Autenticazione a due fattori: cos’è, come e perché usarla
L’autenticazione a due o più fattori (conosciuta anche come strong authentication) è oggi il sistema di protezione più sicuro che abbiamo a disposizione per proteggere i nostri account. Ecco come funziona, quali servizi la offrono e perché è importante usarla
Oggi non è più sufficiente proteggere i propri account con una password forte: è necessario – utilizzare l’autenticazione forte, chiamata autenticazione a due fattori.
Dovrebbe essere ormai noto a tutti quanto sia importante usare password molto complesse e sempre diverse.
Così come diventa indispensabile usare strumenti per riuscire a ricordare le tante password, per questo sono di grande aiuto i password manager, applicazioni dedicate a conservare tutte le nostre password in modo sicuro e – ovviamente – crittografato.
Ma se anche mettiamo in pratica le buone regole sopra descritte, non possiamo escludere che una password venga rubata o scoperta.
Un’autenticazione basata solo su password è dunque intrinsecamente debole, anche se la password impostata è robusta, perché la sicurezza dell’account dipende da un solo fattore, appunto la password.
Per innalzare i livelli di sicurezza sono state introdotte perciò le tecniche di “strong authentication” o autenticazione a due o più fattori.
Per accedere a qualunque sistema digitale (computer, bancomat, siti web o altro) dovremo “presentarci” inserendo il nostro username.
Poi dovremo “dimostrare” che siamo proprio noi: questa è la fase di “autenticazione” che può avvenire in tre diversi modi:
- Conoscenza: “Una cosa che sai”, per esempio una password o il PIN.
- Possesso: “Una cosa che hai”, come uno smartphone o un token di sicurezza (quelle piccole “chiavette” che ci davano le banche e che generavano un codice a 6 cifre).
- Inerenza: “Una cosa che sei”, come l’impronta digitale, il timbro vocale, il viso, l’iride, o qualunque altro dato biometrico.
come funziona
Utilizzare la 2FA non è difficile
Dopo aver inserito la password (primo fattore) del proprio account, sarà richiesto di digitare un secondo fattore, che nella maggior parte dei casi è un codice numerico. Questo secondo fattore in genere viene ottenuto attraverso lo smartphone (sotto forma di sms o tramite un’apposita applicazione) o tramite un token fisico.
A differenza della password, il secondo codice è di fatto inattaccabile, perché generato in maniera pseudocasuale secondo uno specifico algoritmo ed ha una durata molto limitata nel tempo (solitamente 30 secondi). Per questo motivo, lo si definisce anche OTP: “one time password”.
Il secondo fattore può essere – in alternativa – di tipo biometrico: l’impronta digitale o con il riconoscimento facciale.
Il secondo fattore in forma numerica (one time password) è la soluzione più frequentemente usata nella 2FA.
Ci sono modalità differenti per ottenerlo:
- Attraverso un SMS
- Attraverso applicazioni dedicate
- Attraverso un Token hardware
Come attivare l’autenticazione a due fattori
La modalità di attivazione è – più o meno – sempre la stessa: dopo essersi registrati al sito, si accede alla pagina delle “Impostazioni di Sicurezza”.
Si sceglie di attivare la 2FA, dopodiché il sito ci chiederà in che modo vogliamo ricevere il codice: il metodo più diffuso in tutti i siti è attraverso un SMS, quindi dovremo indicare uno smartphone “affidabile” al quale ci verrà inviato il codice
Alcuni siti permettono di scegliere, in alternativa al codice via SMS, l’uso delle succitate applicazioni (soft token) in grado di generare il codice temporaneo (OTP). In questo caso l’abbinamento viene fatto attraverso la lettura di un QRcode che compare sullo schermo del computer e che dovremo inquadrare con la camera dello smartphone, nel quale abbiamo preventivamente aperto l’applicazione.
