L'autenticazione? Basta una foto. Ne parliamo con la startup italiana ToothPic

Proteggere le proprie credenziali e la propria identità in Rete è sempre più un problema che dobbiamo affrontare quotidianamente, con attacchi in continuo aumento e con sempre maggiore sofisticatezza. La soluzione è spesso quella di usare un sistema di autenticazione multifattore, ma ciò si rivela altrettanto spesso poco pratico. Abbiamo avuto modo di parlare con Giulio Coluccia, CEO di ToothPic, per capire meglio come la sua tecnologia possa aiutare tanto le aziende quanto i loro clienti e utenti a semplificare i processi di autenticazione.

ToothPic usa l'impronta digitale (delle fotocamere) per l'autenticazione

Poter garantire l'autenticazione dell'utente è sempre più un problema per tutte le parti coinvolte: da un lato gli utenti dei servizi, che rischiano i propri dati anche personali e finanziari; dall'altro le aziende che forniscono i servizi, poiché gestire le intrusioni è un problema significativo da un punto di vista tecnico, organizzativo, di rispetto delle norme e di reputazione. Il problema è che le misure migliori da un punto di vista della sicurezza sono altresì le meno comode da usare. Trovare quindi un buon equilibrio tra questi due aspetti è fondamentale per ottenere un migliore livello di sicurezza complessiva.

ToothPic nasce come spin-off del Politecnico di Torino nel 2017. Coluccia (nella foto qui sopra) ci dice che "l'azienda nasce da una tecnologia sviluppata durante l'attività di ricerca al Politecnico che consente di identificare univocamente i dispositivi dotati di fotocamera (ci siamo concentrati su smartphone e tablet, ma potenzialmente è estesa a qualunque oggetto dotato di una fotocamera) perché andiamo a identificare i dispositivi tramite una caratteristica fisica delle loro fotocamere."

Avevamo avuto modo di conoscere l'azienda già al CES del 2020, dove aveva presentato la sua tecnologia come una delle possibili soluzioni al problema dell'autenticazione. A distanza di due anni, ToothPic è pronta al debutto sul mercato con diverse collaborazioni in fase di sviluppo. Ma come funziona la sua tecnologia?

"Le fotocamere sono prodotte con processi di fabbricazione non ideali e queste "non idealità" si traducono in segnali lasciati nelle foto, che si possono assimilare alle nostre impronte digitali perché da un lato sono invisibili, nel senso che come utenti non ci siamo mai accorti che nelle foto ci sono dei segnali che possono essere estratti, e dall'altro perché sono univoci, perché proprio come le nostre impronte digitali caratterizzano univocamente uno specifico esemplare di dispositivo", ci dice Coluccia.

"Questo è un fenomeno fisico, che non è legato a un processo su cui i produttori hanno un controllo e che è impossibile eliminare o clonare. Questa è la forza della nostra tecnologia: è il fatto che noi sfruttiamo questa caratteristica per identificare in maniera univoca e con credenziali inclonabili (perché non si può clonare l'hardware) il dispositivo. Una credenziale che è protetta dalla nostra tecnologia è a tutti gli effetti inclonabile: anche qualora il dispositivo fosse "fotocopiato" su un dispositivo remoto, anche si prendesse lo stesso modello dello stesso produttore, quel dispositivo, avendo una fotocamera diversa, non sarebbe in grado di dare quella credenziale."

La tecnologia di ToothPic va dunque ad analizzare le fotografie scattate dal dispositivo e cerca una "firma" del sensore sotto forma di pattern ricorrenti di imperfezioni nelle foto scattate. Tali imperfezioni sono proprie del sensore e sono rintracciabili in tutte le fotografie scattate da esso, motivo per cui è possibile autenticare il sensore tramite fotografie scattate automaticamente dal software di ToothPic, senza che il soggetto inquadrato abbia alcuna rilevanza e senza che l'utente debba scattare manualmente le foto.

Si tratta di un modello piuttosto differente rispetto a quello adottato finora, per quanto si inserisca nello stesso filone. I metodi di autenticazione multifattore solitamente cercano di verificare dei fattori tra i seguenti: uno di conoscenza, ad esempio di una credenziale come un PIN; uno di possesso, che certifichi che il dispositivo che si sta cercando di autenticare è in possesso dell'utente; uno di identità, tipicamente con parametri biometrici come le impronte digitali o il volto. Verificare due di questi fattori è solitamente sufficiente per avere un buon livello di certezza sul fatto che sia l'utente corretto (e non un altro) ad autenticarsi sul dispositivo.

Oggigiorno il fattore più usato è quello di conoscenza, tramite le password, ma è piuttosto diffuso anche quello di possesso: si pensi, ad esempio, all'accoppiata di PIN e chiavetta generatrice di numeri che molte banche offrono (per quanto ora la generazione di numeri sia affidata più spesso alle applicazioni per smartphone).

"Il problema è che le password nascono quaranta, cinquant'anni fa, quando la necessità di autenticarsi online era ristretta a pochi tecnici in giro per il mondo; adesso ognuno di noi ha decine se non centinaia di account sparsi in giro per la Rete e pensare che a ognuno di questa si possa dedicare una password diversa, complicata e non indovinabile è potenzialmente impossibile. Quello che si è cercato di fare è dunque cercare di affiancare alle password un altro fattore, in particolare il cosiddetto "fattore di possesso", che poi è stato implementato in diversi modi e si è trattato essenzialmente sempre di una scelta di compromesso tra sicurezza e usabilità", spiega Coluccia. "A dimostrazione di ciò, quando il sistema di autenticazione multifattore è stato reso obbligatorio, come quando si accede ai conti correnti, ogni istituto ha fatto a modo suo con risultati più o meno soddisfacenti dai due punti di vista."

"Dall'altro lato, quando il sistema è facoltativo, come accade ad esempio sui social network o su noti portali di e-commerce o di pagamento online, gli utenti tendenzialmente o non sanno che si può abilitare il secondo fattore, o non ne sentono la necessità finché non vengono rubate loro le credenziali, o non lo abilitano perché è scomodo. Tanto è vero che le statistiche di chi si autentica con un secondo fattore sui principali siti non sono mai rese pubbliche, perché la percentuale d'adozione è molto bassa. Abbiamo implementato la nostra tecnologia perché fosse sicura, e la sicurezza qui è data dalla tecnologia stessa, ma anche comoda da utilizzare: di fatto l'esperienza utente di chi usa ToothPic si riduce a un singolo clic sullo smartphone, quindi qualcosa di estremamente comodo da usare anche per l'utente non avvezzo all'uso della tecnologia."

Il motivo per cui la maggior parte dei metodi di autenticazione, incluso ToothPic, punta sul fattore di possesso, che dev'essere dunque abbinato a un altro, è che è molto complesso gestire direttamente un fattore di identificazione come i dati biometrici: acquisire e archiviare tali dati è proibitivo semplicemente perché si tratta di dati estremamente sensibili il cui furto rappresenterebbe un danno incalcolabile per il proprietario. Per questo motivo, ad esempio, l'autenticazione con le impronte digitali che molte banche consentono tramite le proprie applicazioni su smartphone non è, in realtà, strettamente un controllo biometrico: la banca non ha accesso all'impronta vera e propria, poiché questa è gestita dal sistema operativo e l'istituto deve dunque in una certa misura fidarsi che il controllo effettuato dal dispositivo del cliente sia corretto. Questa è la ragione per cui quando si cambia smartphone è necessario ri-effettuarne l'autenticazione presso la banca: perché questa non ha modo di verificare che l'impronta letta dal vecchio telefono e dal nuovo sia la stessa.

"C'è poi il fatto che la verifica biometrica è sì sicura, ma con tutti i limiti del caso. I lettori di impronte dei telefoni non sono quelli che consentono di entrare in un caveau: hanno dei limiti come la dimensione, che permette di leggere un pezzettino di impronta, tant'è vero che i ricercatori di Kraken sono riusciti a riprodurre con 5 dollari di materiale un'impronta digitale attraverso una foto della stessa lasciata sullo schermo di un dispositivo e riuscendo poi ad autenticarsi. Questo non demolisce completamente l'uso dell'impronta digitale, ma ritenerlo il metodo più sicuro che abbiamo è pericoloso. Perciò usare un sistema multifattore ha ancora assolutamente senso, così come riteniamo che abbia assolutamente senso non frustrare l'utente che usa l'oggetto."

ToothPic può (e, da quanto abbiamo detto finora, dovrebbe) essere dunque usato insieme ad altri metodi per autenticare l'utente. L'azienda ha sviluppato un proprio SDK che può essere impiegato per integrare la sua tecnologia in applicazioni tanto per iOS quanto per Android, con tempi di sviluppo piuttosto rapidi. Coluccia ci segnala inoltre come la tecnologia di ToothPic possa essere usata anche per effettuare il fingerprinting dei dispositivi, ovvero l'associazione di un'identità univoca e verificabile, al fine di evitare le frodi.

I latini dicevano in medio stat virtus, la virtù sta nel mezzo, e ciò resta vero anche al giorno d'oggi nella stragrande maggioranza dei casi, inclusi i metodi di autenticazione. ToothPic promette di semplificare notevolmente l'uso di sistemi di autenticazione multifattore andando così a ridurre quella frizione che spesso viene a crearsi con l'aumento della complessità delle politiche di sicurezza e che porta poi a una riduzione effettiva della sicurezza stessa, perché gli utenti cercano scorciatoie per evitare la complessità. Verificheremo il mantenimento di tali promesse con il lancio dei primi servizi che faranno uso di questa tecnologia.