OAuth

Proteggi il tuo business con CyberHoot oggi stesso!!!

Iscriviti ora

OAuth, conosciuto anche come Autorizzazione aperta, è un aprire Standard autorizzazione quadro per basata su token autorizzazione su Internet. OAuth consente l'utilizzo delle informazioni dell'account di un utente finale da parte di servizi di terze parti, come Facebook e Google, senza esporre le credenziali dell'account dell'utente a terzi. Agisce da intermediario per conto dell'utente finale, fornendo al servizio di terze parti un token di accesso che autorizza la condivisione di informazioni specifiche dell'account. Il processo per ottenere il token è chiamato flusso di autorizzazione.

OAuth 1.0 è stato rilasciato per la prima volta nel 2007 come metodo di autorizzazione per Twitter Interfaccia di programmazione applicativa (API). Nel 2010, l'IETF OAuth Working Group ha pubblicato la prima bozza del protocollo OAuth 2.0. Come l'OAuth originale, OAuth 2.0 offre agli utenti la possibilità di concedere ad applicazioni di terze parti l'accesso alle risorse web senza condividere una password. Tuttavia, si tratta di un protocollo completamente nuovo e non è retrocompatibile con OAuth 1.0. Le funzionalità aggiornate includono un nuovo flusso di codice di autorizzazione per le applicazioni mobili, firme semplificate e token di breve durata con autorizzazioni di lunga durata. Ciò fornisce agli utenti finali la possibilità di revocare i token più facilmente quando lo desiderano.

OAuth viene spesso utilizzato per consolidare le credenziali utente e semplificare la procedura di accesso, in modo che quando accedono a un servizio online non debbano reinserire informazioni già in possesso di altri account online.

OAuth è la tecnologia di base utilizzata per l'autenticazione dei siti web da siti che consentono agli utenti di registrarsi o accedere utilizzando il proprio account su un altro sito web come Facebook, Twitter, LinkedIn, Google, GitHub o Bitbucket. Ad esempio, se un utente clicca sull'opzione di accesso di Facebook quando accede a un altro sito web, Facebook lo autentica e il sito web originale lo accede utilizzando l'autorizzazione ottenuta da Facebook.

Cosa significa questo per una PMI o un MSP?

OAuth e autorizzazioni a terze parti Software as a Service (SaaS) le soluzioni sono qualcosa che dovrebbe essere monitorato dal personale IT. OAuth Il meccanismo semplifica l'interconnessione delle applicazioni, ma molti non considerano le possibili implicazioni. Quando queste app SaaS e altri componenti aggiuntivi per piattaforme SaaS richiedono autorizzazioni, queste vengono solitamente concesse senza pensarci due volte, offrendo maggiori opportunità agli hacker di accedere ai dati aziendali. Questo mette le aziende a rischio per attacchi alla catena di approvvigionamento, Acquisizioni di APIe installato involontariamente app di terze parti dannose sui dispositivi aziendali. Alcuni ricercatori di sicurezza non sono entusiasti dei meccanismi di autenticazione OAuth, sostenendo che siano pieni di vulnerabilità che potrebbero essere sfruttate da programmi inesperti che non proteggono correttamente le loro API. Questo Articolo di Portswigger.net descrive molte delle potenziali minacce riscontrate nell'implementazione di OAuth.
CyberHoot Conclusione: Se desideri davvero implementare OAuth nella tua PMI, affidati alle implementazioni di fornitori tradizionali come Okta, Azure AD o RSA. Ognuna di queste è presente sul mercato da molti anni, ha subito un'attenta analisi del suo codice sorgente ed è ben finanziata per mitigare i rischi nelle sue API. Inoltre, assicurati di abbinare qualsiasi servizio di autenticazione sorgente OAuth a autenticazione a più fattori Prima di concedere token a terze parti. Infine, la tua azienda dovrebbe adottare tutte le seguenti misure di sicurezza informatica per garantire la massima sicurezza:  

Formazione sulla consapevolezza della sicurezza – Il primo passo per la sicurezza informatica è sempre quello di sensibilizzare i dipendenti. Una volta che i dipendenti saranno più consapevoli dei rischi e dei pericoli che questi meccanismi OAuth presentano, saranno meno propensi a utilizzarli.

Consentire a tutti Autenticazione a più fattori – La cosa migliore che puoi fare per migliorare la sicurezza del cloud della tua organizzazione è attivare e applicare autenticazione a più fattori (MFA) Per tutti i possibili account. Questa pratica è particolarmente valida per le piattaforme di posta elettronica e di collaborazione principali, perché riduce i danni che un aggressore può causare con credenziali rubate.

Politiche  – Le organizzazioni dovrebbero creare una policy che obblighi i dipendenti a inviare richieste per app di terze parti. Questa policy può essere implementata nella Politica di Utilizzo Accettabile (AUP) dell'organizzazione. 

Utilizzare la sicurezza SaaS Controllo – Il monitoraggio della sicurezza SaaS è un livello di sicurezza fondamentale per il tuo stack SaaS. Ti consente di gestire l'accesso dei dipendenti alle app SaaS necessarie per reparto, consolidare le licenze e offrirti una visibilità senza precedenti sul tuo stack SaaS. Beatamente è un ottimo esempio di una piattaforma che può fare tutte e tre queste cose e molto di più; è un elemento chiave per la sicurezza SaaS quando si assembla uno stack IT.

Gestisci l'accesso SaaS e le password – Come accennato in precedenza, alcune applicazioni SaaS non possono essere integrate nelle soluzioni SSO. In questi casi, CyberHoot consiglia di utilizzare un gestore di password. Gestori di password affidabili come LastPass, 1Password, DashLane o Bitwarden consentono agli utenti di generare password complesse e univoche di oltre 14 caratteri, di memorizzare le credenziali per i siti web e di archiviare note sicure crittografate. Questi strumenti sono preziosi anche perché consentono agli utenti di condividere in modo sicuro credenziali o note con dipendenti o clienti fidati.

In questo caso, si applicano consigli pratici e buon senso. Assicurati che i tuoi utenti sappiano di non dover accettare ciecamente tutte le autorizzazioni di accesso richieste da un'applicazione SaaS, proprio come negare a un'app del telefono l'accesso alla tua rubrica o ai tuoi dati di posizione per impostazione predefinita. Se l'accesso non è necessario per funzionare correttamente, la tua posizione predefinita dovrebbe sempre essere quella di negarlo.

Raccomandazioni minime essenziali sulla sicurezza informatica di CyberHoot

I seguenti consigli aiuteranno te e la tua azienda a rimanere al sicuro dalle varie minacce a cui potresti andare incontro quotidianamente. Tutti i suggerimenti elencati di seguito possono essere ottenuti assumendo i servizi di sviluppo del programma vCISO di CyberHoot.

1. Gestisci i dipendenti con policy e procedure. Sono necessari almeno una policy sulle password, una policy di utilizzo accettabile, una policy sulla gestione delle informazioni e un programma di sicurezza delle informazioni (WISP) scritto.
2. Formare i dipendenti su come individuare ed evitare attacchi di phishingAdotta un sistema di gestione dell'apprendimento come CyberHoot per insegnare ai dipendenti le competenze di cui hanno bisogno per essere più sicuri, produttivi e protetti.
3. Testare i dipendenti con attacchi di phishing per fare pratica. I test di phishing di CyberHoot consentono alle aziende di testare i dipendenti con attacchi di phishing credibili e di sottoporre coloro che non superano il test a un corso di formazione sul phishing correttivo.
4. Distribuire tecnologie di sicurezza informatica critiche, tra cui autenticazione a due fattori su tutti gli account critici. Abilita il filtro antispam, convalida i backup e implementa la protezione DNS, antiviruse anti-malware su tutti i tuoi endpoint.
5. Nell'era moderna del lavoro da casa, assicurati di gestire i dispositivi personali che si connettono alla tua rete convalidandone la sicurezza (applicazione di patch, antivirus, protezioni DNS) o vietandone completamente l'uso.
6. Se non avete effettuato una valutazione del rischio da una terza parte negli ultimi due anni, dovreste farlo ora. Definire un framework di gestione del rischio nella vostra organizzazione è fondamentale per affrontare i rischi più gravi con il tempo e il denaro limitati a disposizione.
7. Acquista un'assicurazione informatica per proteggerti in caso di guasto catastrofico. L'assicurazione informatica non è diversa dalle assicurazioni auto, incendio, alluvione o vita. È al tuo fianco quando ne hai più bisogno.

Ognuna di queste raccomandazioni, ad eccezione dell'assicurazione informatica, è integrata nel prodotto CyberHoot e nei servizi di Chief Information Security Officer virtuale. Con CyberHoot puoi gestire, formare, valutare e testare i tuoi dipendenti. Visita CyberHoot.com e iscriviti oggi stesso ai nostri servizi. Come minimo, continua a imparare iscrivendoti al nostro abbonamento mensile. Newsletter sulla sicurezza informatica per rimanere aggiornati sugli ultimi aggiornamenti in materia di sicurezza informatica.

Per saperne di più sul funzionamento di OAuth, guarda questo breve video di 2 minuti:

Fonti: 

TechTarget

Varonis

Letture aggiuntive:

L'accesso alle applicazioni SaaS crea problemi di sicurezza

Cos'è OAuth? Come funziona l'Open Authorization Framework

Rischi e sfide del software come servizio (SaaS)

Termini correlati:

Software as a Service (SaaS)

Accesso singolo (SSO)

CyberHoot offre anche altre risorse a tua disposizione. Di seguito trovi i link a tutte le nostre risorse, sentiti libero di consultarle quando vuoi: 

• Blog
• Cybrary (Biblioteca informatica)
• Infografica
• Newsletter
• Comunicati stampa
• Video didattici (HowTo) – molto utile per i nostri SuperUser!

Nota: se desideri iscriverti alla nostra newsletter, visita uno dei link qui sopra (oltre all'infografica) e inserisci il tuo indirizzo email sul lato destro della pagina, quindi clicca su ''Inviami le newsletter'.