Verifica dell'identità e dei dispositivi

Un provider di identità è il sistema centrale che autentica gli utenti ed emette token per altri servizi. Gli IdP moderni supportano SSO, MFA e accesso condizionale. Esempi: Okta, Azure AD (Entra ID), Google Workspace, Ping Identity.

SSO consente agli utenti di autenticarsi una sola volta presso l'IdP e di accedere a più applicazioni senza reinserire le credenziali. Si basa sui protocolli SAML 2.0 o OIDC. Vantaggio per la sicurezza: meno credenziali = meno opportunità di furto delle credenziali; i controlli di sicurezza sono centralizzati presso l'IdP.

Due protocolli SSO ampiamente utilizzati:

• SAML 2.0 — basato su XML, per il settore enterprise, ampiamente supportato dalle app legacy
• OIDC (OpenID Connect) — basato su JSON/JWT, moderno, costruito su OAuth 2.0, utilizzato dalle app cloud e mobile

Entrambi delegano l'autenticazione all'IdP e restituiscono all'app un token firmato.

Gli IdP moderni supportano l'accesso condizionale: decisioni di accesso basate su segnali di rischio:

• Ruolo dell'utente e appartenenza ai gruppi
• Stato di conformità del dispositivo
• Posizione geografica
• Ora del giorno
• Punteggio di rischio (anomalia di accesso)

I segnali ad alto rischio attivano l'MFA step-up o bloccano completamente l'accesso.

MDM registra e gestisce i dispositivi, applicando policy di sicurezza:

• Richiedere un PIN o dati biometrici per il blocco dello schermo
• Richiedere la crittografia del disco
• Forzare gli aggiornamenti del sistema operativo
• Consentire la cancellazione da remoto
• Fornire report sulla conformità all'IdP per l'accesso condizionale

Esempi: Microsoft Intune, Jamf (Apple), VMware Workspace ONE.

I certificati dei dispositivi associano un'identità crittografica a ogni dispositivo gestito. Vengono emessi da una CA aziendale tramite MDM. Le policy Zero Trust possono richiedere un certificato del dispositivo valido prima di concedere l'accesso — i dispositivi personali non gestiti vengono bloccati anche in presenza di credenziali utente valide.

Zero Trust utilizza la telemetria EDR come segnale dello stato del dispositivo. Un IdP può verificare se EDR è installato e funziona correttamente prima di concedere l'accesso. La rilevazione di un dispositivo compromesso da parte di EDR attiva la revoca automatica dell'accesso tramite l'integrazione con l'accesso condizionale.

L'accesso JIT (PIM — gestione delle identità privilegiate) concede autorizzazioni elevate solo quando servono, per un periodo limitato e previa approvazione. Non esistono ruoli di amministratore assegnati permanentemente. Azure AD PIM, le credenziali temporanee AWS IAM e HashiCorp Vault implementano questo meccanismo.

Anche le applicazioni devono verificare l'identità. Approcci:

• Account di servizio con token a breve durata
• mTLS — TLS reciproco, in cui client e server presentano entrambi i certificati
• SPIFFE/SPIRE — framework per l'identità dei workload nei microservizi

Negli ambienti SaaS e cloud, l'isolamento delle identità impedisce l'accesso tra tenant. Lo spazio delle identità di ogni cliente deve essere rigorosamente isolato. Un bug che consenta a un tenant di accedere ai dati di un altro rappresenta una vulnerabilità critica.

Oltre all'autenticazione quotidiana, la governance delle identità garantisce:

• Revisioni periodiche degli accessi (certificazioni) — i responsabili verificano chi ha accesso
• Provisioning e deprovisioning automatizzati tramite SCIM
• Rilevamento e rimozione degli account orfani
• Separazione dei compiti applicata

Identità Zero Trust: IdP centralizzato con SSO (SAML/OIDC), MFA e criteri di accesso condizionale. Verifica dei dispositivi tramite controlli di conformità MDM e certificati dei dispositivi. JIT/PIM elimina i privilegi amministrativi permanenti. Identità dei servizi tramite mTLS e SPIFFE. La governance delle identità, con revisioni degli accessi e provisioning SCIM automatizzato, garantisce il mantenimento del privilegio minimo nel tempo.