Tutto quello che devi sapere sull'autenticazione a due fattori, inclusi i punti deboli

L'autenticazione a due fattori venne lanciata nel 1998 dalla società statunitense AT&T, che brevettò un "metodo automatizzato per avvisare un cliente dell'avvio di una transazione e per consentirgli di autorizzarla tramite una conferma o approvazione".

Se non hai familiarità con questi termini, prosegui nella lettura per apprendere le informazioni di base e le vulnerabilità di questo metodo.

Cosa si intende per 2FA e MFA?

L'autenticazione a due fattori (2FA) è un processo di verifica in cui è necessario eseguire due passaggi per accedere alle informazioni sensibili. L'autenticazione a più fattori (MFA) è invece una procedura di maggiore complessità, che utilizza più di due fattori per verificare l'autenticità di un accesso.

Al giorno d'oggi, il metodo 2FA è il più comune ed è consigliato per tutti gli account online al fine di ridurre il rischio di accessi non autorizzati. Esiste persino un sito web dedicato che elenca tutti i servizi che utilizzano la 2FA e fornisce informazioni dettagliate sui metodi di autenticazione disponibili.

Cos'è un fattore?

Un fattore è semplicemente un tipo di autenticazione e, di seguito, abbiamo elencato i più comuni.

Qualcosa che conosci

È il fattore di autenticazione più comune che usiamo quotidianamente. Richiede di inserire delle credenziali per accedere a un account; un esempio classico è la combinazione di nome utente e password.

Qualcosa che possiedi

Questo fattore richiede di fornire un account di posta elettronica, un numero di telefono o un altro canale al quale inviare un codice di verifica. Alcuni dei metodi di autenticazione più comuni sono:

• Codice tramite SMS. È un codice univoco e monouso, costituito in genere da sei cifre, che viene inviato al telefono dell'utente con un messaggio di testo.

• Applicazioni di autenticazione. Questo metodo funziona in modo molto simile ai codici via SMS. L'app genera un codice monouso costituito da sei cifre che, invece di essere inviato tramite un messaggio di testo, è accessibile direttamente dall'applicazione. È possibile usare una delle tante app di autenticazione per dispositivi mobili, come ad esempio Google Authenticator.

• Un token hardware. È un dispositivo, come ad esempio una YubiKey, che genera un codice di accesso monouso crittografato. Di solito si presenta come una stringa di sei cifre, da utilizzare in modo analogo ai codici numerici ricevuti tramite SMS o generati dalle app di autenticazione. L'ulteriore vantaggio di un token hardware è che si tratta di un dispositivo a sé stante, che puoi portare con te.

Qualcosa che sei

Per la verifica dell'accesso, questo fattore usa i tuoi dati biometrici come le impronte digitali, il riconoscimento vocale o le scansioni della retina. È difficile replicare e aggirare la biometria, in quanto si basa sulle caratteristiche fisiche uniche di un individuo: questo è uno dei motivi principali per cui sta diventando sempre più popolare come fattore di autenticazione.

Il luogo in cui ti trovi

Questo fattore è correlato alla posizione geografica e, di solito, viene rilevato tramite l'indirizzo IP (Internet Protocol). Alcune aziende raccolgono le tue informazioni di geolocalizzazione e segnalano eventuali tentativi di accesso da luoghi inconsueti. Supponiamo ad esempio che tu viva in Italia, ma che sia stato riscontrato un tentativo di accesso al tuo account dalla Cina: in questo caso, il servizio online ti avviserà dell'attività anomala e potrebbe chiederti di verificare una nuova località geografica. Questo fattore di autenticazione aiuta a identificare gli accessi non autorizzati nelle fasi iniziali.

Perché dovresti usare l'autenticazione a due fattori?

Il motivo principale per cui si utilizzano i metodi 2FA o MFA è il livello aggiuntivo di sicurezza che offrono. Ciò non significa che, aggiungendo l'autenticazione 2FA al tuo account, eviterai del tutto i rischi di violazioni; quantomeno, però, non sarai un bersaglio facile per gli hacker.

Ciò è dovuto al fatto che un criminale informatico dovrebbe riuscire non solo a mettere le mani sulla tua password, ma anche a disabilitare l'autenticazione 2FA: ad esempio ricorrendo ad attacchi di phishing, malware o tentativi di attivare la procedura di recupero del tuo account. Fatto ciò, dovrebbe reimpostare la password e solo allora tentare di disabilitare il metodo 2FA. Si tratta di procedure piuttosto laboriose che, in genere, gli hacker sono poco inclini ad attuare per gli account di singoli utenti.

L'autenticazione 2FA è sicura come sembra?

Nonostante le migliori intenzioni di proteggere gli account online, gli hacker stanno diventando sempre più creativi e alla ricerca di nuovi modi per aggirare la 2FA. In fin dei conti, tutti i metodi sono sicuri fino a quando non vengono violati per la prima volta; l'autenticazione basata su SMS è stata la prima a essere riconosciuta come vulnerabile. Ecco perché, già nel 2016, il National Institute of Standards and Technology (NIST), che oggi fa parte del Dipartimento del Commercio degli Stati Uniti, ha messo al bando l'uso degli SMS per l'autenticazione 2FA. L'aumento dei crimini informatici come il phishing tramite SMS (detto anche smishing) e le richieste indebite di portabilità del numero, in seguito alle quali le vittime perdono il controllo dei propri numeri di telefono, sono i principali fattori che hanno determinato tale decisione. In ogni caso, utilizzare questo metodo è comunque più sicuro di non usarlo affatto; se non ci sono altre alternative, è meglio abilitarlo.

Come puoi migliorare la sicurezza dei tuoi account online?

• Le password rappresentano la prima linea di difesa per la sicurezza degli account online. Essendo la prima barriera a protezione dei tuoi account, fai tutto il possibile per renderle robuste e sicure. Verifica la sicurezza delle password che usi attualmente e controlla che, in passato, non siano mai state violate. Se necessario, sostituiscile con password ad alta sicurezza che puoi generare facilmente col nostro generatore di password online.

• Conserva sempre le tue password in modo sicuro. I foglietti adesivi e i file Excel sul tuo computer non sono certo i metodi migliori per custodire le credenziali.

• Abilita l'autenticazione 2FA per tutti i tuoi account online che la supportano. Per farlo, di solito, bisogna accedere alle impostazioni dell'account e cercare eventuali opzioni 2FA nella sezione dedicata alla sicurezza.

• Ultimo ma non meno importante, mantieni sempre alta la guardia. I criminali informatici continuano a mettere a punto e impiegare nuove tattiche di hacking, più sofisticate che mai.