alto rischio come gli acquisti online richiede un PIN. Mentre qualcuno potrebbe ancora rubare il tuo computer e quindi accedere ad alcuni siti Web a bassa sicurezza che non richiedono l'autenticazione a due fattori, potresti disabilitare l'accesso OneID di quel dispositivo da remoto per fermare la violazione.
OneID è in procinto di implementare la sua tecnologia, anche se la società non è stata in grado di nominare alcun sito che la stia utilizzando. Kirsch afferma che l'azienda sta cercando siti, come aziende di e-commerce e banche, che richiedono un'elevata sicurezza. Mentre ci provano e le persone vedono i risultati, sempre più persone ci provano, dice Kirsch.
Moxie Marlinspike , un ricercatore di sicurezza informatica con sede a San Francisco, afferma che i single sign-on che si concentrano sulla sicurezza sono una vendita difficile. La maggior parte di questi siti non vede la comodità di non dover gestire un nome utente e una password come un vero vantaggio, dice, e se scelgono di abilitarne uno in genere andranno con le opzioni di Facebook o Twitter poiché ciò darà loro l'accesso ad alcune delle informazioni sociali di un utente.
Marlinspike pensa che per indurre gli utenti a cambiare i propri comportamenti, gli sviluppatori dovranno continuare a lavorare per rendere la sicurezza il più invisibile possibile. Ma, dice, le password saranno probabilmente con noi per un po'.