Facebook ha annunciato venerdì che il suo team di ingegneri ha scoperto un problema di sicurezza che interessa quasi 50 milioni di account. A causa di un difetto nel codice di Facebook, gli hacker sono stati in grado di impossessarsi di un account e utilizzarlo nello stesso modo in cui avresti effettuato l'accesso all'account con una password.

La società afferma di aver risolto il problema nel suo codice e reimpostato i token di accesso per quegli account, insieme a 40 milioni di altri account che erano vulnerabili al difetto. Se la scorsa settimana ti sei disconnesso dal tuo account Facebook, è probabile che tu sia stato colpito.

Oltre a questo, si sa poco dell'entità della violazione della sicurezza. Nel suo aggiornamento di sicurezza, Facebook ha dichiarato:"Dal momento che abbiamo appena iniziato la nostra indagine, dobbiamo ancora determinare se questi account sono stati utilizzati in modo improprio o se si è avuto accesso a qualsiasi informazione. Inoltre, non sappiamo chi ci sia dietro questi attacchi o dove siano basati. "

Cosa significa

Questa non è la peggiore violazione dei dati fino ad oggi. Quel riconoscimento appartiene all'agenzia di credito Equifax, a cui sono stati rubati dati personali dai conti di 147 milioni di persone. Ma, purtroppo per Facebook, ci sono diversi effetti di flusso dal recente hack.

Primo, la violazione può entrare in conflitto con il Regolamento generale sulla protezione dei dati dell'Unione europea (GDPR), che è stato introdotto a maggio. Sebbene il GDPR si applichi solo ai cittadini europei, le sanzioni per le violazioni dei dati sono severe:fino al 4% del fatturato globale per violazione.

Secondo, anche tutti gli account su altre piattaforme che utilizzano la verifica di Facebook sono a rischio. Questo perché ora è una pratica comune utilizzare un account come verifica automatica per connettersi ad altre piattaforme, ad esempio utilizzando un account Facebook per accedere a un'altra piattaforma di social media come Twitter, Spotify o Instagram. Questo è noto come Single Sign-On (SSO).

Come funziona il Single Sign-On

Se ti colleghi a qualsiasi sistema, hai bisogno di una forma di autenticazione, di solito una credenziale di accesso come una coppia di nome utente e password. Quando disponi di molti sistemi diversi che richiedono tutti le credenziali prima di poterli utilizzare, improvvisamente ti trovi di fronte a ricordare dieci password diverse (idealmente molto lunghe).

Alcune persone possono farlo, ma molti non possono. E vogliamo ancora che i sistemi siano sicuri. Se potessimo connetterci a un sistema di cui gli altri si fidavano, e utilizzare la password del sistema attendibile, allora non avremmo bisogno di dieci password, solo una. Questo è il principio alla base di SSO.

Ma questo funziona solo finché il sistema affidabile è sicuro. Se non lo è, un criminale informatico potrebbe utilizzare l'account violato su una piattaforma (in questo caso, Facebook), per accedere a qualsiasi altra piattaforma connessa.

Cosa dovresti fare

L'autenticazione di solito funziona a causa di uno dei tre fattori:

• qualcosa che sai, come una password
• qualcosa che hai, come una carta di accesso
• qualcosa che sei, come un'impronta digitale.

Chiaramente, l'utilizzo di più di un fattore aumenta la sicurezza. Nel tuo account Facebook, puoi scegliere di utilizzare l'autenticazione a due fattori. Ciò significa che dovrai inserire la tua password più un codice che ti è stato inviato tramite un messaggio SMS al successivo accesso.

Il futuro della verifica

C'è sempre una tensione tra usabilità e sicurezza. Le persone vogliono che i sistemi siano sicuri in modo che le loro identità non vengano rubate, e vogliono anche che gli stessi sistemi siano facilmente accessibili. SSO è un tentativo di bilanciare usabilità e sicurezza, ma l'hack di Facebook rivela i suoi limiti.

A molte persone non piacciono le password, così scelgono facilmente ricordati, e quindi facilmente frangibile, Le password. I criminali informatici hanno accesso a elenchi di milioni di password comuni (suggerimento:"Gandalf" non è così unico come si potrebbe pensare).

Token di accesso, come carte o altri dispositivi fisici (utilizzati da alcune banche, per esempio) sono una soluzione, a patto di non perderla. Potrebbe essere che l'utilizzo di un attributo fisico univoco sia il modo migliore per procedere. Dopotutto, porti sempre la tua impronta digitale, iride o voce con te.

Questo articolo è stato ripubblicato da The Conversation con una licenza Creative Commons. Leggi l'articolo originale.