Tecniche di mitigazione delle minacce
Sono disponibili diverse tecniche di mitigazione delle minacce che è possibile usare per proteggere meglio le password. Queste tecniche vengono implementate usando una o più delle quattro tecnologie principali seguenti.
| Tecnologia | Descrizione |
|---|---|
| CryptoAPI | CryptoAPI fornisce un set di funzioni che consentono di applicare routine crittografiche alle entità di destinazione. CryptoAPI può fornire hash, digest, crittografia e decrittografia, per menzionare le funzionalità principali. CryptoAPI include anche altre funzionalità. Per informazioni sulla crittografia e su CryptoAPI, vedere Cryptography Essentials. |
| Elenchi di controllo di accesso | Un elenco di controllo di accesso (ACL) è un elenco di protezioni di sicurezza applicabili a un oggetto . Un oggetto può essere un file, un processo, un evento o qualsiasi altro oggetto con un descrittore di sicurezza. Per altre informazioni sugli elenchi di controllo di accesso, vedere elenchi di controllo di accesso (ACL). |
| API di protezione dei dati | L'API di protezione dei dati (DPAPI) fornisce le quattro funzioni seguenti usate per crittografare e decrittografare i dati sensibili: CryptProtectData, CryptUnprotectData, CryptProtectMemorye CryptUnprotectMemory. |
| Nomi utente archiviati e password | Funzionalità di archiviazione che semplificano la gestione delle password degli utenti e di altre credenziali, ad esempio chiavi private, più semplici, coerenti e più sicure. Per altre informazioni su questa funzionalità, vedere CredUIPromptForCredentials. |
Queste tecnologie non sono disponibili in tutti i sistemi operativi. Pertanto, la misura in cui la sicurezza può essere migliorata dipende da quali sistemi operativi sono coinvolti. Ecco le tecnologie disponibili in ogni sistema operativo.
| Sistema operativo | Tecnologia |
|---|---|
| Windows Server 2003 e Windows XP |
|
| Windows 2000 |
|
Le seguenti tecniche di mitigazione delle minacce usano una o più delle quattro tecnologie. Le tecniche che richiedono l'uso di tecnologie non incluse nel sistema operativo non possono essere usate.
Recupero di password dall'utente
Quando si consente all'utente di configurare una password, forzare l'uso di password complesse. Ad esempio, è necessario che le password siano una lunghezza minima, ad esempio otto caratteri o più. Le password devono anche includere lettere maiuscole e minuscole, numeri e altri caratteri della tastiera, ad esempio il simbolo del dollaro ($), il punto esclamativo (!) o maggiore di (>).
Dopo aver visualizzato una password, usarla rapidamente (usando il minor numero di codice possibile) e quindi cancellare tutte le vestigia della password. Ciò riduce al minimo il tempo disponibile per un intruso per "intercettare" la password. Il compromesso con questa tecnica è la frequenza con cui la password deve essere recuperata dall'utente; tuttavia, il principio dovrebbe essere utilizzato laddove possibile. Per informazioni su come ottenere correttamente le password, vedere Chiedere all'utente le credenziali.
Evitare di fornire opzioni dell'interfaccia utente "memorizza la password". Spesso, gli utenti dovranno avere questa opzione. Se è necessario specificarlo, assicurarsi almeno che la password venga salvata in modo sicuro. Per informazioni, vedere la sezione Archiviazione delle password, più avanti in questo argomento.
Limita la voce della password tenta. Dopo un certo numero di tentativi senza esito positivo, bloccare l'utente per un determinato periodo di tempo. Facoltativamente, allungare il tempo di risposta per ogni tentativo al massimo. Questa tecnica è finalizzata a sconfiggere un attacco indovinante.
Archiviazione delle password
Non archiviare mai le password in testo non crittografato (non crittografato). La crittografia delle password aumenta notevolmente la sicurezza. Per informazioni sull'archiviazione di password crittografate, vedere CryptProtectData. Per informazioni sulla crittografia delle password in memoria, vedere CryptProtectMemory. Archiviare le password nel minor numero possibile di posizioni. Maggiore è il numero di posizioni in cui viene archiviata una password, maggiore è la probabilità che un intruso lo trovi. Non archiviare mai le password in una pagina Web o in un file basato sul Web. L'archiviazione delle password in una pagina Web o in un file basato sul Web consente di compromettere facilmente le password.
Dopo aver crittografato una password e averla archiviata, usare elenchi di controllo di accesso sicuri per limitare l'accesso al file. In alternativa, è possibile archiviare password e chiavi di crittografia nei dispositivi rimovibili. L'archiviazione di password e chiavi di crittografia in un supporto rimovibile, ad esempio una smart card, consente di creare un sistema più sicuro. Dopo aver recuperato una password per una determinata sessione, la scheda può essere rimossa, rimuovendo così la possibilità che un intruso possa ottenere l'accesso.