Come funziona l'autenticazione a due fattori, come Abilitarla e perchè

Considerazioni preliminari

Autenticazione a due fattori (anche indicata "2FA") È un modo per consentire a un utente di identificarsi con un fornitore di servizi richiedendo una combinazione di due diversi metodi di autenticazione. Questi possono essere qualcosa che l'utente conosce (come una password oppure un PIN), qualcosa che l'utente possiede (come un token hardware o un telefono cellulare) o qualcosa che è collegato o inseparabile dall'utente (come le loro impronte digitali).

Probabilmente già usi 2FA in altre altri sistemi e situazioni della tua vita. Quando si utilizza un bancomat per prelevare contanti, infatti è necessario avere sia la propria carta di credito fisica (qualcosa che si possiede) sia il PIN (qualcosa che si conosce). Al momento, tuttavia, molti servizi online utilizzano un solo fattore per identificare i propri utenti per impostazione predefinita: una password.

Come funziona 2FA online?

Diversi servizi online, tra cui Facebook, Google e Twitter, offrono 2FA come alternativa alla password come unica autenticazione. Se abiliti questa funzione ti verrà richiesto sia una password che un metodo di autenticazione secondario. Questo secondo metodo è in genere un codice singolo inviato tramite SMS o un codice monouso generato da un'app per dispositivi mobili dedicata che memorizza un segreto (ad esempio Google Authenticator, Duo Mobile, l'app Facebook). In entrambi i casi, il secondo fattore è il tuo telefono cellulare, qualcosa che tu (normalmente) possiedi. Alcuni siti Web (incluso Google) supportano anche codici di backup monouso, che possono essere scaricati, stampati su carta e archiviati in un luogo sicuro come backup aggiuntivo. Una volta che hai scelto di utilizzare 2FA, dovrai inserire la tua password e un codice una tantum dal tuo telefono per accedere al tuo account.

Perché dovrei abilitare 2FA?

2FA ti offre una maggiore sicurezza dell'account richiedendo di autenticare la tua identità con più di un metodo. Ciò significa che, anche se qualcuno dovesse impossessarsi della tua password principale, non potrebbe accedere al tuo account a meno che non abbiano anche il tuo cellulare o l'altro mezzo di autenticazione secondario.

Ci sono aspetti negativi nell'utilizzo di 2FA?

Sebbene 2FA offra un mezzo di autenticazione più sicuro, aumenta il rischio di essere escluso dal tuo account se, ad esempio, hai smarrito o perso il telefono, cambia la scheda SIM o viaggiare in un paese senza attivare il roaming.

Molti servizi 2FA forniscono un breve elenco di codici "backup" o "ripristino" monouso. Ogni codice funziona esattamente una volta per accedere al tuo account e non è più utilizzabile successivamente. Se si è preoccupati di perdere l'accesso al telefono o ad altri dispositivi di autenticazione, stampare e portare con sé questi codici. Lavoreranno ancora come "qualcosa che hai", purché ne crei solo una copia e la tenga protetta e riservata. Ricordarsi di mantenere i codici protetti e assicurarsi che nessun altro li veda o abbia accesso ad essi in qualsiasi momento. Se si utilizzano o si perdono i codici di backup, è possibile generare un nuovo elenco la volta successiva che si sarà in grado di accedere al proprio account.

Un altro problema con alcuni sistemi 2FA è quello che questi utilizzano i messaggi SMS e la messaggistica SMS non è così sicura. È possibile che un aggressore sofisticato che ha accesso alla rete telefonica (come un'agenzia di intelligence o un'operazione di crimine organizzato) intercetti e utilizzi i codici inviati tramite SMS. Ci sono anche stati casi in cui un aggressore meno sofisticato (come un individuo) è riuscito a inoltrare chiamate o messaggi di testo destinati a un solo numero o ad accedere a servizi di società telefoniche che mostrano messaggi di testo inviati a un numero di telefono senza necessità avere il telefono

Se sei preoccupato per questo livello di attacco, disattiva l'autenticazione SMS e utilizza solo app di autenticazione come Google Authenticator o Authy. Sfortunatamente questa opzione non è disponibile con ogni servizio abilitato 2FA.

Inoltre, l'uso di 2FA significa che potresti passare più informazioni a un servizio di quanto tu non abbia dimestichezza con te. Supponiamo che tu usi Twitter e ti sei registrato usando uno pseudonimo. Anche se eviti accuratamente di dare a Twitter le tue informazioni identificative, e anche se accedi al servizio solo tramite Tor o VPN, se abiliti SMS 2FA, Twitter avrà necessariamente una registrazione del tuo numero di cellulare. Ciò significa che, se obbligato da un tribunale, Twitter può collegare il tuo account a te tramite il tuo numero di telefono. Questo potrebbe non essere un problema per te, specialmente se usi già il tuo nome legale su un determinato servizio, ma se il mantenimento dell'anonimato è importante, pensaci due volte prima di utilizzare SMS 2FA.

Infine, la ricerca ha dimostrato che alcuni utenti sceglieranno password più deboli dopo aver attivato 2FA, sentendo che il secondo fattore è mantenerli al sicuro. Assicurati di scegliere comunque una password complessa anche dopo aver attivato 2FA. Consulta la nostra guida alla creazione di password complesse per suggerimenti.

Come abilitare 2FA?

Questo differisce da piattaforma a piattaforma, così come la terminologia utilizzata. Un ampio elenco di siti che supportano 2FA è disponibile su https://twofactorauth.org/ . Per i servizi più comuni (Amazon, Bank of America, Dropbox, Facebook, Gmail e Google, LinkedIn, Outlook.com e Microsoft, PayPal, Slack, Twitter e Yahoo Mail) essi mostrano come abilitare 2FA .