La sicurezza delle identità digitali vive una fase di grande trasformazione destinata ad avere impatti profondi non soltanto sul piano tecnologico, ma anche su quello organizzativo e strategico.
Per anni il settore della cyber security ha costruito gran parte delle proprie difese attraverso password sempre più complesse e all’adozione dell’autenticazione multifattore (MFA). Oggi, tuttavia, l’evoluzione peggiorativa delle minacce ha già ampiamente dimostrato che questo approccio non è più sufficiente.
Il phishing moderno ha superato da tempo i concetti delle e-mail mal costruite e dei siti web palesemente fraudolenti. Gli attaccanti sfruttano piattaforme automatizzate, kit di phishing industrializzati, strumenti basati sull’intelligenza artificiale e sofisticate tecniche Adversary-in-the-Middle (AiTM) capaci di intercettare credenziali, token temporanei e sessioni autenticate.
In questo scenario, la pubblicazione definitiva della nuova suite NIST SP 800-63 (siamo alla quarta revisione) rappresenta uno degli aggiornamenti più significativi nel campo dell’identità digitale.
Le nuove linee guida del National Institute of Standards and Technology statunitense non si limitano all’introduzione di tecnologie più sicure, ma delineano un evoluzione tangibile del concetto di fiducia digitale. Questa evoluzione avrà sviluppi che sono destinati a influenzare anche il mercato europeo e italiano.
Indice degli argomenti
Ridisegnare la sicurezza oltre password, OTP e MFA
Per comprendere l’entità del cambiamento occorre partire da una constatazione ormai condivisa da tutti gli operatori del settore: il furto di credenziali continua a rappresentare una delle cause primarie di compromissione dei sistemi informativi.
Per anni l’MFA è stata riconosciuta come la risposta definitiva ed efficace a questa problematica.
Sebbene questa pratica sia stata in grado di migliorare sensibilmente il livello di protezione, le esperienze maturate negli ultimi anni hanno messo il luce limiti sempre più palesi.
Gli attacchi AiTM sono l’esempio più lampante. In questo modello l’aggressore si interpone tra l’utente e il servizio raccogliendo in tempo reale password, codici OTP, cookie di sessione e token di autenticazione.
Il risultato è quello che anche le organizzazioni dotate di MFA tradizionale corrono rischi tangibili di compromissione senza che gli utenti percepiscano segnali di anomalie.
La vera criticità risiede nel fatto che sono molti i sistemi di autenticazione che continuano a fare affidamento sulle capacità dell’utente, ovvero le capacità di distinzione fra un servizio legittimo e uno fraudolento.
Questa è una strategia che diventa sempre meno efficace in uno scenario dove l’intelligenza artificiale consente di realizzare campagne di phishing estremamente credibili.
Il nuovo paradigma: autenticazione resistente al phishing
La risposta del NIST si focalizza maggiormente sul concetto di phishing-resistant authentication.
Ciò non significa introdurre ulteriori fattori di autenticazione, ma procedere alla progettazione di sistemi nei quali l’appropriazione delle credenziali diventi tecnicamente inutile.
Qual è obiettivo di questo nuovo paradigma? Eliminare i presupposti su cui si basano le attuali campagne di phishing, ovvero la possibilità di riutilizzare le informazioni di autenticazione sottratte agli utenti.
Per questo motivo il NIST prende oggi in considerazione gli standard FIDO2 e WebAuthn come riferimento principale per la progettazione di sistemi di autenticazione moderni.
Tramite l’impiego di chiavi crittografiche generate in locale sui dispositivi degli utenti, questi standard eliminano il requisito di trasmissione di password riutilizzabili, verificando crittograficamente l’identità del dominio con cui viene stabilita la comunicazione.
A questo punto se il sito visitato non corrisponde a quello autorizzato, il processo di autenticazione non potrà essere completato. In sostanza la differenza rispetto all’uso delle tradizionali OTP è significativa: non esiste più alcun “segreto” che può essere catturato e sfruttato dagli attaccanti.
Le passkey come tecnologia di massa
Uno degli aspetti più rilevanti introdotti dalla REV 4 delle linee guida del NIST si focalizza sul riconoscimento delle passkey come elemento centrale per i modelli di autenticazione futuri. Fino a poco tempo fa le soluzioni senza password erano considerate come tecnologie specifiche per ambienti specializzati o destinate alle organizzazioni particolarmente “mature” dal punto di vista della cyber sicurezza.
Tuttavia, lo scenario è radicalmente cambiato: Google, Apple e Microsoft hanno integrato le passkey all’interno dei propri ecosistemi. Questa pratica spinge verso la diffusione dei modelli di autenticazione in grado di ridurre drasticamente il requisito delle password tradizionali.
Molto significativa la decisione del NIST di includere e disciplinare anche le credenziali che possono essere sincronizzate in modo sicuro tra più dispositivi appartenenti allo stesso utente (syncable passkey).
Questa evoluzione supera uno dei principali ostacoli che ha rallentato l’adozione del passwordless, ossia la difficoltà di utilizzare le stesse credenziali su ambienti e dispositivi differenti senza comprometterne la sicurezza.
Dall’autenticazione alla governance dell’identità
Sarebbe un errore riconoscere la SP 800-63-4 come una semplice guida tecnica sull’autenticazione poiché il cambiamento più importante riguarda l’approccio sulla visione complessiva dell’identità digitale.
Nella nuova impostazione del NIST, l’identità digitale non è più presa in considerazione come evento legato unicamente all’atto del login, ma come un processo continuo che deve essere monitorato e valutato nel tempo.
L’accesso iniziale diventa quindi uno dei tanti momenti soggetti alla verifica; diventa invece fondamentale l’osservazione costante verso il comportamento degli utenti, il contesto in cui operano, i dispositivi in uso, la loro posizione ma anche i livelli di rischio associati alle sessioni oltre alle eventuali anomalie rilevate.
Questo è un approccio che va ad integrarsi perfettamente con i principi delle architetture Zero Trust, basate sul paradigma “nessun accesso può essere considerato affidabile per definizione”.
L’incontro tra NIST e NIS2
Questo cambio di passo assume particolare rilevanza anche nel contesto europeo.
Con l’entrata in vigore della direttiva NIS2, le organizzazioni sono chiamate ad adottare misure via via più rigorose per la gestione accessi e per la protezione delle identità digitali.
Nonostante la normativa europea non imponga l’adozione degli standard NIST, molte indicazioni contenute convergono verso i medesimi principi: protezione degli account con privilegi, gestione sicura delle identità, autenticazione rafforzata, monitoraggio real time e mitigazione dei rischi di compromissione, sono fattori comuni sia alle nuove linee guida americane che al quadro normativo del Vecchio Continente.
E in Italia? Per molte organizzazioni il framework NIST assume un ruolo che oltrepassa i semplici riferimenti tecnici, perché rappresenta uno strumento con cui indirizzare meglio investimenti e strategie di compliance.
Il mercato dell’Identity Security
Con queste premesse è inevitabile una trasformazione del mercato della cybersicurezza.
Per anni le organizzazioni hanno gestito separatamente identità e accessi (IAM) come anche gli accessi privilegiati (PAM), l’autenticazione multifattore e il monitoraggio delle minacce.
Questi ambiti stanno oggi progressivamente convergendo; le piattaforme di Identity Security di ultima generazione integrano autenticazione, gestione degli accessi privilegiati, analisi comportamentale, rilevamento di minacce identitarie e protezione delle sessioni, il tutto integrato in un unico ecosistema.
La diffusione delle soluzioni ITDR (Identity Threat Detection and Response) è lo specchio che pone in evidenza questa evoluzione. I nuovi approcci hanno cambiato l’obiettivo: non più soltanto la verifica di colui che accede alle risorse, ma la comprensione del comportamento delle identità e se esse siano coerenti durante l’intero ciclo della sessione.
Il wallet europeo dell’identità digitale
Un ulteriore aspetto che sta assumendo progressiva rilevanza riguarda il rapporto tra le linee guida NIST e l’evoluzione dell’identità digitale europea.
Lo sviluppo dell’European Digital Identity Wallet (EUDI Wallet) introduce nuovi scenari nei quali l’autenticazione rafforzata, la gestione delle credenziali verificabili e il controllo delle identità convergeranno gradualmente verso un unico ecosistema digitale.
Il modello europeo e l’approccio NIST, sebbene nati all’interno di contesti normativi diversi, hanno in comune la visione di ridurre la dipendenza da credenziali statiche ma anche costruire meccanismi fiduciari che si basano su evidenze crittografiche verificabili.
La nuova SP 800-63-4 sta segnando un passaggio che oltrepassa in modo deciso la mera evoluzione delle tecnologie di autenticazione. Quello che emerge dalle nuove linee guida è un percorso di trasformazione più profondo dove l’approccio alla sicurezza non può più essere costruito attorno alla sola protezione delle credenziali, ma dovrà concentrarsi d’ora in poi sulla protezione dell’identità nel suo insieme.
Lo scenario attuale vede fattori sfidanti come il phishing tecnicamente avanzato, l’automazione degli attacchi e l’uso crescente dell’intelligenza artificiale da parte dei cyber criminali. Di conseguenza, la fiducia non può più essere basata sul possesso e la conoscenza degli utenti, bensì sulla costruzione di processi continuativi di verifica, su meccanismi crittografici resistenti al phishing e su una gestione dinamica dei rischi.
Questa è la direzione indicata dal NIST e con tutta probabilità sarà lungo questa direttrice che si giocherà nel prossimo futuro la partita della cyber resilience delle organizzazioni europee.
Le nuove linee guida del NIST e i sistemi di autenticazione phishing-resistent saranno trattati e discussi dai maggiori esperti di settore in occasione di secsolutionforum 2026, evento che si svolgerà presso BolognaFiere il 7 e 8 ottobre prossimi. L’edizione 2026, che si svolge di nuovo in presenza, è un’opportunità unica che offre confronto, dibattito e aggiornamenti formativi con le figure di spicco nell’ambito della cybersicurezza nazionale. Per saperne di più consultate la pagina dell’evento.
Partecipa alla community