MeldID ha introdotto la modalità panico: cosa succede quando non ci si può più fidare dell'accesso all'account

Nell'articolo precedente su MeldID ho parlato di come il sistema funzioni in modalità normale: memorizza il profilo gestito, aiuta l'accesso ai servizi collegati, sincronizza le registrazioni TOTP tra dispositivi e consente di confermare nuove autorizzazioni tramite l'app mobile.

Tuttavia, ogni sistema di identificazione ha uno scenario che si ricorda troppo tardi: cosa fare se l'utente non si fida più della situazione attuale dell'accesso al proprio account?

Non è necessario già sapere che si è verificato un attacco. A volte basta una email inaspettata su reset password, una sessione sconosciuta o un accesso da un dispositivo che il proprietario non riconosce.

Per queste situazioni sono stati introdotti due nuovi meccanismi in MeldID: cambio password differito e modalità panico.

Prima di tutto, è importante capire come funziona la password di MeldID

In MeldID, l'utente non crea autonomamente la password — è generata dal sistema. Ciò consente di escludere subito combinazioni deboli e prevedibili, riutilizzo di password abituali e altri problemi legati a scelte autonome.

Inoltre, la password in uso non viene inviata all'utente via email. La casella di posta non è il luogo da cui si può ottenere la password esistente di MeldID.

Anche la procedura di recupero non rivela la vecchia password. permette invece di avviare la creazione di una nuova.

Perciò, la compromissione dell'email rappresenta un altro rischio: chi ottiene accesso alla casella di posta non conosce la password attuale di MeldID, ma può tentare di utilizzarla per creare un nuovo accesso tramite la procedura di recupero.

Questo scenario ha portato a modificare la logica stessa del recupero.

Ora la password non cambia più immediatamente

In una normale procedura di recupero, tutto avviene quasi subito. L'utente richiede una nuova password, riceve un'email e conclude il processo.

È comodo finché l’email è sotto il controllo esclusivo del proprietario. Ma se qualcun altro ha accesso ad essa, il recupero immediato trasforma la casella di posta in un percorso diretto per ottenere il controllo dell'account associato.

In MeldID, la richiesta di una nuova password diventa prima di tutto un avviso, non un cambio immediato della vecchia. L'utente riceve una notifica di tentativo di recupero, dopodiché inizia un periodo di attesa stabilito.

La durata di questo periodo può variare, ma il principio resta lo stesso: tra la richiesta e l'attivazione della nuova password si ha del tempo per verificare la situazione.

La vecchia password rimane valida in questa fase, quindi il semplice avvio di un recupero non implica automaticamente che il controllo dell’account sia passato a qualcun altro.

Se l'applicazione non è disponibile

Esiste uno scenario importante, facile da trascurare. L'utente può recuperare la password senza avere accesso all'app MeldID: telefono perso, rotto, scarico o temporaneamente inaccessibile.

In questo caso, il recupero può comunque completarsi. Dopo il periodo di attesa, una nuova password entrerà automaticamente in vigore. L'app mobile non è obbligatoria per la procedura di recupero standard.

Pertanto, chi ha avviato il cambio password ma non può aprire l'app, non deve rifare tutto da capo. Basta aspettare il termine del periodo e usare la nuova password per accedere.

Se invece l'app è disponibile, ci sono più opzioni: può attivare immediatamente la nuova password o annullare la richiesta sospetta. Se l'accesso all'app è impossibile, si continua con il recupero differito standard.

L'utente decide cosa fare

Se il proprietario ha effettivamente avviato il recupero e ha l'app a portata di mano, può aprire MeldID ed attivare subito la nuova password senza attendere la fine del periodo stabilito.

Se la richiesta è inaspettata, può annullarla dall'app. In questo caso, la password non diventa valida e quella precedente rimane attiva.

Questo per me rappresenta un cambiamento molto importante nella logica di recupero. Il sistema non considera automaticamente valida qualsiasi richiesta solo perché è partita via email. Lascia al proprietario la possibilità di intervenire e decidere tramite un dispositivo affidabile.

Immagina la situazione: riceve una notifica di cambio password che non ha richiesto, la annulla nell’app, poi verifica email, dispositivi e attività sospette.

MeldID non può riprendersi il controllo di una casella compromessa, ma può impedire che questa compromissione porti immediatamente alla creazione di una nuova password dell’account principale.

La modalità panico revoca gli accessi attivi

La modifica password differita aiuta a guadagnare tempo. La modalità panico serve nel caso in cui questo non sia più sufficiente e l’utente voglia interrompere immediatamente gli accessi attivi all’account.

Si attiva dall'app con un’unica azione.

Dopo l’attivazione, il sistema revoca i token attivi – le chiavi di accesso utilizzate da app e siti per riconoscere l’utente. Allo stesso tempo, vengono terminati i sessioni attive su dispositivi mobili e browser collegati all’account.

Questo significa che non si interrompe solo la sessione corrente sul telefono, ma anche le autorizzazioni su altri smartphone, tablet, browser e app collegate.

La modalità ha durata stabilita, che può variare, ma il principio rimane: gli accessi esistenti vengono revocati e l’utente ottiene un tempo protetto per verificare la situazione.

La modalità panico non elimina i dati

Il nome può sembrare drastico, ma è importante chiarire cosa non fa.

La modalità panico non cancella le registrazioni TOTP, i profili salvati, le impostazioni o altri dati utente. Non cancella i contenuti dell’account e non lo svuota.

Lo stato di accesso cambia: i token attivi vengono revocati, le sessioni aperte terminate. Quando l’account torna alla normalità, i dati salvati rimangono intatti e non hanno bisogno di essere reinseriti.

È una differenza fondamentale tra una cessazione di accesso di emergenza e la distruzione dei contenuti dell’account. L’utente può disconnettere gli accessi senza preoccuparsi che i dati o le impostazioni scompaiano con essi.

Cosa succede con il cambio password durante la modalità panico

La modalità panico ha un altro principio importante: interrompe tutte le tentativi di cambio password non completati.

Non importa quando è stata richiesta la nuova password — prima di attivare la modalità o durante la sua durata. Questa richiesta non si completerà automaticamente al termine della modalità di protezione.

Al termine, la password in uso sarà quella impostata prima della attivazione.

È fatto apposta.

La procedura normale di recupero si basa sull’idea che il proprietario dell’account possa vedere una richiesta sospetta nell’app MeldID e annullarla prima che la nuova password venga attivata.

Durante la modalità panico, questa possibilità non è più valida.

Immagina che l’utente abbia notato attività sospette e attivato la modalità panico. Se si cerca di usare il timer di recupero normale, un malintenzionato potrebbe richiedere una nuova password durante la modalità. Se il periodo di attesa scade prima che l’account ritorni normale, la password verrebbe comunque attivata prima che i controlli siano finiti.

Si potrebbe verificare un paradosso: l’utente ha potenziato la protezione, ma in questa fase il sistema consente comunque di cambiare password senza che il proprietario possa annullare tramite app.

La modalità panico non mette in pausa il recupero per continuarlo più tardi. Interrompe l’operazione non completata.

I tentativi fatti prima di attivare la modalità non potranno più cambiare password dopo la fine della modalità stessa. Lo stesso vale per le nuove richieste generate durante la protezione.

Di conseguenza, nulla di uno stato di recupero non completato attraversa il confine della modalità panico.

E se l’utente vuole prima cambiare la password

La modalità panico non limita la libertà dell’utente di decidere cosa fare.

Se l’utente ha accesso all’app MeldID e vuole cambiare la password, può lanciare subito la modifica e confermarla nell’app.

In questo caso, la modifica si conclude prima dell’attivazione della modalitá panico.

Dopo, il utente attiverà la modalità protettiva con la nuova password attiva. Questa rimarrà valida dopo che la modalità sarà terminata.

Oppure, può prima attivare la panico, indagare sulle attività sospette e, se necessario, avviare un nuovo cambio password dopo la fine della protezione.

Il principio del sistema non è costringere l’utente a seguire una sequenza fissa. La regola principale è che un cambio password non completato non deve sopravvivere alla modalità panico.

La modalità panico dà tempo di riprendere il controllo sull’email

Un altro scenario importante riguarda la possibilità di usare questa funzione: l’utente pensa che il problema non sia in MeldID o nel suo telefono, ma nella casella email.

La email è uno dei canali di recupero. Perciò, se la email viene compromessa, questo rappresenta un rischio anche quando la password di MeldID rimane sconosciuta a un esterno.

In questa situazione, l’utente può attivare la modalità panico e concentrarsi sulla risoluzione del problema: recuperare l’accesso alla casella email, cambiarne la password, terminare sessioni sconosciute e verificare sicurezza e impostazioni.

Durante la modalità panico, MeldID impedisce di creare una nuova password attiva tramite il processo di recupero.

Se qualcuno ha già richiesto il recupero prima dell’attivazione, questa richiesta non sopravvivrà alla modalità protettiva. Se si genera una nuova richiesta durante la modalità, il risultato sarà lo stesso.

Si ottiene così una finestra temporale protetta: gli accessi MeldID sono già revocati, la casella email potenzialmente compromessa non può essere usata per impostare una nuova password al termine della modalità, e il proprietario ha tempo per riprendere il controllo sulla propria email.

Alla fine della modalità, la password di MeldID resta quella precedente. Se l’accesso alla email viene ripristinato e non ci sono altri segnali di problemi, l’utente può tornare al normale utilizzo dell’account.

Se decide di cambiare anche la password di MeldID, può farlo successivamente, in modo separato.

Le ragioni di attivare la modalità panico sono diverse

Per attivare questa funzione non è necessario dimostrare preventivamente che si è verificato un attacco.

Il telefono potrebbe essere finito in mani sconosciute. Potrebbe esserci una sessione sconosciuta tra i dispositivi. Si può ricevere una notifica inaspettata di accesso o recupero. Spesso il sospetto non nasce da un singolo evento evidente, ma dall'insieme di piccoli segnali.

In tali casi, non sempre è necessario un'investigazione approfondita prima di agire. A volte, è più saggio revocare temporaneamente tutti gli accessi attivi e poi approfondire i dettagli.

La logica di MeldID è semplice: se l’utente ritiene che la situazione sia pericolosa e ha accesso all’app affidabile, può attivare immediatamente la protezione. Il sistema non richiede di prima dimostrare un attacco.

Perché una sola password non basta

La password è solo uno degli elementi dell’autenticazione. Se esiste già una sessione attiva o un token di accesso, cambiare la password da solo non equivale a revocare tutte le precedenti autorizzazioni.

È per questo che la modalità panico opera in modo più ampio. Non si limita a modificare un parametro, ma mette tutto l’account in una condizione protetta a parte.

La sequenza tipica è:

1. revoca le sessioni e i token attivi;

2. interrompe i tentativi di cambio password iniziati prima della modalità;

3. le richieste di recupero effettuate durante la modalità non potranno cambiare password una volta terminata;

4. la password in uso al momento resta valida;

5. l’utente ha tempo di verificare email, dispositivi e altri possibili segnali di compromissione;

6. al termine, torna alla normale operatività o può cambiare la password nuove, se necessario.

Questa non sostituisce le normali misure di sicurezza, ma rappresenta uno scenario di emergenza in caso di perdita temporanea di fiducia nello stato corrente dell’accesso.

Il dispositivo mobile come punto di fiducia

Le nuove funzioni sono disponibili nelle app MeldID per iOS e Android. In questa architettura, il telefono diventa non solo un altro dispositivo di accesso, ma anche un punto di gestione affidabile della sicurezza dell’account.

Tramite l’app si può:

• confermare un cambio password differito;

• annullare una richiesta sospetta;

• attivare la modalità panico;

• terminare le sessioni attive su diversi dispositivi;

• definire cosa deve succedere successivamente all’account.

L’app mobile non revoca TOTP né sostituisce altri metodi di protezione. Aggiunge un canale di gestione separato per situazioni in cui l’autenticazione normale non è più sufficiente a garantire l’affidabilità dell’account.

Dove finisce il confine di sicurezza di MeldID

È importante distinguere tra la sicurezza del meccanismo MeldID e quella dell’ambiente in cui viene usato.

MeldID è progettato affinché il servizio stesso non crei un canale standard per ottenere la password attuale. La password è generata dal sistema, non scelta dall’utente e non trasmessa via email. La procedura di recupero non rivela mai la password esistente, ma avvia il processo di creazione di una nuova.

Tuttavia, l’utente può comunque divulgare i propri dati di accesso, ad esempio consegnandoli a qualcun altro o inserendoli in un luogo non sicuro.

Un livello separato riguarda la sicurezza del dispositivo e del sistema operativo. L’app funziona all’interno delle protezioni offerte da iOS e Android, e non può sostituire la sicurezza della piattaforma stessa.

Per questo motivo, MeldID si concentra sui rischi che si possono gestire autonomamente: generazione delle credenziali, autorizzazioni, token, sessioni, recupero e reazioni a potenziali compromissioni del canale di recupero.

Dall’accesso alla reazione

Quando ho conosciuto MeldID per la prima volta, potevo descriverlo come un sistema di identificazione e gestione del profilo unificato. Dopo l’introduzione delle app mobili e dei nuovi meccanismi di protezione, questa definizione è risultata troppo ristretta.

Ora, il sistema risponde non solo a “come accedere?”, ma anche a domande più complesse come:

• cosa fare in caso di tentativo di recupero inaspettato;

• come ripristinare l’account senza l’accesso all’app;

• come ottenere tempo per verificare prima di attivare una nuova password;

• come annullare un recupero avviato da qualcun altro;

• come revocare gli accessi attivi;

• come impedire che email compromessa possa cambiare password durante la modalità di emergenza;

• come riprendere il controllo del canale di recupero esterno;

• come mantenere i dati utente quando si terminano tutti gli accessi attivi;

• come tornare alla normale operatività dopo aver verificato la situazione.

Alla fine, si ottiene un modello sequenziale di protezione.

La password attuale di MeldID non viene trasmessa tramite il canale di recupero. L’accesso alla email di per sé non rivela questa password, ma può permettere di avviare il processo di creazione di una nuova password. Perciò, il recupero ha una certa latenza e può essere annullato tramite l’app affidabile.

Se anche questo non fosse sufficiente, la modalità panico interrompe le sessioni attive, revoca i token e impedisce che un recupero incompleto sopravviva al periodo di protezione.

Il risultato è un periodo protetto in cui l’accesso di MeldID è già stato revocato, l’email potenzialmente compromessa non può essere usata per creare una nuova password, e il proprietario dispone di un lasso di tempo per riappropriarsi del pieno controllo del proprio account.

Per questo motivo, la modalità panico di MeldID non è solo un “logout forzato”. È uno scenario di risposta che interviene quando l’autenticazione normale non basta più e si necessita di recuperare la fiducia nell’ambiente dell’account.

Per maggiori dettagli, visita: meldid.de.