Autenticazione fuori banda

L'autenticazione fuori banda migliora la sicurezza utilizzando un canale di comunicazione separato, o "banda", per l'autenticazione rispetto al canale o al dispositivo primario utilizzato. Questa modalità si contrappone all'"autenticazione in banda": l'invio delle credenziali sullo stesso canale in banda, mentre un canale indipendente e separato "fuori banda" viene utilizzato per un'ulteriore fase di autenticazione.

In termini più semplici, out-of-band significa che l'autenticazione è indipendente dal dispositivo, per cui anche se un dispositivo è compromesso, l'autenticazione non lo è.

La soluzione biometrica facciale di iProov sfrutta una vera e propria autenticazione fuori banda. Il processo di autenticazione avviene nel cloud anziché sul dispositivo dell'utente. Questo separa il piano di autenticazione dal piano del dispositivo.

I vantaggi di questa architettura includono:

• Sicurezza contro i dispositivi compromessi: Se un aggressore ottiene l'accesso completo al dispositivo di un utente, il processo di autenticazione fuori banda rimane sicuro poiché l'autenticazione viene elaborata indipendentemente dal dispositivo; è isolata dal dispositivo compromesso.
• Evitare le vulnerabilità in banda: L'autenticazione in banda offre meno sicurezza di quanto si pensi. Ad esempio, se un'organizzazione invia password una tantum (OTP) a un'azienda che compromesso dispositivo mobile compromesso per autenticare un individuo, il codice OTP non fornisce in realtà alcuna sicurezza aggiuntiva. Il malintenzionato può copiare gli OTP generati via e-mail, autenticatore o SMS su quel dispositivo perché vengono inviati al dispositivo a cui il truffatore ha già accesso. L'accesso al dispositivo garantisce l'accesso all'OTP. Si tratta di una vulnerabilità critica.
• Convenienza per l'utente finale: L'autenticazione biometrica basata su cloud consente di fornire una vera autenticazione fuori banda senza richiedere l'uso di più dispositivi. Ciò massimizza la convenienza per l'utente rispetto ad altri flussi di utenti; immaginate che qualcuno inserisca la propria password sul desktop ma non abbia con sé il telefono (o lo perda del tutto): in questo momento è completamente escluso dal processo di autenticazione, il che diminuisce le percentuali di successo.

Rimangono vulnerabilità cruciali se tutti i fattori di autenticazione sono ancora centralizzati sullo stesso dispositivo. Ad esempio, se un utente acquista qualcosa tramite un'applicazione mobile e il fornitore dell'applicazione invia un codice SMS al dispositivo mobile per verificare l'acquisto, il codice SMS non fornisce in realtà alcuna sicurezza aggiuntiva: il codice viene inviato allo stesso dispositivo ed è quindi "in-band". Se il dispositivo è stato compromesso, l'OTP è inutile.

iProov parte dal presupposto che il dispositivo non sia affidabile e completa l'autenticazione in modo sicuro e privato nel cloud, quindi è indipendente dal dispositivo utilizzato. Anche se un malintenzionato avesse pieno accesso al dispositivo di un altro, il processo di autenticazione rimarrebbe sicuro.

Le organizzazioni dovrebbero adottare un approccio globale e multilivello alla sicurezza. Lo scenario ideale è quello di decentralizzare i segnali di identità su più fonti affidabili, combinando l'autenticazione fuori banda con la biometria e altri segnali raccolti in modo indipendente da diversi canali sotto il monitoraggio di un centro operativo di sicurezza.