Au­ten­ti­ca­zio­ne Kerberos: spie­ga­zio­ne

In un mondo sempre più di­gi­ta­liz­za­to, dove i dati privati e com­mer­cia­li sono im­ma­gaz­zi­na­ti e trasmessi elet­tro­ni­ca­men­te, la cri­mi­na­li­tà in­for­ma­ti­ca è un problema sempre più grande. At­tra­ver­so l’uso dell’in­tel­li­gen­za ar­ti­fi­cia­le, gli hacker trovano sempre più modi per ot­ti­miz­za­re i loro attacchi. Per questo motivo, criptare i dati at­tra­ver­so procedure di sicurezza elet­tro­ni­ca è più im­por­tan­te che mai. Scoprite qui cos’è l’au­ten­ti­ca­zio­ne Kerberos, come funziona e quali sono i pro e i contro.

Kerberos è un servizio di au­ten­ti­ca­zio­ne che viene uti­liz­za­to in reti di computer aperte o non sicure. Per esempio, il pro­to­col­lo di sicurezza autentica le richieste di servizio tra due o più host af­fi­da­bi­li su una rete non af­fi­da­bi­le come Internet. Per l’au­ten­ti­ca­zio­ne delle ap­pli­ca­zio­ni client-server e la verifica delle identità degli utenti, si uti­liz­za­no delle codifiche crit­to­gra­fa­te e una terza parte af­fi­da­bi­le (anche chiamata Trust Third Party).

Kerberos è un progetto open source del Kerberos Con­sor­tium. Le sue origini risalgono agli anni ‘80, quando il Mas­sa­chu­setts Institute of Tech­no­lo­gy (MIT) ha svi­lup­pa­to il pro­to­col­lo per il progetto Athena. Oggi, Kerberos è la tec­no­lo­gia di au­to­riz­za­zio­ne standard di Microsoft Windows. Tuttavia, esistono im­ple­men­ta­zio­ni di Kerberos anche per altri sistemi operativi come Apple OS, FreeBSD, UNIX e Linux. Microsoft ha in­tro­dot­to la sua versione del pro­to­col­lo Kerberos in Windows 2000. Poi è diventato il pro­to­col­lo standard anche per i siti web e le im­ple­men­ta­zio­ni di single sign-on su varie piat­ta­for­me.

Gli utenti, i computer e i servizi che usano Kerberos si affidano al KDC, che fornisce due funzioni in un unico processo: au­ten­ti­ca­zio­ne e as­se­gna­zio­ne di ticket. I co­sid­det­ti “ticket KDC” au­ten­ti­ca­no tutte le parti ve­ri­fi­can­do l’identità di tutti i nodi, i punti di partenza e di arrivo delle con­nes­sio­ni logiche. Nel fare ciò, il processo di au­ten­ti­ca­zio­ne Kerberos utilizza la con­ven­zio­na­le crit­to­gra­fia a chiave segreta, che impedisce ai pacchetti di dati trasmessi di essere letti o mo­di­fi­ca­ti. In questo modo sono anche protetti da in­ter­cet­ta­zio­ni e attacchi a ri­pe­ti­zio­ne.

Kerberos e NTLM sono pro­to­col­li di rete che formano un sot­to­grup­po della famiglia Internet Protocol (IP). Entrambi sono metodi di au­ten­ti­ca­zio­ne che usano il TCP (Tran­smis­sion Control Protocol) o l’UDP (User Datagram Protocol). NTLM sta per NT LAN Manager ed è stato svi­lup­pa­to prima di Kerberos. Si tratta di un pro­to­col­lo di au­ten­ti­ca­zio­ne challenge-response in cui il computer di de­sti­na­zio­ne richiede una password, che viene poi ve­ri­fi­ca­ta e me­mo­riz­za­ta come hash per ulteriori usi.

Una delle maggiori dif­fe­ren­ze tra Kerberos e NTLM è la verifica da parte di una terza parte. Quindi Kerberos ha una funzione di crit­to­gra­fia più forte di NTLM perché il passaggio ag­giun­ti­vo aggiunge un ulteriore livello di sicurezza. NTLM at­tual­men­te può essere decifrato con relativa facilità, ed è per questo che è con­si­de­ra­to non sicuro e non dovrebbe più essere usato. Tuttavia, entrambi i pro­to­col­li di au­ten­ti­ca­zio­ne sono ancora im­ple­men­ta­ti nel modulo di au­ten­ti­ca­zio­ne di Windows.

Il Security Support Provider (SSP) Negotiate, che agisce come livello di ap­pli­ca­zio­ne tra la Security Support Provider Interface (SSPI) e gli altri SSP, sceglie au­to­ma­ti­ca­men­te tra l’au­ten­ti­ca­zio­ne Kerberos e NTLM in un processo di ne­go­zia­zio­ne. Se di­spo­ni­bi­le, viene usato il pro­to­col­lo Kerberos, al­tri­men­ti NTLM.

Mentre Kerberos è so­li­ta­men­te im­ple­men­ta­to nei prodotti Microsoft da Windows 2000 e Windows XP, ci sono altri pro­to­col­li di sicurezza comuni per la na­vi­ga­zio­ne web, la mes­sag­gi­sti­ca e la posta elet­tro­ni­ca. Il pro­to­col­lo di sicurezza SSL o TLS, ad esempio, cripta la con­nes­sio­ne tra un server web e un browser. Questo assicura che tutti i dati trasmessi rimangano protetti e non possano essere letti. Proprio come Kerberos, SSL funziona con il pro­to­col­lo TCP, ma utilizza un metodo di crit­to­gra­fia a chiave pubblica.

Come già detto, Kerberos è molto più sicuro di NTLM. In effetti, l’au­to­riz­za­zio­ne tramite terza parte lo rende uno dei pro­to­col­li di verifica più sicuri nel mondo dell’in­for­ma­ti­ca. Inoltre, le password non vengono mai inviate in rete in formato testuale. Le “chiavi segrete” sono trasmesse nel sistema solo in forma criptata. Kerberos rende molto facile anche il trac­cia­men­to di chi ha richiesto che cosa e quando.

Pro­to­col­li precisi e tra­spa­ren­ti sono es­sen­zia­li per gli audit di sicurezza all’interno di aziende grandi e piccole. Questi per­met­to­no di avere anche un ec­cel­len­te controllo dell’accesso al registro. Il servizio permette inoltre agli utenti e ai sistemi di servizio di au­ten­ti­car­si a vicenda. A ogni passo del processo di au­ten­ti­ca­zio­ne, sia gli utenti che i sistemi server sanno di avere a che fare con una con­tro­par­te autentica. E nel corso degli anni, molti esperti di sicurezza hanno cercato di hackerare il progetto open source, il che ha portato a mi­glio­ra­men­ti continui.

Ma na­tu­ral­men­te Kerberos ha anche dei punti di debolezza. Per esempio, se si verifica un guasto sul server, gli utenti non possono accedere. I mec­ca­ni­smi di au­ten­ti­ca­zio­ne fallback e i server secondari servono spesso come soluzione a questo problema. Ci sono anche rigidi requisiti di tempo: le con­fi­gu­ra­zio­ni data/ora degli host coinvolti devono essere sempre sin­cro­niz­za­te entro limiti pre­de­fi­ni­ti. Al­tri­men­ti, le au­ten­ti­ca­zio­ni fal­li­sco­no perché i ticket sono limitati.

Inoltre, alcuni sistemi legacy non sono com­pa­ti­bi­li con mec­ca­ni­smi di au­ten­ti­ca­zio­ne di terze parti. E anche se le password nell’au­ten­ti­ca­zio­ne Kerberos sono in genere sicure, possono essere decifrate dagli hacker at­tra­ver­so attacchi di forza bruta o rubate in attacchi di phishing. Per questo motivo l’au­ten­ti­ca­zio­ne a più fattori (MFA) sta di­ven­tan­do un mezzo sempre più popolare per pro­teg­ge­re le identità online.