Password o sistemi di riconoscimento biometrico per gestire l’autenticazione degli utenti? Sempre più aziende si stanno ponendo questa domanda mettendo sul piatto della bilancia pro e contro delle due tecnologie.
Riconoscimento biometrico cos’é?
Con sistema di riconoscimento biometrico si intende un sistema informatica progettato con lo scopo di identificare una persona in base a determinate caratteristiche fisico-biologiche e comportamentali (in base alla biometria, appunto). Un sistema di riconoscimento biometrico vanta funzionalità caratterizzate da sofisticati algoritmi e sensori che gli consentono di confrontare i dati precedentemente acquisiti con gli input di volta in volta trasmessi.
Dati biometrici esempi
I dati biometrici sono quelli che riguardano particolari caratteristiche fisiche e comportamentali dei vari individui.
Esempi di dati biometrici fisiologici sono le impronte digitali, la conformazione del volto, il colore e la forma dell’iride, la retina, la forma dell’orecchio ma anche il palmo della mano eccetera.
Esempi di dati biometrici comportamentali sono il timbro della voce, la scrittura (in particolare la firma), lo stile di battitura sulla tastiera…
Password vs autenticazione biometrica
La password consiste in una parola che abilita all’accesso di un sistema o di un servizio. Si tratta solitamente di un insieme di lettere e numeri che solitamente è associato a un ID (codice identificativo segreto) oppure a una mail. La password rappresenta un metodo abbastanza semplice di autenticazione, alla portata di qualsiasi dispositivo, contrariamente a quanto accade nel caso dell’autenticazione biometrica che richiede determinati device. Ma non solo come vedremo più nello specifico qui di seguito.
I livelli di sicurezza sono ovviamente diversi, soprattutto se si fa un cattivo uso delle password da parte degli utenti. In questo articolo come creare una password sicura e anche alcuni esempi di parole chiave.
Pro e contro di un sistema di riconoscimento biometrico
I sostenitori della biometria insistono soprattutto sul fatto che queste soluzioni offrono più sicurezza e una migliore user experience. Adrian Asher, CISO del London Stock Exchange Group, che sta promuovendo con decisione l’utilizzo di impronte digitali e riconoscimento facciale nell’azienda in cui lavora, definisce l’autenticazione tramite password una tecnologia “antiquata e imperfetta” e spiega che la falla alla base di questo sistema è che mette gli esseri umani in una posizione di svantaggio. Si richiede loro lo sforzo di ricordare password sempre più lunghe e complesse mentre per i computer è possibile indovinare queste stesse password rapidamente. Si pensi alle battaglie che combattono gli esperti di sicurezza per educare gli utenti alla costruzione di password difficili da violare.
L’autenticazione biometrica non crea questo paradosso e come tale è secondo il CISO “più efficiente e più efficace”. Asher, così come in generale tutti i fervidi sostenitori della biometria, insistono soprattutto sul fatto che questa offre due vantaggi chiave, ovvero una maggiore sicurezza e una migliore esperienza utente. E molte imprese sembrano aver deciso di approfittare di questi benefici se si considerano i dati di alcune ricerche sul tema già di qualche tempo fa. Il 60% delle aziende intervistate per il “Global State of Information Security Survey 2018” di PwC (figura 1) dichiara di adottare sistemi biometrici.
Vantaggi e svantaggi di un sistema di riconoscimento biometrico
La posizione degli esperti di sicurezza non è però sempre netta come nel caso di Asher. Molti riconoscono i vantaggi della biometria, ma non trascurano l’esistenza di alcune criticità. Tra questi Richard Kneeley, Managing Director, Cybersecurity and Privacy della stessa PwC U.S. vede i sistemi biometrici solo come uno degli strati necessari a costruire, in abbinamento con altre tecnologie, un sistema di sicurezza efficace. Egli fa notare che è con questa logica che l’implementazione di piattaforme biometriche si sta diffondendo. Ovvero secondo un modello che le vede in abbinamento, e non in sostituzione, ad altre misure di sicurezza “tradizionali”.
Gli svantaggi
Secondo Kneeley, e chi come lui ha posizioni più moderate sul tema, la biometria per la sicurezza presenta delle problematiche che non possono essere ignorate.
- Non è infallibile. Varie ricerche hanno dimostrato che le tecnologie dell’impronta digitale, della retina e del riconoscimento vocale non sono immuni ad errori.
- Genera criticità sul piano della privacy. Non tutti gli utenti si sentono a proprio agio con queste soluzioni. Anche le persone che nella loro vita privata usano l’autenticazione tramite impronte digitali per accedere ai propri smartphone. A volte si rifiutano di permettere alle loro aziende di scansionare i loro volti.
- Il danno è alto se le informazioni biometriche archiviate vengono rubate. In caso di incidente informatico gli utenti possono cambiare le loro password. Ma se lo stesso avviene in ambito biometrico non possono modificare impronte digitali, retine o volti.
- Può generare problemi sul piano dell’integrazione. Per alcune imprese può essere complesso implementare piattaforme biometriche nella pletora di dispositivi che hanno distribuito ai lavoratori e integrarle con le misure di sicurezza esistenti.
I vantaggi
C’è chi tuttavia sostiene si tratti di problematiche reali, ma superabili. Ricordiamo brevemente come Asher ribatte ad alcuni di questi punti.
- I dati biometrici possono non essere infallibili ma offrono una sicurezza migliore a costi inferiori rispetto a un diffuso utilizzo di password.
- Gli utenti reticenti possono diventare più collaborativi se gli si dà la possibilità di scegliere tra diversi sistemi biometrici. Per esempio, le impronte digitali in alternativa alla scansione facciale, percepita come più invasiva.
- Per abbattere i rischi in caso di violazione esistono soluzioni di sicurezza biometrica, tra cui quelle di Veridium, scelte da Ascher per il London Stock Exchange Group, che evitano di trattenere in un unico spazio tutte le informazioni biometriche. Memorizzano solo una metà dei dati di ciascun dipendente mentre l’altra parte resta sul dispositivo dell’utente.
