Protocolli di autenticazione: tipi, esempi e casi d’uso

Con il moltiplicarsi dei vettori di attacco digitali, l’identità digitale ha sostituito il tradizionale perimetro di rete come principale confine di sicurezza. Le organizzazioni non si affidano più esclusivamente ai firewall fisici: ogni richiesta di accesso — che provenga da un dipendente da remoto, da un servizio cloud o da un dispositivo IoT — deve essere verificata in modo continuo.

I protocolli di autenticazione costituiscono l’insieme di regole fondamentali che disciplinano lo scambio e la convalida delle credenziali e la creazione di un rapporto di fiducia attraverso le reti. Scegliere lo stack di protocolli giusto non è un semplice dettaglio tecnico: incide direttamente sull’esposizione dell’organizzazione alle minacce basate sull’identità, sulla produttività degli utenti e sulla conformità normativa.

Perché i protocolli di autenticazione di rete sono importanti?

L’identità è il vettore principale delle violazioni moderne. Secondo il Verizon Data Breach Investigations Report (DBIR), oltre l’80% delle violazioni delle applicazioni web deriva da credenziali rubate, deboli o ottenute con attacchi brute force. Gli aggressori sfruttano attivamente i meccanismi di autenticazione legacy con tecniche sofisticate:

• Phishing & Adversary-in-the-Middle (AiTM): gli aggressori creano server proxy per intercettare in tempo reale codici di accesso, password e i tradizionali token di sessione basati sul tempo.
• Credential stuffing & brute force: bot automatizzati testano miliardi di combinazioni di nome utente e password trafugate sui portali aziendali.
• Pass-the-Hash & Pass-the-Ticket: gli attacchi di movimento laterale all’interno degli ambienti aziendali sfruttano le debolezze architetturali di protocolli di dominio più datati come NTLM e Kerberos.

L’adozione di protocolli di autenticazione moderni e sicuri elimina questi vettori di attacco, rimuovendo i segreti statici e introducendo una prova crittografica dell’identità. Inoltre, standardizzare l’autenticazione nell’intero ecosistema semplifica il provisioning, riduce i costi dell’helpdesk legati al reset delle password e permette di produrre report di conformità senza attriti.

Che cos’è un protocollo di autenticazione?

Un protocollo di autenticazione è una sequenza crittografica progettata per verificare l’identità di un’entità (un utente, un dispositivo o un’applicazione) che richiede l’accesso a un sistema, a una rete o a una risorsa. A differenza dell’autorizzazione — che stabilisce quali azioni un utente può eseguire una volta entrato — l’autenticazione risponde semplicemente alla domanda: “Lei è davvero chi dichiara di essere?”

Questi protocolli si basano su tre fattori principali di identità:

1. Qualcosa che si conosce: password, PIN o segreti condivisi.
2. Qualcosa che si possiede: chiavi di sicurezza hardware, smart card o app di autenticazione.
3. Qualcosa che si è: dati biometrici come impronta digitale, riconoscimento facciale o dell’iride.

Dal punto di vista tecnico, i protocolli di autenticazione definiscono con precisione gli schemi di scambio dei messaggi, gli algoritmi matematici (come RSA, ECC o HMAC) e le strutture dei payload utilizzati tra tre ruoli principali:

• Client / Supplicant: l’entità che richiede l’accesso.
• Relying Party (RP) / Service Provider (SP): l’applicazione o la risorsa che ospita il punto di controllo degli accessi.
• Identity Provider (IdP) / server di autenticazione: il motore centrale che convalida le credenziali ed emette i token di autorizzazione.

Principali tipi di protocolli di autenticazione

I protocolli di autenticazione si sono evoluti di pari passo con le architetture: quelli moderni supportano servizi web distribuiti, identità cloud federate e autenticazione senza password accanto ai tradizionali sistemi basati su dominio.

Questi protocolli e standard hanno finalità diverse: alcuni verificano l’identità di utenti o dispositivi (autenticazione), altri consentono l’accesso delegato alle risorse (autorizzazione), mentre gli standard di federazione permettono lo scambio di informazioni sull’identità tra sistemi attendibili. Nella pratica, spesso operano insieme per garantire un accesso sicuro negli ambienti aziendali.

 

FIDO2 / WebAuthn e CTAP

• Che cos’è: FIDO2 è un insieme di standard per l’autenticazione senza password e a più fattori basato sulla crittografia a chiave pubblica. Combina la Web Authentication API (WebAuthn), che consente alle applicazioni web di creare e utilizzare credenziali a chiave pubblica, con il Client to Authenticator Protocol (CTAP), che consente la comunicazione tra un dispositivo client e un autenticatore esterno, come una chiave di sicurezza hardware.
• Vantaggi principali:
  • Resistente al phishing: le credenziali sono rigorosamente vincolate a nomi di dominio specifici (origin binding). Gli aggressori che gestiscono siti proxy non possono riutilizzare sui domini autentici le firme crittografiche intercettate.
  • Senza password: elimina i segreti statici condivisi archiviati sui server centrali; le chiavi private non lasciano mai l’enclave sicura del dispositivo hardware dell’utente.
  • Tutela della privacy: la verifica biometrica avviene interamente in locale sull’autenticatore dell’endpoint dell’utente e non viene mai trasmessa in rete.
• Principali casi d’uso: accesso senza password alle postazioni di lavoro aziendali, gestione degli account privilegiati (PAM), portali web ad alta sicurezza e app bancarie per i consumatori.

SAML 2.0 (Security Assertion Markup Language)

• Che cos’è: uno standard aperto basato su XML utilizzato per lo scambio di dati di autenticazione e autorizzazione tra un Identity Provider (IdP) e un Service Provider (SP). Consulti il nostro approfondimento su che cos’è SAML e come funziona.
• Vantaggi principali: abilita il Single Sign-On (SSO) aziendale, che permette agli utenti di accedere una sola volta con un unico set di credenziali e di raggiungere più applicazioni web indipendenti.
• Principali casi d’uso: accesso alle applicazioni SaaS aziendali (ad es. Salesforce, Google Workspace, Microsoft 365) integrate con sistemi di identità centralizzati.

OAuth 2.0 & OpenID Connect (OIDC)

• Che cos’è: OAuth 2.0 è un framework di autorizzazione che concede alle applicazioni di terze parti un accesso limitato alle risorse dell’utente. OpenID Connect (OIDC) estende OAuth 2.0 con un livello di identità, emettendo un ID Token firmato crittograficamente (di norma strutturato come JSON Web Token, o JWT) che attesta all’applicazione l’identità dell’utente autenticato.
• Vantaggi principali: struttura JSON leggera e adatta alle API; ottimizzato per app mobili, Single Page Application (SPA) e microservizi.
• Principali casi d’uso: applicazioni web e mobili moderne, protezione delle API RESTful e accessi federati per i consumatori (“Accedi con Google/Apple”).

Kerberos

• Che cos’è: un protocollo di autenticazione di rete sviluppato dal MIT, basato su un meccanismo di emissione di ticket e sulla crittografia a chiave simmetrica.
• Vantaggi principali: impedisce che le password transitino in rete; supporta l’autenticazione reciproca tra client e server.
• Principali casi d’uso: domini Active Directory on-premise, autenticazione intranet e accesso alle condivisioni di file aziendali.

HOTP / TOTP (RFC 4226 / RFC 6238)

• Che cos’è: HMAC-Based One-Time Password (HOTP) genera codici di accesso dinamici basati su un contatore. Time-Based One-Time Password (TOTP) genera codici calcolati a partire da una chiave segreta condivisa e dall’ora corrente (in genere cambiano ogni 30 secondi).
• Perché sta perdendo terreno: sebbene il TOTP abbia rappresentato un notevole passo avanti rispetto alle password statiche, non è resistente al phishing. Gli aggressori che utilizzano proxy AiTM automatizzati (come Evilginx) possono indurre gli utenti a inserire il codice TOTP a 6 cifre su un sito fraudolento e intercettare sia la password sia il cookie di sessione attivo, aggirando completamente la protezione MFA.

Protocolli di rete legacy (RADIUS, TACACS+, NTLM)

• RADIUS / TACACS+: protocolli utilizzati per centralizzare autenticazione, autorizzazione e accounting (AAA) per i dispositivi di accesso alla rete come VPN, switch e router.
• NTLM (NT LAN Manager): una suite di autenticazione Microsoft legacy e un protocollo challenge-response che opera su connessioni SMB, RPC e HTTP.
• Limiti di sicurezza: NTLM è altamente vulnerabile ad attacchi di relay, pass-the-hash e brute force offline. Microsoft raccomanda attivamente di dismettere NTLM a favore di Kerberos e dei moderni flussi FIDO2/WebAuthn. I moderni framework di sicurezza impongono esplicitamente l’eliminazione graduale di questi protocolli in chiaro o con hash deboli.

Protocolli di autenticazione per caso d’uso

Contesti operativi diversi richiedono una scelta mirata dei protocolli per trovare il giusto equilibrio tra sicurezza dell’identità di alto livello, compatibilità tecnica ed esperienza utente.

 

Single Sign-On (SSO) aziendale & app cloud

• Scenario: un dipendente deve accedere ogni giorno a decine di applicazioni web (SaaS, strumenti interni per sviluppatori, portali HR) senza digitare ripetutamente credenziali diverse.
• Protocolli: OpenID Connect (OIDC), SAML 2.0, FIDO2/WebAuthn.
• Tendenza del settore: il passaggio dalla tradizionale autenticazione a più fattori password + TOTP allo SSO senza password basato su FIDO2 e ai relativi flussi di accesso. Questo approccio mitiga il phishing AiTM ed elimina al tempo stesso l’affaticamento da password.

Accesso a desktop, postazioni di lavoro & dominio (Windows / macOS / Linux)

• Scenario: proteggere l’accesso locale e remoto al sistema operativo sugli endpoint aziendali — sia online sia offline — eliminando le vulnerabili password locali.
• Protocolli: FIDO2 / CTAP2, Kerberos, smart card / PKI (X.509).
• Tendenza del settore: l’abbandono di NTLM e delle credenziali di dominio basate su password a favore di soluzioni senza password come Windows Hello for Business o di token di sicurezza hardware dedicati che si integrano nativamente nell’architettura di identità dell’endpoint.

Accesso remoto & infrastruttura di rete (VPN, Zero Trust Network Access)

• Scenario: proteggere l’accesso all’infrastruttura per i dipendenti da remoto che si collegano tramite VPN aziendali, reti Wi-Fi (802.1X) e sessioni amministrative SSH.
• Protocolli: EAP-TLS, RADIUS, IPsec, SSH con chiavi pubbliche.
• Tendenza del settore: la sostituzione delle password VPN statiche e delle notifiche push con l’autenticazione client basata su certificati (EAP-TLS), integrata con soluzioni Zero Trust Network Access (ZTNA).

Tabella comparativa dei protocolli di autenticazione

Confronti i protocolli di autenticazione più diffusi per ruolo e livello di sicurezza.

Come scegliere un protocollo di autenticazione per la Sua azienda

Scegliere la suite di autenticazione corretta richiede di valutare il debito tecnico attuale, il contesto normativo e l’architettura di destinazione. I responsabili della security engineering e dell’infrastruttura dovrebbero applicare un framework di valutazione strutturato in tre fasi.

1. Analisi dell’infrastruttura

• Mappi le applicazioni legacy rispetto alle app cloud-native. Le applicazioni moderne supportano comunemente OIDC o SAML, mentre le applicazioni legacy e i thick client possono richiedere proxy di autenticazione o altri meccanismi di integrazione.
• Valuti il Suo ecosistema di endpoint (Windows, macOS, Linux, thin client) per verificare che il sistema operativo supporti nativamente credential provider moderni come WebAuthn o FIDO2 tramite autenticatori hardware.

2. Transizione allo Zero Trust & all’MFA resistente al phishing

• Allinei la scelta dei protocolli alle linee guida della CISA (Cybersecurity and Infrastructure Security Agency) in materia di MFA resistente al phishing. Dia priorità a FIDO/WebAuthn negli scenari di autenticazione degli utenti supportati e valuti l’autenticazione basata su certificati per i casi d’uso appropriati di accesso alla rete e ai dispositivi.
• Elimini la dipendenza da SMS, notifiche push (esposte agli attacchi di MFA fatigue) e codici TOTP nei sistemi critici.

3. Mappatura di conformità e standard

I protocolli di autenticazione costituiscono il meccanismo centrale per soddisfare i rigorosi requisiti dei framework di conformità in materia di cybersecurity. Anziché trattare la conformità come un adempimento formale, valuti in che modo le specifiche scelte di protocollo implementano controlli di sicurezza tecnici espliciti:

• NIST SP 800-63B: l’AAL3 richiede autenticazione basata su hardware, resistenza all’impersonificazione del verificatore, due fattori di autenticazione distinti e il rispetto dei requisiti crittografici e relativi agli autenticatori applicabili. FIDO2/WebAuthn può fornire la resistenza all’impersonificazione del verificatore, ma l’uso di questo protocollo da solo non garantisce la conformità AAL3. L’implementazione dell’autenticazione nel suo complesso deve soddisfare tutti i requisiti NIST applicabili.
• PCI DSS 4.0: il Requisito 8.3 impone implementazioni MFA robuste per tutti gli accessi al Cardholder Data Environment (CDE). Introdurre la resistenza al phishing a livello di protocollo aiuta a prevenire il furto di token e affronta i rischi legati agli attacchi adversary-in-the-middle (AiTM).
• HIPAA & GDPR: entrambi i framework impongono misure di sicurezza tecniche, controlli degli accessi e protezione contro la divulgazione non autorizzata dei dati. Le architetture di protocollo basate sulla crittografia a chiave pubblica (come WebAuthn o mTLS) costituiscono misure tecniche efficaci per proteggere l’accesso agli endpoint e impedire la trasmissione di credenziali in chiaro.
• Direttiva NIS2: le organizzazioni europee soggette alla NIS2 devono implementare policy rigorose di gestione del rischio di cybersecurity e di controllo degli accessi. Standardizzare l’autenticazione tramite protocolli federati (SAML 2.0, OIDC) e standard moderni (FIDO2) all’interno di un’architettura di identità centralizzata favorisce un’applicazione coerente delle policy e un controllo degli accessi verificabile in tutti gli ambienti IT.

Implementazione strategica con Hideez

La transizione di un’infrastruttura aziendale da protocolli legacy basati su password o TOTP a standard moderni resistenti al phishing può essere complessa, soprattutto quando occorre conciliare ambienti di dominio legacy e workload cloud moderni. La piattaforma Hideez Workforce Identity colma questo divario architetturale offrendo un’infrastruttura unificata per l’autenticazione senza password e resistente al phishing in ambienti eterogenei:

• Sicurezza FIDO2 vincolata all’hardware: Hideez fornisce chiavi di sicurezza hardware dedicate (Hideez Key) e software di sicurezza che si interfacciano nativamente con gli standard WebAuthn/FIDO2, proteggendo postazioni di lavoro, applicazioni SaaS e infrastrutture privilegiate dagli attacchi di phishing AiTM.
• Modernizzazione dei sistemi legacy: Hideez abilita l’accesso senza password al dominio Windows e al desktop senza imporre una riprogettazione completa dell’infrastruttura Active Directory sottostante. Colma il divario tra l’autenticazione locale legacy e i moderni Identity Provider cloud. Scopra di più su Hideez AuthShield.
• Gestione centralizzata delle chiavi: per gli amministratori IT e i CISO, Hideez Enterprise Server offre la gestione centralizzata delle chiavi di sicurezza fisiche, delle operazioni del ciclo di vita delle identità, del provisioning remoto delle credenziali e della revoca automatizzata delle sessioni, semplificando i report di conformità per i framework di audit NIST, PCI DSS e ISO 27001.

Punti chiave

• Scelga i protocolli in base ai requisiti di sicurezza e ai casi d’uso. FIDO2/WebAuthn è un’opzione solida per un’autenticazione degli utenti senza password e resistente al phishing, mentre Kerberos resta importante negli ambienti di dominio Windows. OIDC e SAML 2.0 supportano l’identità federata e il Single Sign-On (SSO) aziendale.
• Dia priorità all’autenticazione resistente al phishing. Password e codici TOTP possono essere compromessi tramite phishing e attacchi adversary-in-the-middle (AiTM). FIDO2/WebAuthn e un’autenticazione basata su certificati correttamente implementata offrono una protezione più efficace contro il furto di credenziali.
• Consideri l’intera architettura di autenticazione. La scelta dei protocolli deve tenere conto della compatibilità delle applicazioni, delle capacità degli endpoint, dell’integrazione con l’identity provider, della sicurezza delle sessioni, del ripristino delle credenziali e della manutenzione continuativa.
• Modernizzi gradualmente l’autenticazione legacy. Le organizzazioni possono ridurre la dipendenza da protocolli legacy come NTLM introducendo metodi di autenticazione più robusti e mantenendo al contempo la compatibilità con l’infrastruttura e i servizi esistenti.
• Allinei i controlli di autenticazione ai requisiti aziendali e di conformità. Valuti le esigenze di sicurezza di ciascun ambiente, comprese applicazioni cloud, servizi di dominio, VPN, API e account privilegiati. Scelga protocolli e configurazioni che supportino i controlli degli accessi e il livello di garanzia di sicurezza richiesti.
• Ricorra a una gestione centralizzata delle identità ove opportuno. Integrare gli standard di autenticazione moderni con l’infrastruttura di identità aziendale può semplificare la gestione degli accessi, migliorare la visibilità e supportare policy di sicurezza coerenti su applicazioni e dispositivi.
• Pianifichi l’implementazione e la gestione del ciclo di vita. Un’autenticazione sicura richiede una configurazione adeguata, la gestione di chiavi e certificati, procedure di ripristino degli account, monitoraggio e la dismissione tempestiva dei metodi vulnerabili.

Domande frequenti

Qual è il protocollo di autenticazione più sicuro?

FIDO2/WebAuthn è una scelta solida per un accesso degli utenti resistente al phishing. I metodi basati su certificati sono adatti anche all’autenticazione di rete e dei workload. La scelta migliore dipende dalla risorsa, e la valutazione deve includere anche il ripristino e la protezione delle sessioni.

FIDO2 può sostituire completamente Kerberos?

No, non direttamente. FIDO2 può autenticare un utente al momento dell’accesso, mentre Kerberos fornisce i ticket per i servizi di dominio. Le implementazioni Windows supportate possono combinare l’accesso senza password con l’accesso tramite Kerberos. Eliminare Kerberos richiede di modificare le dipendenze di autenticazione dei servizi che lo utilizzano.

Quale protocollo utilizzare per una VPN aziendale?

Per le VPN che supportano la federazione, utilizzi SAML o OIDC con MFA resistente al phishing a livello di IdP. L’autenticazione basata su certificati è un’altra opzione solida. Con RADIUS, valuti il metodo di autenticazione sottostante e la protezione del trasporto.

Hideez riunisce chiavi hardware FIDO2, accesso senza password al dominio Windows e gestione centralizzata delle chiavi, così da poter dismettere NTLM, TOTP e password statiche senza ricostruire il Suo stack di identità. Prenoti una demo per individuare i protocolli più adatti al Suo ambiente, oppure aderisca al programma partner per offrire ai Suoi clienti un’autenticazione resistente al phishing.