Nessuno vuole che la sicurezza dei propri dati online venga compromessa.
Purtroppo, violazioni di dati ad alto profilo che coinvolgono aziende grandi e affidabili non sono rare.
Queste violazioni possono mettere a rischio la sicurezza dei tuoi indirizzi email, delle tue password e di qualsiasi altra informazione memorizzata in un profilo.
Alcuni clienti hanno creato il loro account SuperSaaS anni fa e stanno ancora usando la stessa password sia su SuperSaaS che su altri siti.
Ci sono due modi in cui cerchiamo di difenderci dai tentativi degli hacker di usare queste liste per ottenere accesso.
Impediamo l’inserimento di password ad alto volume, ma non è una protezione completa
Per prima cosa, abbiamo un sistema che rileva chiunque provi un numero elevato di password in poco tempo.
Quegli indirizzi IP vengono bloccati automaticamente e il nostro software di monitoraggio ci avvisa.
Tuttavia, questo tipo di monitoraggio non è completamente efficace perché gli hacker possono utilizzare molti indirizzi IP e testare poche password da ciascuno.
Verifichiamo la tua password confrontandola con una lista di password compromesse
Come seconda linea di difesa, prendiamo le liste di account compromessi disponibili online da società di ricerca sulla sicurezza e controlliamo se qualcuno dei nostri clienti appare in esse.
Sul sito have i been pwned? puoi verificare se il tuo account compare nella lista.
Se troviamo una password corrispondente, controlliamo se anche l’indirizzo email associato appare nella lista e reimpostiamo la password solo se compaiono entrambi.
Possiamo verificare la tua password senza conoscerla davvero
È importante sottolineare che non dobbiamo inviare la tua password a nessuno per questa verifica: infatti, la tua password non lascia mai i nostri server.
Utilizziamo invece un’impronta matematica della tua password, chiamata hash crittografico, e controlliamo se quell’hash appare nella lista.
Le impronte sono conservate in un elenco separato che non lascia il nostro ufficio.
Da sole, le impronte sono innocue: non possono essere ricostruite per ottenere la password originale.
In questo modo nessuno deve gestire direttamente le password reali, e noi stessi non sapremo quale password hai usato se troviamo una corrispondenza nella lista.
Sapremo solo che è presente in una lista di password compromesse e che sarebbe opportuno reimpostarla.
Reimpostiamo le password che troviamo nella lista
Se l’hash della tua password viene trovato nella lista delle password compromesse, eliminiamo la tua password come misura precauzionale.
La prossima volta che proverai ad accedere, verrai indirizzato alla schermata “password dimenticata”, così potrai inviarti un link per reimpostarla.
Per essere chiari, questo non significa che il tuo account sia stato compromesso.
Significa solo che abbiamo reimpostato la tua password come precauzione per evitare che venga compromessa in futuro.
Riteniamo che il lieve fastidio di una password cancellata sia preferibile ai gravi problemi causati da un account violato.
Ovviamente, puoi contattarci se hai domande su questo processo.
Per maggiori informazioni, consulta la nostra privacy policy e la pagina GDPR.
Questo processo di verifica verrà ripetuto regolarmente, ad esempio se si verifica una nuova grande violazione e compaiono nuove liste online.
Parliamo raramente della nostra sicurezza, perché finché facciamo bene il nostro lavoro c’è poco da comunicare.
Questa è una delle poche misure visibili che adottiamo per offrirti un’esperienza sicura quando utilizzi SuperSaaS.
Sii certo che, come team, lavoriamo ogni giorno dietro le quinte sulla cybersecurity.
Pubblicato originariamente nel febbraio 2019.