Archivio » 2005 » gennaio » mercoledì 5 »

Sicurezza: perché eBay si è liberata di Passport

Scritto da Guido Sintoni

Difendetevi!Internet: tutte le notizie

“Il pulsante Microsoft Passport attualmente visualizzato nelle pagine che richiedono login sarà rimpiazzato con link a una pagina, tra cui l’Aiuto se si sono dimenticate User ID o password”. Firmato eBay.
Difendetevi! Dietro queste poche righe, che compaiono con ossessiva puntualità a partire dall’inizio dell’anno sugli annunci ospitati colosso delle aste on line c’è un messaggio molto chiaro: addio a Passport, il meccanismo di autenticazione di tipo single sign-on di Microsoft.

Nato per favorire le transazioni on line e via via corretto negli intenti dal colosso di Redmond (ora non è più un servizio venduto a terze parti che vogliano implementare negozi virtuali accessibili con semplicità, quanto un sistema di gestione delle identità dal taglio più rivolto all’impresa che usa strumenti Microsoft per il commercio elettronico), Passport non è stato immune da scivoloni anche clamorosi.

Ad aprile 2003, i ricercatori pachistani Qazi Ahmed e Shoaib Rehman di Pakcert avevano scoperto due vulnerabilità che mettevano a rischio qualcosa come 200 milioni di utenti Passport; se sfruttate, potevano permettere il pieno controllo dell’account utente. La reazione di Microsoft era stata immediata: patch nel totale silenzio o quasi, e ritorno alle normali operazioni come se nulla fosse accaduto.

All’epoca, la prima sentenza inappellabile contro Passport era stata emessa dagli analisti di Gartner: per bocca del vicepresidente John Pescatore, si accusava Microsoft di “pesanti falle nell’architettura di sicurezza di Passport”, mettendo in dubbio l‘“affidabilità di ogni account Passport”, invitando le aziende a non usare la tecnologia Microsoft, che permette ai siti partecipanti di autenticare un utente con un singolo set di credenziali sign-in, facendo sì che l’utente non debba ricordare numerosi account di login e password.

Mentre Microsoft ribadisce nelle dichiarazioni ufficiali fiducia e supporto a Passport, tra i produttori di sistemi di autenticazione a due fattori (per intenderci, username, password e chiave Usb o smart card su cui sono installati certificati digitali, con possibili variazioni sul tema) si respira euforia a pieni polmoni. Anche se non stupisce, a fronte delle dichiarazioni entusiastiche di Verisign, il silenzio di RSA: l’azienda è legata a filo doppio a Microsoft per costruire la sicurezza del Windows che verrà.