Gli account break-glass non sono solo un admin con MFA

Ogni MSP prima o poi si sente chiedere perché un cliente abbia bisogno di account di accesso di emergenza dedicati se ogni amministratore è già tenuto a usare l'autenticazione a più fattori. La risposta è che gli account break-glass risolvono un problema diverso: restare utilizzabili quando il provider di identità o il sistema MFA stesso non è disponibile, non aggiungere un ulteriore livello a un sistema che sta già funzionando.

Cosa consiglia Microsoft

Le indicazioni di Microsoft per Entra ID richiedono almeno due account di accesso di emergenza solo cloud, non sincronizzati da una directory on-premises né federati tramite un provider di identità esterno, perché un account che dipende dalla stessa infrastruttura che è destinato a salvare non è davvero un account di emergenza. Microsoft consiglia un'autenticazione resistente al phishing come le chiavi FIDO2 o l'autenticazione basata su certificati, deliberatamente indipendente dai metodi usati dagli amministratori ordinari, e un'assegnazione permanente, non eleggibile né limitata nel tempo, del ruolo Amministratore globale in Privileged Identity Management, perché un flusso di attivazione è esattamente ciò che potrebbe non funzionare durante un'interruzione. Questi account dovrebbero comunque essere coperti da criteri di Accesso condizionale che richiedono MFA resistente al phishing; l'esclusione consigliata riguarda specificamente il blocco basato sulla geolocalizzazione, non i controlli di accesso in generale, dati i casi passati di accessi legittimi erroneamente classificati in base alla geolocalizzazione per ore di seguito.

Cosa aggiungono NIST e OWASP

Il controllo AC-2(2) di NIST SP 800-53 inquadra gli account di emergenza come qualcosa da attivare per una crisi definita e poi disabilitare o rimuovere automaticamente in seguito, invece di lasciarli attivi a tempo indeterminato. Le linee guida di OWASP sull'MFA segnalano i processi di recupero e bypass come un bersaglio a tutti gli effetti per gli attaccanti: qualsiasi meccanismo che ripristina l'accesso durante un'emergenza non deve diventare silenziosamente un modo per saltare l'MFA in condizioni normali.

Che cosa significa "dimostrare che funziona"

• Monitora gli accessi a questi account in modo specifico, con un avviso per ogni tentativo, riuscito o fallito.
• Esegui esercitazioni di accesso con una pianificazione fissa, in genere ogni 90 giorni, invece di dare per scontato che la configurazione funzioni ancora.
• Scrivi un breve post-mortem dopo ogni utilizzo reale o esercitazione e adegua la configurazione in base a quanto emerso.
• Documenta chi può recuperare le credenziali e come, perché la ridondanza senza un processo di recupero non è davvero ridondante.

Un progetto di accesso di emergenza che non è mai stato testato in condizioni di guasto simulate non è una salvaguardia: è un presupposto.

Fonti: Microsoft Learn — account di accesso di emergenza, NIST SP 800-53 Rev. 5.