L’autenticazione ha lo scopo di riconoscere l’utente. Normalmente si fa ricorso ad una username, in genere pubblica, e di una password, il segreto.

Per garantire la sicurezza la password deve rispondere a politiche di complessità di cambio periodico e ovviamente di segretezza. Purtroppo il proliferare di password e la scarsa formazione dell’utente porta a scrivere il segreto su post-it incollati sotto la tastiera, se non sopra il video,  o la condivisione della password con colleghi, facendo crollare i livelli di sicurezza.

Per ridurre questi inconvenienti ci sono diverse soluzioni.

• Occorre sensibilizzare l’utente all’importanza della procedura di autenticazione. Molti spesso non conoscono la propria usermane, che rimane proposta e fissa nella maschera di login e non sono consci della necessità di autenticarsi: la ritengono una noia.
• Alcuni risorse di autenticazione, tipicamente directory, sono facilmente riutilizzabili e integrabili con processi aziendali, riducendo così le fonti di autenticazione
• L’uso di procedure di Single Sign-On o gestione identità, favoriscono i processi di gestione delle utenze e, se ben introdotti in azienda, svincolano l’onere del manager IT portandolo, in modo semplificato verso ruoli aziendali più titolati. Se pensi ad esempio l’assunzione o l’allontanamento di un dipendente, chi meglio dell’ufficio risorse umane ne conosce i dettagli.

Tecnicamente si devono valutare le risorse di autenticazione, spesso Active Directory, eDirectory o database relazionali come SQL Server o mySQL e migliorare  la conoscenza delle risorse a cui accedere.

Un meccanismo semplice di autenticazione, e spesso trascurato è LDAP. Banalizzando, una meccanismo di autenticazione fa ricorso ad un directory per memorizzare i dati dell’utente, il directory è un database a struttura gerarchica, non relazionale, normalmente ottimizzato per essere letto. Di contro in database relazionale è formato da tabelle a campi fissi ed è ottimizzato per operazioni di lettura e scrittura in ugual misura, ma anch’esso può essere una sorgente di autenticazione.

LDAP è un metodo di accesso a tali database, meglio se directory. Active Directory e eDirectory sono accessibili, oltre che con librerie ad hoc, anche con LDAP, in modo semplice e sicuro.

Molti applicativi permettono una autenticazione via LDAP, e quindi possono essere agganciati a directory esistenti. Nella valutazione di un applicativo, la possibilità di autenticazione con meccanismi standard, come LDAP, è importante e deve rientrare nel merito di scelta della procedura.

Allo stesso modo le applicazioni sviluppate internamente all’azienda, è bene facciano ricorso a metodi LDAP, più che a funzioni proprietarie per accedere a AD, eDirecory o DB relazionali. Si aumenta la standardizzazione e l’integrazione fra sistemi.

Bisogna sottolineare che una unica fonte di autenticazione, non riduce il numero di autenticazioni, che è legato al numero di applicazioni a cui si deve accedere, ma consente di avere una unica identità, quindi una sola username ed una sola password.

L’autorizzazione, seppur integrata con l’autenticazione, è un processo molto differente. Una volta riconosciuto l’utente, bisogna accertarsi che questo possa accedere alle sole risorse che gli competono. Le informazioni necessarie per questo processo sono strettamente legate all’applicativo e alle prestazioni dello stesso: ogni volta che si desidera accedere ad un dato occorre verificare l’autorizzazione dell’utente.

Ad esempio un file system (fs), ha meccanismi di autorizzazione che sono propri, si pensi ad NTFS di Microsoft o a EXT3 di Linux. In alcuni casi, FAT, l’autorizzazione al fs non è prevista e l’accesso è libero a chiunque. Analogo discorso per accedere alla posta o ad un portale web.

Per ridurre la complessità della definizione dei permessi è bene, ove possibile, non dare permessi all’utente, ma consentirne l’eredità in base all’appartenenza a gruppi definiti con criteri funzionali. Il gruppo avrà in questo caso i permessi per accedere alla risorsa. Si presume che il numero di gruppi sia inferiore al numero di utenti, e comunque consentono di abbinare il permesso ad una funzione e non ad un utente. Si può parlare anche di profili e di appartenenza ad un profilo, ma il concetto è analogo.

I  gruppi hanno l’ulteriore vantaggio di poter essere integrati  e gestiti attraverso directory , quindi con i meccanismi descritti nella autenticazione.

L’accounting consente di tracciare l’utilizzo delle risorse. Chi ha fatto cosa. Importante anche per legge per conoscere,  ad esempio gli accessi dell’amministratore di sistema (L. 133/200 del 27 Novembre 2008). I requisiti di legge sono i minimi richiesti, ma molto utile è anche correlare dati per scoprire se un account ha fatto accessi in orari o da luoghi ‘strani’ o la verifica di azioni sospette come un accesso da una rete pubblica mentre l’utente risulta, dalla timbratura cartellini, ancora presente in azienda.

La complessità da superare è dovuta alla disomogeneità dei dati raccolti. Ogni applicazione genera log, spesso in formato testo, con tracciati record proprietari, difficilmente leggibili e voluminosi.

Per utilizzare agevolmente i dati di accounting non c’è che da far ricorso a procedure in grado di armonizzare i dati in formati univoci e in grado di correlare fonti differenti.

Ulteriore azione, richiesta per legge, è la non ripudiabilità dei dati, ovvero una forma di memorizzazione, in genere attraverso una firma elettronica, per garantire la veridicità dei dati ovvero che i dati non sono stati manomessi.

Il server Radius (Remote Authentication Dial-In User Service) è un servizio dedicato ai meccanismi di autenticazione, autorizzazione ed accounting.
Di fatto implementa un protocollo standard che permette l’autenticazione di numerose applicazioni e dispositivi di rete: modems, DSL, access points, VPNs, network ports, web servers.
Radius si occupa solo dei meccanismi AAA [7], non dispone di un proprio database per memorizzare le credenziali, ma può appoggiarsi a servizi esterni come LDAP, SQL, Active Directory, eDirectory o un semplice file di testo.
Negli impieghi più elementari, un elenco di nome-utente e password può essere sufficiente, ma numerose altre informazioni possono essere gestite. Ad esempio un ISP (Internet Service Provider) può usare RADUS, non solo per autenticare gli accessi alla propria rete, ma anche per definirne i parametri di funzionamento come, ad esempio, un limite di banda: in questo caso viene usata la capacità di autorizzazione del protocollo AAA.
I meccanismi di autorizzazione usati da RADIUS possono essere diversi, uno dei più frequenti è la gestione del protocollo 802.1x per l’accesso fisico alle porte (media) di una infrastruttura di rete IEEE 802 (in sostanza eternet) siano queste cablate o wireless.

Per accedere ad una rete occorre connettersi ad una porta, il classico cavo di rete oppure ad un filo ‘virtuale’ come un collegamento radio via access point.
Per garantire la sicurezza, nel caso di una rete cablata, può essere sufficiente il controllo dell’accesso ai locali dove sono presenti le prese di rete ma, nel caso del wireless, la rete si estende un modo difficilmente controllabile anche all’esterno dell’area di pertinenza.
Per il wireless i meccanismi di accesso possono essere sostanzialmente due: l’uso di una password condivisa e conosciuta (pre shared Key) o attraverso servizi di autenticazione come il RADIUS. Per usi personali / domestici una password è sufficiente, ma in situazioni più complesse, con diversi punti di accesso,  sistemidi autenticazione centralizzati sono indispensabili per garantire un buon grado di sicurezza.
Uno di questi meccanismi è definito dallo standard 802.1x che non propone metodi precisi ma piuttosto una struttura di supporto architetturale che lo rende versatile. Di fatto 802.1x è diventato lo  standard per l’autenticazione alle reti attraverso l’utilizzo di protocolli esistenti come EAP (Extensible Authentication Protocol).
[8]Attivando l'autenticazione, quando un nodo (WN) si connette ad una rete protetta, questo non è in grado di fare alcuna operazione, come accedere ad un DHCPo ai vari servizi. Per connettersi, il nodo invia una richiesta di autenticazione (1). La richiesta è intercettata dallo switch o dall’access point, al quale il nodo è connesso. La richiesta non può essere inoltrata direttamente al server di autenticazione (il RADIUS). Fa da tramite l’autenticatore (2): ancora lo switch o l’access point. Se l’autenticazione va a buon fine la porta alla quale il dispositivo è collegato, viene abilitata al traffico di rete (3). 802.1x, EAP ed altri protocolli definiscono nei dettagli questo meccanismo.
L’identità del nodo e del server di autenticazione è importante per la sicurezza, fra i diversi metodi implementati da EAP (EAP-MD5, Lightweight EAP, EAP-TLS, EAP-TTLS, Protected EAP -PEAP-, EAP-MSCHAPv2), diversi fanno uso di certificati X.509 per garantire l’identità del server e del nodo che accede alla rete, evitando attacchi del tipo men in middle, dove un dispositivo estraneo alla rete viene interposto ed usato per intercettare dati.

La soluzione 802.1x, con l’uso di RADIUS, si presta bene ad applicazioni di mobilità e l’autenticazione sui vari access point.

Operare scelte che riducono le fonti di autorizzazione e, di conseguenza, il numero di utenti da gestire è molto utile, come utile è formare l'utente e renderlo conscio dei processi di identificazione, che non sono necessariamente uno strumento di controllo, ma una esigenza di sicurezza.

La complessità tecnologica, il numero dei sistemi, le leggi e tanto altro rendono comunque complesso la gestione dei vari meccanismi necessari ad implementare e gestire l'identità.

In auto vengono alcuni strumenti e applicazioni che alleggeriscono la gestione delle identità e l’accesso ai sistemi migliorando anche il livello di sicurezza.

Alcuni di questi strumenti come il Single Sign-On forniscono un beneficio all’utenza, mentre altri all’amministratore dei sistemi e al management aziendale.

Di seguito vengono descritti sommariamente alcuni meccanismi, ritenuti interessanti, senza la pretesa di coprire l'intera casistica.