Glossario Identità e Accessi (IAM)

Modello architetturale che separa in tre funzioni la sicurezza degli accessi: verifica dell'identità (autenticazione), concessione dei permessi (autorizzazione) e registrazione dell'uso delle risorse (accounting). È alla base di protocolli come RADIUS, TACACS+ e Diameter.

Revisione periodica dei permessi assegnati agli utenti per verificare che siano ancora giustificati dal ruolo. Individua e rimuove accessi accumulati nel tempo, contrastando il fenomeno dell'eccesso di privilegi.

Credenziale temporanea rilasciata dopo l'autenticazione che l'applicazione presenta per accedere a una risorsa protetta. Ha vita breve e delimita i permessi concessi, così da limitare i danni in caso di sottrazione.

Meccanismo con cui un utente autorizza un'applicazione ad agire per suo conto su risorse altrui, senza cederle la password. È il principio alla base di protocolli come OAuth, che rilasciano permessi limitati e revocabili.

Forma di autenticazione federata in cui l'utente accede a un servizio riusando le credenziali di un provider sociale (Google, Apple, Facebook) tramite OAuth o OpenID Connect, senza creare un nuovo account dedicato.

Utenza ancora attiva che non ha più un titolare valido, ad esempio dopo l'uscita di un dipendente o la dismissione di un servizio. Rappresenta un rischio di sicurezza e va individuata e disattivata tramite i processi di identity governance.

Utenza dotata di permessi elevati, come amministratore di sistema, root o account di servizio, capace di modificare configurazioni e accedere a dati sensibili. Per il suo rischio elevato è oggetto specifico della gestione degli accessi privilegiati (PAM).

Servizio di directory di Microsoft che centralizza la gestione di utenti, gruppi, computer e policy in una rete aziendale. È il cuore dell'identità in molti ambienti Windows e un bersaglio critico da proteggere.

Documento XML firmato emesso dall'Identity Provider che attesta l'avvenuta autenticazione di un utente e ne veicola attributi e autorizzazioni verso il Service Provider. È l'unità informativa portante del Single Sign-On basato su SAML.

Modello di autorizzazione che decide gli accessi valutando attributi di utente, risorsa e contesto, come reparto, orario o sensibilità del dato. Offre regole più flessibili e granulari rispetto al solo controllo basato sui ruoli.

Processo con cui un sistema verifica che un utente o un dispositivo sia davvero chi dichiara di essere. È il primo passo del controllo degli accessi e precede l'autorizzazione, che stabilisce invece cosa quell'identità può fare.

Metodo che richiede due o più prove di identità appartenenti a categorie diverse, come una password, un dispositivo fisico e un dato biometrico. Anche se un fattore viene compromesso, gli altri continuano a proteggere l'accesso, riducendo fortemente il rischio di violazioni.

Approccio che modula i requisiti di autenticazione in base al rischio del contesto, come dispositivo, luogo o comportamento insolito. Chiede verifiche più forti solo quando i segnali di rischio lo giustificano, bilanciando sicurezza e usabilità.

Metodo in cui il soggetto prova la propria identità possedendo la chiave privata associata a un certificato digitale X.509 emesso da una CA. Non richiede password ed è usata per utenti, dispositivi e servizi in ambito PKI.

Metodo che verifica l'identità ponendo domande la cui risposta dovrebbe essere nota solo all'utente (domande di sicurezza). È considerato debole perché le risposte sono spesso reperibili o intuibili, ed è sconsigliato come fattore primario.

Verifica dell'identità basata su caratteristiche fisiche o comportamentali, come impronta, volto o voce. Offre comodità e un fattore difficile da replicare, ma solleva questioni di privacy e di gestione dei dati biometrici.

Approccio che verifica l'identità dell'utente ripetutamente durante l'intera sessione, e non solo al login, analizzando segnali comportamentali e contestuali. Consente di rilevare il dirottamento di sessione o l'uso da parte di un soggetto diverso.

Meccanismo in cui entrambe le parti di una comunicazione verificano reciprocamente la propria identità prima di scambiare dati, anziché il solo client verso il server. È tipica di TLS con certificati client (mTLS) e di Kerberos.

Modello che sostituisce la password con fattori più sicuri, come chiavi crittografiche, biometria o passkey. Elimina i rischi legati a password deboli, riutilizzate o rubate, uno dei vettori d'attacco più comuni.

Scala definita da NIST SP 800-63B che misura la robustezza del processo di autenticazione: AAL1 ammette un solo fattore, AAL2 richiede autenticazione a più fattori, AAL3 esige autenticatori hardware resistenti al phishing.

Processo che determina quali risorse e operazioni sono consentite a un'identità già autenticata. Applica le policy di accesso, traducendo l'identità verificata in permessi concreti su dati, funzioni e sistemi.

Riconoscimento basato su schemi di comportamento anziché su tratti fisici: dinamica di battitura, movimento del mouse, andatura o modo di tenere il dispositivo. È usata spesso per l'autenticazione continua e il rilevamento di frodi.

Account di emergenza con privilegi elevati, da usare solo quando i normali meccanismi di accesso non sono disponibili. Va custodito, monitorato e attivato con procedure eccezionali per evitarne l'abuso.

Deposito centralizzato e cifrato in cui una soluzione PAM custodisce password, chiavi e segreti degli account privilegiati, erogandoli in modo controllato e tracciato. Sottrae le credenziali agli endpoint e ne consente la rotazione automatica.

Processo periodico di governance in cui responsabili o proprietari delle risorse riesaminano e confermano o revocano i diritti di accesso assegnati alle identità. Serve a garantire la conformità e a evitare l'accumulo indebito di privilegi.

Dispositivo fisico, tipicamente USB, NFC o Bluetooth, che conserva chiavi crittografiche e agisce da autenticatore FIDO2 o U2F. Fornisce un fattore di possesso resistente al phishing, poiché lega la firma all'origine legittima del sito.

Ramo dell'IAM dedicato alle identità dei clienti esterni anziché dei dipendenti, con enfasi su registrazione self-service, social login, scalabilità, consenso e privacy. Bilancia sicurezza ed esperienza utente nei servizi rivolti al pubblico.

Insieme delle fasi che un'identità digitale attraversa, dalla creazione alle modifiche di ruolo fino alla disattivazione. Gestirlo bene garantisce che i permessi restino sempre coerenti con le reali necessità dell'utente.

Affermazione su un soggetto, ad esempio nome, ruolo o indirizzo email, contenuta in un token o in un'asserzione ed emessa da un provider di identità. I claim sono l'unità informativa con cui JWT, ID token e asserzioni SAML descrivono l'utente.

Insieme di policy che concedono o negano l'accesso in base a condizioni come identità, dispositivo, posizione e livello di rischio. Consente decisioni contestuali, ad esempio imponendo un fattore aggiuntivo da reti non fidate.

Modello in cui il proprietario di una risorsa decide a propria discrezione chi può accedervi e con quali permessi, tipicamente tramite liste di controllo accessi. È flessibile ma più esposto a errori e propagazione non controllata dei privilegi.

Modello in cui l'accesso alle risorse è imposto centralmente dal sistema in base a etichette di sicurezza (classificazioni e clearance), senza che i singoli utenti possano modificarne i permessi. È tipico di ambienti militari e ad alta sicurezza.

Struttura dati standardizzata dal W3C che rappresenta attestazioni su un soggetto in forma crittograficamente verificabile e a prova di manomissione. È emessa da un issuer, custodita dal titolare e presentata a un verifier che ne controlla firma e validità.

Protocollo FIDO2 che consente a un client (browser o sistema operativo) di dialogare con un autenticatore esterno o integrato, ad esempio una chiave USB o NFC. Insieme a WebAuthn costituisce lo stack FIDO2 alla base delle passkey.

Processo di revoca degli accessi e disattivazione degli account quando un utente lascia l'organizzazione o cambia ruolo. Un deprovisioning tempestivo è essenziale per evitare account orfani sfruttabili da un attaccante.

Protocollo AAA definito dall'RFC 6733, successore di RADIUS, usato soprattutto nelle reti mobili (LTE, IMS) per autenticazione, autorizzazione e accounting. Opera su TCP o SCTP con supporto a TLS/DTLS e a un modello di messaggi estensibile.

Framework di autenticazione, non un metodo unico, che trasporta diversi meccanismi (EAP-TLS, PEAP, EAP-TTLS). È usato negli accessi 802.1X di rete cablata e Wi-Fi e come base per lo scambio credenziali tra supplicant e server di autenticazione.

Insieme granulare di permessi, ruoli o privilegi concessi a un'identità su un sistema o un'applicazione. La gestione degli entitlement (entitlement management) ne governa assegnazione, revisione e revoca lungo il ciclo di vita dell'identità.

Categoria di prova con cui un soggetto dimostra la propria identità: qualcosa che si conosce (password), qualcosa che si possiede (token, smart card) o qualcosa che si è (biometria). La combinazione di più categorie realizza l'autenticazione a più fattori.

Meccanismo che consente di usare un'unica identità presso più organizzazioni o domini che si fidano reciprocamente. Evita di duplicare le credenziali e sta alla base dell'accesso a servizi esterni con l'account aziendale.

Standard FIDO Alliance per il secondo fattore hardware, in cui una chiave di sicurezza esegue una firma crittografica su richiesta del sito. Con FIDO2 è stato ridenominato CTAP1 e integrato nell'ecosistema WebAuthn e passkey.

Standard aperto per l'autenticazione forte senza password, basato su crittografia a chiave pubblica e credenziali legate al dispositivo. È la base tecnologica delle passkey e resiste bene agli attacchi di phishing.

Insieme delle tecniche per creare, mantenere e chiudere in sicurezza la sessione di un utente autenticato. Comprende scadenze, invalidazione e protezione dei token, per evitare furti di sessione e accessi persistenti indebiti.

Algoritmo per generare password monouso basato su HMAC e su un contatore incrementale condiviso tra token e server, definito nell'RFC 4226. È il precursore di TOTP, che al posto del contatore usa il tempo come input variabile.

Insieme di processi e tecnologie che gestiscono identità digitali e controllano l'accesso a risorse, definendo chi può fare cosa in un sistema.

Token in formato JWT introdotto da OpenID Connect che attesta l'avvenuta autenticazione dell'utente e ne trasporta i claim di identità verso la Relying Party. Si distingue dall'access token, destinato invece all'autorizzazione verso le API.

Erogazione in cloud di funzioni di gestione delle identità e degli accessi, come SSO, MFA, provisioning e directory, fornite da un provider esterno anziché gestite on-premise. Riduce l'onere infrastrutturale della piattaforma IAM.

Identificatore globalmente univoco, standardizzato dal W3C, che un soggetto può creare e controllare senza un'autorità centrale di registrazione. Si risolve in un documento DID contenente chiavi pubbliche e metodi di verifica per provarne il possesso.

Identità associata a entità non umane come server, servizi, container, applicazioni e dispositivi, rappresentata tipicamente da certificati, chiavi o token anziché da credenziali umane. La sua gestione è un ambito crescente dell'IAM.

Rappresentazione elettronica di un soggetto (persona, organizzazione o dispositivo) costituita da identificatori e attributi che ne consentono il riconoscimento in un contesto digitale. È l'oggetto centrale su cui operano autenticazione e autorizzazione.

Disciplina che governa le identità e i loro diritti di accesso lungo tutto il ciclo di vita, unendo policy, processi e automazione. Assicura che gli accessi siano appropriati, tracciabili e conformi alle normative.

Servizio che gestisce le identità degli utenti e ne certifica l'autenticazione ad altre applicazioni. È il fulcro di single sign-on e federazione: le applicazioni si fidano dell'IdP invece di gestire credenziali proprie.

Formato compatto e firmato per trasportare informazioni verificabili tra le parti, molto usato per token di accesso e sessione. La firma ne garantisce l'integrità, ma il contenuto è leggibile e non va confuso con la cifratura.

Modello che concede privilegi elevati solo per il tempo strettamente necessario a svolgere un compito, per poi revocarli. Riduce l'esposizione degli account privilegiati, che non restano attivi in permanenza.

Protocollo di autenticazione di rete che usa "ticket" cifrati per provare l'identità di utenti e servizi. Evita di trasmettere le password in chiaro ed è diffuso nelle reti aziendali.

Protocollo per interrogare e gestire servizi di directory che conservano informazioni su utenti, gruppi e risorse. È la base di molte infrastrutture di identità, spesso usato per autenticare gli utenti contro un repository centrale.

Principio per cui a ogni utente o processo si concedono solo i permessi strettamente necessari. Riduce i danni possibili se un account viene compromesso.

Metodo che richiede due o più prove di identità appartenenti a categorie diverse, come una password, un dispositivo fisico e un dato biometrico. Anche se un fattore viene compromesso, gli altri continuano a proteggere l'accesso, riducendo fortemente il rischio di violazioni.

Suite di protocolli di autenticazione Microsoft basata su sfida-risposta (challenge-response), storicamente usata nei domini Windows. Considerata legacy e meno sicura di Kerberos, è esposta ad attacchi come pass-the-hash e relay, e ne è raccomandata la dismissione.

Framework di autorizzazione che consente a un'applicazione di ottenere accesso limitato alle risorse di un utente su un altro servizio senza conoscerne la password, tramite il rilascio di token. È lo standard alla base delle deleghe di accesso fra applicazioni sul web.

Framework di autorizzazione che consente a un'applicazione di ottenere accesso limitato alle risorse di un utente su un altro servizio senza conoscerne la password, tramite il rilascio di token. È lo standard alla base delle deleghe di accesso fra applicazioni sul web.

Codice valido per un solo accesso o una sola transazione, inviato o generato al momento. Usato come fattore aggiuntivo di autenticazione, limita l'utilità di un codice eventualmente intercettato, perché scade subito dopo l'uso.

Livello di autenticazione costruito sopra OAuth 2.0. Permette a un sito di verificare l'identità di un utente affidandosi a un provider esterno, in modo standardizzato.

Tecniche e strumenti per controllare, monitorare e proteggere gli account con privilegi elevati, riducendo i rischi di abuso o compromissione.

Credenziale che sostituisce la password con una coppia di chiavi crittografiche legate al dispositivo. Resiste al phishing perché non esiste un segreto da digitare o rubare.

Modello di autorizzazione in cui le decisioni di accesso derivano da politiche centralizzate esterne al codice applicativo, che combinano ruoli, attributi e condizioni contestuali. Generalizza RBAC e ABAC e ne facilita governance e audit.

Estensione di OAuth 2.0 definita nell'RFC 7636 che protegge il flusso authorization code dall'intercettazione del codice, usando un code_verifier segreto e il relativo code_challenge. È obbligatoria in OAuth 2.1 e raccomandata per client pubblici e mobili.

Motore dell'architettura di autorizzazione che valuta la richiesta rispetto alle politiche applicabili e restituisce una decisione di permesso o rifiuto al Policy Enforcement Point. È il componente che concentra la logica decisionale.

Componente dell'architettura di autorizzazione che intercetta la richiesta di accesso, la inoltra al Policy Decision Point e applica la decisione risultante, consentendo o negando l'operazione. Fa da gatekeeper davanti alla risorsa protetta.

Insieme di regole che definiscono requisiti di lunghezza, complessità, scadenza e riutilizzo delle password. Ben calibrata rafforza gli account; troppo rigida spinge invece gli utenti verso comportamenti meno sicuri.

Processo di creazione, aggiornamento e revoca degli account e dei relativi diritti d'accesso lungo l'intero ciclo di vita di un utente. Se automatizzato, garantisce che i permessi seguano tempestivamente ingressi, cambi di ruolo e uscite, evitando account orfani o sovra-autorizzati.

Modello di controllo degli accessi in cui i permessi sono assegnati a ruoli e gli utenti ottengono i privilegi in base ai ruoli ricoperti. Semplifica la gestione su larga scala e favorisce il rispetto del privilegio minimo, disaccoppiando le persone dai singoli permessi.

Modello di controllo degli accessi in cui i permessi sono assegnati a ruoli e gli utenti ottengono i privilegi in base ai ruoli ricoperti. Semplifica la gestione su larga scala e favorisce il rispetto del privilegio minimo, disaccoppiando le persone dai singoli permessi.

Modello di autorizzazione in cui i permessi derivano dalle relazioni tra entità (ad esempio proprietario, membro, editor) modellate come un grafo. Reso popolare dal sistema Zanzibar di Google, è adatto ad autorizzazioni fini e contestuali.

Credenziale a durata più lunga usata per ottenere nuovi access token senza chiedere di nuovo le credenziali all'utente. Va custodito con cura, perché la sua compromissione consente di generare accessi validi nel tempo.

In OpenID Connect e OAuth, l'applicazione client che si affida a un provider di identità (OpenID Provider) per autenticare l'utente e ottenere claim sulla sua identità. È l'equivalente OIDC del Service Provider di SAML.

Tecnica nei sistemi biometrici che verifica la presenza di una persona reale e viva durante l'acquisizione, per contrastare attacchi di presentazione con foto, video, maschere o repliche. Può essere attiva o passiva.

Tecnica di identity governance che analizza i permessi effettivamente assegnati agli utenti per individuare e definire ruoli coerenti da usare in un modello RBAC. Aiuta a razionalizzare le autorizzazioni e a ridurre la proliferazione dei ruoli.

Pratica di sostituire periodicamente o dopo l'uso password, chiavi e segreti, spesso in modo automatico tramite una soluzione PAM. Riduce la finestra di sfruttamento di credenziali compromesse e limita i segreti statici e di lunga durata.

Standard basato su XML per lo scambio di asserzioni di autenticazione e autorizzazione tra identity provider e servizi. È molto diffuso nel single sign-on aziendale verso applicazioni web e SaaS.

System for Cross-domain Identity Management: standard che automatizza la creazione, l'aggiornamento e la disattivazione degli account tra sistemi diversi. Mantiene allineate le identità tra l'organizzazione e i servizi cloud che usa.

Parametro che delimita l'ambito dei permessi concessi a un'applicazione durante un'autorizzazione delegata. Definendo con precisione cosa l'app può fare, applica il principio del privilegio minimo agli accessi di terze parti.

Servizio che emette, valida e trasforma token di sicurezza in un'architettura di identità federata, fungendo da autorità fidata tra parti diverse. È alla base di WS-Trust ed è presente in molte piattaforme SSO e di scambio token.

Modello di identità digitale in cui l'individuo controlla direttamente i propri identificatori e credenziali, conservati in un wallet personale, senza dipendere da un'autorità centrale. Si basa su identificatori decentralizzati e credenziali verificabili.

Principio di controllo che distribuisce fra più persone i passaggi critici di un processo, in modo che nessun singolo soggetto possa completarlo da solo. Riduce frodi ed errori richiedendo collusione per abusare dei privilegi.

Identità non umana usata da applicazioni, script o servizi per accedere a risorse e comunicare tra sistemi. Va gestita con credenziali robuste e privilegi minimi, perché spesso opera senza supervisione diretta.

Nella federazione delle identità e in SAML, l'applicazione o il servizio che consuma le asserzioni di autenticazione emesse dall'Identity Provider e su di esse concede l'accesso. È la controparte che si affida all'IdP per verificare l'utente.

Sistema che memorizza e organizza in modo gerarchico informazioni su utenti, gruppi, dispositivi e risorse, consentendone ricerca e autenticazione centralizzate. Vi si accede tipicamente via LDAP; Active Directory ne è un'implementazione diffusa.

Meccanismo complementare al Single Sign-On che, alla disconnessione da un'applicazione, termina in modo coordinato tutte le sessioni federate aperte presso i vari service provider tramite l'Identity Provider comune.

Meccanismo che permette all'utente di autenticarsi una sola volta per accedere a più applicazioni e servizi correlati senza reinserire le credenziali. Migliora l'esperienza d'uso e centralizza il controllo degli accessi, semplificando la gestione delle identità.

Tessera dotata di chip sicuro che conserva credenziali o chiavi crittografiche usate per autenticarsi. Combinata con un PIN, realizza un'autenticazione a due fattori robusta, diffusa in ambito aziendale e nella pubblica amministrazione.

Meccanismo che permette all'utente di autenticarsi una sola volta per accedere a più applicazioni e servizi correlati senza reinserire le credenziali. Migliora l'esperienza d'uso e centralizza il controllo degli accessi, semplificando la gestione delle identità.

Richiesta di un livello di verifica aggiuntivo quando l'utente tenta un'operazione sensibile, anche se già autenticato. Innalza la sicurezza sui punti critici senza appesantire ogni singola interazione.

Protocollo AAA sviluppato da Cisco e standardizzato nell'RFC 8907, usato per l'amministrazione dei dispositivi di rete. Cifra l'intero corpo dei pacchetti e separa nettamente autenticazione, autorizzazione e accounting, a differenza di RADIUS.

Oggetto o stringa che rappresenta una credenziale o un diritto di accesso, usato per autenticarsi o autorizzare operazioni. Può essere un dispositivo fisico che genera codici temporanei o un token digitale, come un access token o un JWT.

Time-based One-Time Password: codice temporaneo generato da un'app o un dispositivo a partire da un segreto condiviso e dall'orario corrente. È un secondo fattore molto diffuso, valido solo per pochi secondi.

Processo con cui un sistema stabilisce e valida che una persona sia effettivamente chi dichiara di essere, raccogliendo e verificando prove d'identità prima di registrarla. In NIST SP 800-63A definisce i livelli di garanzia dell'identità (IAL).

Componente degli standard FIDO2 che definisce l'API con cui browser e applicazioni web usano autenticatori sicuri, come chiavi hardware o biometria. Consente accessi resistenti al phishing direttamente dal browser.

Standard OASIS basato su XML per esprimere politiche di controllo accessi e richieste di autorizzazione in modo indipendente dall'applicazione. Definisce un'architettura con PEP, PDP, PAP e PIP tipica dei modelli ABAC e PBAC.