La crittografia ha fatto davvero passi da gigante negli ultimi anni ma ciò non è bastato ad aumentare la sicurezza collegata alle password usate da milioni e milioni di persone. Il perché? Semplice: non c’è cifratura che tenga se si usa come password la parola… “password”!
E, se Google ne inventa di tutti i colori per scoraggiare gli utenti ad usare le comuni password, c’è qualcuno che vuole fare molto di più: il consorzio W3C, che praticamente decide il futuro del web, ha inaugurato un nuovo gruppo che agirà con l’intento di creare modalità innovative d’accesso eliminando il bisogno della password.
Il suo nome è “Web Authentication Working Group Charter” e l’obiettivo principale è quello di abolire le frasi mnemoniche, incoraggiando l’utilizzo di modalità alternative come l’autenticazione a due fattori e tramite dispositivo.
L’idea, al momento, è quella di creare un’API per il browser che permetta ai servizi online di usare una coppia di chiavi di autenticazione che possano provare l’identità dell’utente basandosi sul dispositivo da cui si accede: per questo nuovo standard verrà usato il framework FIDO 2.0 (FIDO sta per Fast Identification Online), una specifica già esistente di cui vi abbiamo parlato già in passato.
In pratica, al momento il primo accesso avverrebbe tramite l’interazione con lo smartphone – che sarebbe il mezzo con cui certificare la propria identità; in caso di smarrimento, le credenziali così ottenute non sarebbero più attive a meno di non eseguire una nuova registrazione – è proprio questo il collo di bottiglia di questa proposta, segno evidente che c’è bisogno di molti raffinamenti prima di giungere a qualcosa di definitivo.
A capo del gruppo unito dal W3C figurano i nomi di Richard Barnes, capo della sicurezza di Firefox a Mozilla, e Anthony Nadalin, Partner Architect a Microsoft. Il nuovo standard dovrebbe essere pronto entro Dicembre 2016, sebbene ci vorrà molto più tempo affinché venga soltanto avviato un impiego definitivo nel browser.
Quindi la morte delle password non è immediata ma sapere che a muoversi in tal senso è un organo come il W3C, in un periodo in cui c’è ancora chi usa come frase d’accesso “123456”, a me dà un certo sollievo.
E a voi?
