Via le vecchie password da Windows

Microsoft e RSA lavorano all'implementazione, nelle più recenti versioni di Windows, di un più robusto sistema di autenticazione che promette sicurezza e semplificazione dei log-in a reti e risorse

San Francisco (USA) - Semplificare e rendere più sicuro il sistema di autenticazione di Windows. È questo l'obiettivo di una collaborazione fra RSA Security e Microsoft volta a spingere negli ambienti aziendali basati su Windows la sicurezza delle tecniche di autenticazione a due fattori in luogo delle tradizionali password statiche.

La partnership prevede che RSA Security renda disponibile per Windows una versione integrata della sua soluzione RSA SecurID, un sistema di log-in che, secondo l'azienda, semplificherà l'autenticazione ai sistemi di rete e garantirà l'accesso alle risorse desktop e di rete aziendali solo agli utenti autorizzati.

La tecnica di autenticazione forte su cui si baserà RSA SecurID per Windows funziona combinando due fattori: qualcosa che solo l?utente conosce, come ad esempio un PIN segreto, e qualcosa che possiede, come un token RSA SecurID che genera una password casuale monouso ogni 60 secondi.
"Gli utenti esprimono insofferenza nel dover ricordare password diverse e sempre nuove, i responsabili IT aziendali si dicono preoccupati dell?insufficiente sicurezza e i costi di gestione dei sistemi tradizionali stanno fuggendo al controllo", ha commentato John Girard, ricercatore Gartner. "L?integrazione di token di autenticazione e sistema operativo offre all?utente il vantaggio di poter digitare una password monouso che non deve ricordare. Inoltre, può effettuare il log-in senza necessità di essere connesso online a un servizio di autenticazione centralizzato".

Con i metodi di autenticazione tradizionali, l'utente deve in genere ricordare più password, diverse a seconda di come e da dove viene effettuato il logging alla rete aziendale. La password per accedere alla rete locale, ad esempio, è solitamente diversa da quella per accedere da remoto mediante una VPN (rete privata virtuale). A questo si aggiunge la necessità di cambiare spesso le password.

Con RSA SecurID per Windows all'utente viene chiesto, in fase di log-in, di digitare nome utente, PIN e password monouso visualizzata dal token. Queste informazioni vengono girate al software RSA ACE/Server, che compie la verifica della correttezza delle credenziali dichiarate dall?utente e, quindi, concede l?accesso. A differenza che con le password statiche, la procedura di autenticazione rimane sempre la stessa indipendentemente da dove e come viene richiesto l?accesso.

Una robusto sistema di autenticazione alle risorse di rete locali è ormai considerato un requisito di sicurezza fondamentale in ambito aziendale. Per tale ragione la collaborazione con RSA rappresenta, secondo gli analisti, un nuovo deciso passo di Microsoft verso il compimento dell'iniziativa Trustworthy Computing.

Il beta testing di RSA SecurID per Windows partirà nel secondo trimestre 2004 e sarà disponibile sul mercato nel terzo trimestre di quest?anno: per funzionare la tecnologia richiederà Windows 2000, XP o Server 2003 con le licenze, i token e le ultime versioni dei software di RSA.
TAG: microsoft
46 Commenti alla Notizia Via le vecchie password da Windows
Ordina
  • Come al solito si crea la legge e poi si crea l'inganno.
    In questo caso l'inganno e' pensare di fare a meno delle password. Cosi' quando si deve dire al consulente di turno di connettersi al server per sistemare un problema in remoto (oppure si devono gestire centinaia di accessi) casca l'asino.
    Cosa si fa'? Gli si da' la secID card? Un certificato (magari spedito per posta elettronica)? Si crea un password temporanea?

    Mah vedete voi. Si fa una grande speculazione su la questione delle password, quando basta avere una porta aperta sbagliata sul pc perche' il mondo ci entri.

    Ciauz.
    non+autenticato
  • Se te ne intendi, capiresti che soluzioni come l'802.1X sono un buon metodo per autenticazione.

    Se agisci poi con un radius e/o un Dynamic Security Layer, sei ancora più a posto..
    opazz
    8666
  • Fa così schifo? Spero che diventi presto uno standard..

    Vista la probabile sempre maggior diffusione di reti WiFi..
    opazz
    8666

  • - Scritto da: opazz
    > Fa così schifo? Spero che diventi
    > presto uno standard..
    >
    > Vista la probabile sempre maggior diffusione
    > di reti WiFi..
    veramente ... e' gia' uno standard!
    che poi qualche pirla continui ad affidare le sue speranze al solo wep significa solo che e' un povero ignorante che finira' (come al solito) a lamentarsi della facilita' con cui le reti sono attcaccabili... bla bla...:D
    non+autenticato
  • Si, il mio "standard" era inteso, come CONSUETUDINE..A bocca aperta
    opazz
    8666
  • Si dice:
    "L?integrazione di token di autenticazione e sistema operativo offre all?utente il vantaggio di poter digitare una password monouso che non deve ricordare".

    E allora che pwd è?
    Se è monouso significa che ogni volta cambia?
    E chi è che la attribuisce?
    E come faccio a sapere qual'è la mia pwd?
    E dove sta la sicurezza maggiore che non col vecchio sistema?

    grazie

  • è il sistema che da anni usiamo in ditta per gli accessi remoti: un token RSA visualizza un codice numerico che cambia ogni minuto, questo unito con un PIN che sai tu è la password
    dall'altra parte cè un sistema allineato che quindi sa quale cifra ha generato il tuo token e controlla il tutto

    ma la cosa ha un suo prezzo non da poco: i token sono sempre attivi quindi consumano pile, il server centrale non è banale e ogni tanto (ma tanto nel senso due-tre anni) occorre risincronizzare i token

    però i vantaggi sono notevoli, anche se qualcuno riesce a sniffarti la password, dopo un minuto (al amssimo) questa decade e non serve più
    inoltre tu devi solo ricordarti 4 cifre ma la sicurezza è a 12 cifre

    - Scritto da: Shpalman
    > Si dice:
    > "L?integrazione di token di autenticazione e
    > sistema operativo offre all?utente il
    > vantaggio di poter digitare una password
    > monouso che non deve ricordare".
    >
    > E allora che pwd è?
    > Se è monouso significa che ogni volta
    > cambia?
    > E chi è che la attribuisce?
    > E come faccio a sapere qual'è la mia
    > pwd?
    > E dove sta la sicurezza maggiore che non col
    > vecchio sistema?
    >
    > grazie
    non+autenticato

  • - Scritto da: Shpalman
    > E allora che pwd è?

    la pass è rappresentata da un numero a 6 o 8 cifre che cambia ogni minuto sul token. Per come funziona attualmente ACE Server, l'utente deve inserire il proprio username, una propria password (statica) e il codice numerico attualmente visualizzato sul token (detto tokencode).

    > Se è monouso significa che ogni volta
    > cambia?

    si

    > E chi è che la attribuisce?

    è calcolato con un algoritmo che tiene in considerazione l'orario attuale e un "seed" che ogni token ha diverso.
    in pratica non esistono 2 token che generano gli stessi tokencode allo stesso momento.

    > E come faccio a sapere qual'è la mia
    > pwd?

    la prima volta che ti loggi la lasci blank e gli dai solo il tokencode, il sistema ti impone impostarne una.

    > E dove sta la sicurezza maggiore che non col
    > vecchio sistema?

    non hai piu un solo fattore (la pass) ma ne hai 2 (la pass + il tokencode)

    Saluti

    >
    > grazie

  • - Scritto da: Skaven
    >
    > > E come faccio a sapere qual'è la mia pwd?
    >
    > la prima volta che ti loggi la lasci blank e
    > gli dai solo il tokencode, il sistema ti
    > impone impostarne una.
    >

    Grazie, ma sono ancora allo stesso punto.
    Metti che io decida che il mio PIN sia 1234.
    Io continuerò ad utilizzare il mio PIN come pwd ad ogni accesso lasciando che il sistema completi con gli altri numeri.

    Se uno mi sniffa la pwd (o la trova casualmente), come fa il sistema a riconoscere che non sono io?

    grazie ancora


  • - Scritto da: Shpalman
    >
    > - Scritto da: Skaven
    > >
    > > > E come faccio a sapere
    > qual'è la mia pwd?
    > >
    > > la prima volta che ti loggi la lasci
    > blank e
    > > gli dai solo il tokencode, il sistema ti
    > > impone impostarne una.
    > >
    >
    > Grazie, ma sono ancora allo stesso punto.
    > Metti che io decida che il mio PIN sia 1234.
    > Io continuerò ad utilizzare il mio
    > PIN come pwd ad ogni accesso lasciando che
    > il sistema completi con gli altri numeri.
    >
    > Se uno mi sniffa la pwd (o la trova
    > casualmente), come fa il sistema a
    > riconoscere che non sono io?
    >
    > grazie ancora
    >
    Quello che non ti è stato chiarito è che il token è un apparecchietto esterno che ti fornisce un codice numerico ogni minuto.
    Come è stato detto questo codice dipende anche dall'apparecchio e sul server viene associato un apparecchio all'utente ed alla sua pwd.
    Devono quindi coincidere contemporaneamente i tre elementi: - l'utente
                     - il codice numerico temporale
                     - la pwd
    Questo introduce una complessità maggiore per il furto di pwd. Inoltre l'utente non cederà il suo token a terzi in quanto non potrà poi accedere più alla rete.
    La cosa che invece farà facilmente è lasciare il token sulla scrivania (gli utenti sono sempre i migliori), magari vicino al post it con la pwd.
    Il costo di tutto questo è infatti sia economico sia organizzativo. Bisogna valutare bene se ne vale la pena.
    non+autenticato
  • > La cosa che invece farà facilmente
    > è lasciare il token sulla scrivania
    > (gli utenti sono sempre i migliori), magari
    > vicino al post it con la pwd.
    > Il costo di tutto questo è infatti
    > sia economico sia organizzativo. Bisogna
    > valutare bene se ne vale la pena.

    Ed è esattamente questo il problema: l'utente si dimenticherà il bellissimo e sicurissimo token sul comodino e in capo a due mesi ti verrà a chiedere una cosa che non serva portarsi in giro. Bah!
    non+autenticato

  • - Scritto da: sammily76
    > > La cosa che invece farà
    > facilmente
    > > è lasciare il token sulla
    > scrivania
    > > (gli utenti sono sempre i migliori),
    > magari
    > > vicino al post it con la pwd.
    > > Il costo di tutto questo è
    > infatti
    > > sia economico sia organizzativo. Bisogna
    > > valutare bene se ne vale la pena.
    >
    > Ed è esattamente questo il problema:
    > l'utente si dimenticherà il
    > bellissimo e sicurissimo token sul comodino
    > e in capo a due mesi ti verrà a
    > chiedere una cosa che non serva portarsi in
    > giro. Bah!


    la risposta a tutto questo: biometria.
    facile, sicuro, unico

    sempre in tasca! (le mani)
    non+autenticato
  • >
    > la risposta a tutto questo: biometria.
    > facile, sicuro, unico
    >
    > sempre in tasca! (le mani)

    Il problema è il lettore biometrico. Con un token in tasca puoi accedere a qualunque computer, anche sprovvisto di lettore. Per le smartcard o le impronte digitali o l'iride o la retina serve un LETTORE, che costa spesso più di un token, che presenta problemi di interfacciamento fisico (seriale? usb? firewire?)

    Col token semplifichi l'infrastruttura, col biometrico la complichi ma semplifichi la vita agli utilizzatori.
    non+autenticato

  • - Scritto da: Anonimo

    > Col token semplifichi l'infrastruttura, col
    > biometrico la complichi ma semplifichi la
    > vita agli utilizzatori.

    gli utonti, quelli che annotano le password sui PostIT, lasciano in giro alla mercè di chiunque questi token.
    non+autenticato

  • - Scritto da: Anonimo
    >
    > - Scritto da: sammily76
    > > > La cosa che invece farà
    > > facilmente
    > > > è lasciare il token sulla
    > > scrivania
    > > > (gli utenti sono sempre i
    > migliori),
    > > magari
    > > > vicino al post it con la pwd.
    > > > Il costo di tutto questo è
    > > infatti
    > > > sia economico sia organizzativo.
    > Bisogna
    > > > valutare bene se ne vale la pena.
    > >
    > > Ed è esattamente questo il
    > problema:
    > > l'utente si dimenticherà il
    > > bellissimo e sicurissimo token sul
    > comodino
    > > e in capo a due mesi ti verrà a
    > > chiedere una cosa che non serva
    > portarsi in
    > > giro. Bah!
    >
    >
    > la risposta a tutto questo: biometria.
    > facile, sicuro, unico
    >
    > sempre in tasca! (le mani)
    Mhhh... ah si? e come si cambia una credenziale biometrica compromessa?
    E quale e' il suo livello di confidenzialita'? dato chee e' un dato misurabile (bio-metria) da chiunque anche senza il consenso del "misurato" ?
    La biometria pone diverse e iriisolte questioni di sicurezza e riservatezza ... in compenso pero' non ne risolve nessuna!.A bocca aperta
    non+autenticato

  • - Scritto da: Anonimo
    >
    > - Scritto da: Anonimo
    > >
    > > - Scritto da: sammily76
    > > > > La cosa che invece farà
    > > > facilmente
    > > > > è lasciare il token
    > sulla
    > > > scrivania
    > > > > (gli utenti sono sempre i
    > > migliori),
    > > > magari
    > > > > vicino al post it con la pwd.
    > > > > Il costo di tutto questo
    > è
    > > > infatti
    > > > > sia economico sia
    > organizzativo.
    > > Bisogna
    > > > > valutare bene se ne vale la
    > pena.
    > > >
    > > > Ed è esattamente questo il
    > > problema:
    > > > l'utente si dimenticherà il
    > > > bellissimo e sicurissimo token sul
    > > comodino
    > > > e in capo a due mesi ti
    > verrà a
    > > > chiedere una cosa che non serva
    > > portarsi in
    > > > giro. Bah!
    > >
    > >
    > > la risposta a tutto questo: biometria.
    > > facile, sicuro, unico
    > >
    > > sempre in tasca! (le mani)
    > Mhhh... ah si? e come si cambia una
    > credenziale biometrica compromessa?
    Non per essere polemico, ma come pensi si possa compromettere una credenziale biometrica ? (tipo impronte digitali o scanning dell' iride)
    > E quale e' il suo livello di
    > confidenzialita'? dato chee e' un dato
    > misurabile (bio-metria) da chiunque anche
    > senza il consenso del "misurato" ? Non vedo dove sia il problema ... non penso tu possa riprodurre un' iride o un' impronta digitale sulla base di alcune sue misure ...
    > La biometria pone diverse e iriisolte
    > questioni di sicurezza e riservatezza ... in
    > compenso pero' non ne risolve nessuna!.A bocca aperta
    non+autenticato
  • La Tecnologia SecurID di RSA è disponibile per Windows da anni e anni, non vedo perche chiamarla news... a me pare solo uno strano tipo di pubblicita!

    PS: 1 token RSA costa qualcosa tipo 70$ o piu...
  • Perché adesso, come si dice nella news, ne faranno una versione completamente integrata con il sistema di autenticazione di Windows. Grazie alla collaborazione con MS, RSA potrà accedere al codice sorgente di Windows.

    - Scritto da: Skaven
    > La Tecnologia SecurID di RSA è
    > disponibile per Windows da anni e anni, non
    > vedo perche chiamarla news... a me pare solo
    > uno strano tipo di pubblicita!
    >
    > PS: 1 token RSA costa qualcosa tipo 70$ o
    > piu...
    non+autenticato
  • - Scritto da: Anonimo
    > Perché adesso, come si dice nella
    > news, ne faranno una versione completamente
    > integrata con il sistema di autenticazione
    > di Windows.

    aaahhh ecco! mi era sfuggito questo fondamentale dettaglio!Sorride

    certo che con quello che costa tutto cio' che vende RSA... a parte le banche (che hanno un sacco di soldi da buttare in stronzate) non vedo chi sara cosi folle da adottare questa soluzione...

    ==================================
    Modificato dall'autore il 25/02/2004 2.18.02
  • Lo usa già Accenture in tutto il mondo
    non+autenticato

  • - Scritto da: Anonimo
    > Lo usa già Accenture in tutto il mondo

    ah roba per tutti quindi...


    non è forse meglio avere un sistema GRATUITO che funziona da dio, su tutte le postazioni?

    robusto e potente senza dover sempre pagare e pagare e pagare di nuovo?


    cmq ho capito che il topic era "lo usano già"
    non+autenticato
  • Come no... qualcosa di gratuito e che funziona da dio, e che sia anche facile e sicuro... e che intanto fa il caffè...

    Se esiste, lo voglio! Link link link!
    Se non esiste, è fiato sprecato.
    non+autenticato
  • > ah roba per tutti quindi...
    >
    >
    > non è forse meglio avere un sistema
    > GRATUITO che funziona da dio, su tutte le
    > postazioni?
    >
    > robusto e potente senza dover sempre pagare
    > e pagare e pagare di nuovo?

    si certo..
    qualcosa di nuovo, un gioco e del cioccolato...

    cosi magari quando lo apri dentro c'ha la sorpresa vero?
    ma piantala
    tu lavoreresti gratis?
    non+autenticato

  • - Scritto da: Anonimo
    >
    > si certo..
    > qualcosa di nuovo, un gioco e del
    > cioccolato...
    >
    > cosi magari quando lo apri dentro c'ha la
    > sorpresa vero?
    > ma piantala
    > tu lavoreresti gratis?

    Tu forse confondi il lavoro col frutto del lavoro.
    Io lavoro e pretendo di essere pagato per il tempo che dedico al lavoro, non certo per quello che produco.

    Il software ha il grosso vantaggio che una volta sviluppato, poi il suo costo tende a zero. Io mi faccio pagare solo il tempo che ci ho messo e solo una volta.

    non+autenticato
  • "Gli utenti esprimono insofferenza nel dover ricordare
           ^^^^^
    password diverse e sempre nuove, i responsabili IT aziendali si dicono preoccupati dell?insufficiente sicurezza e i costi di gestione dei sistemi tradizionali stanno fuggendo al controllo", ha commentato John Girard, ricercatore Gartner

    Si dice utonti.

    non+autenticato
  • Pedalare.
    non+autenticato
  • Moderatore, lasci sul forum post come questi? Nulla di strano se poi ti inondano di flame e di OS Wars... parli di argomenti qualunque e dopo due livelli di thread si è lì a discutere se è meglio win-lin-mac-bsd o sun...
    non+autenticato
CONTINUA A LEGGERE I COMMENTI
Successiva
(pagina 1/2 - 8 discussioni)