Nel mondo digitale un utente deve spesso autenticarsi per accedere a servizi o dati. Di norma l’autenticazione avviene dopo che l’utente ha inserito login e password. In passato questo bastava, ma con l’aumento della criminalità informatica la protezione degli accessi richiede sempre più passaggi da parte dell’utente.

Quali fattori deve includere un meccanismo di autenticazione per essere efficace?

• Conoscenza (qualcosa che solo l’utente sa),
• Possesso (qualcosa che solo l’utente ha),
• Inerenza (qualcosa che solo l’utente è).

Il fattore conoscenza è il primo e il più importante nel processo di autenticazione: può essere una password o un PIN. Mentre il nome utente non deve necessariamente essere un’informazione segreta (si pensi ai nomi utente dei social network o agli indirizzi e-mail riutilizzati come username), la password o il PIN devono essere un’informazione nota solo a un determinato utente. Per questo la coppia «login + password» può essere considerata, in sostanza, soltanto un’autenticazione a un fattore.

Il possesso implica un oggetto fisico o un’informazione di cui l’utente deve disporre per superare l’autenticazione. L’esempio più noto è la chiave di una serratura. Nel mondo digitale, però, il possesso può essere dimostrato anche con un token di sicurezza (separato o collegato al dispositivo dell’utente) o con un token software (salvato in un’app di autenticazione); un altro esempio è l’SMS.

Il fattore inerenza è rappresentato dalle caratteristiche biometriche dell’utente, come impronta digitale o del palmo, volto, iride o retina e voce.

Esistono anche fattori che i sistemi di autenticazione possono considerare in aggiunta, ad esempio la posizione e il comportamento (dinamica di digitazione, movimenti del mouse o caratteristiche del tocco, analisi della firma ecc.).

È evidente che l’uso di due o più fattori di autenticazione aumenta notevolmente la sicurezza. Alcuni fattori, tuttavia, sono meno resistenti agli attacchi di altri.

La minaccia più grande per 2FA/MFA è il phishing. L’utente può essere attirato su un sito falso e invitato a inserire le proprie credenziali e un secondo fattore. Sono possibili anche attacchi combinati: prima il dispositivo dell’utente viene infettato da un malware che ne ruba le credenziali, poi l’aggressore ricorre al phishing o ad altre tecniche di social engineering per aggirare la 2FA/MFA. L’unico modo per ridurre questo rischio è essere informati e vigili.

Come abbiamo detto, la MFA non è una panacea, ma rafforza notevolmente la protezione degli account e riduce la probabilità di essere violati. Qual è dunque il secondo fattore che offre la migliore protezione possibile?

Gli esperti di cybersicurezza della nostra azienda raccomandano i dispositivi U2F (USB o NFC) come secondo fattore più affidabile. A molti utenti, però, questo metodo sembra troppo impegnativo e meno comodo.

Al secondo posto ci sono quindi le app di autenticazione. Generano password monouso basate sul tempo (TOTP), di solito codici a 6 cifre validi 30 secondi. Alcune app offrono metodi aggiuntivi come notifiche push (che sfruttano anche i dati di geolocalizzazione), dati biometrici ecc. Per i servizi web l’autenticazione tramite notifiche push o biometria è più vantaggiosa e semplice delle password monouso, ma meno diffusa; nelle applicazioni mobili, invece, l’autenticazione biometrica è molto comune.

Ancora diffusi, ma meno affidabili, sono i codici monouso via SMS o e-mail. Se potete evitarli, usate uno dei metodi indicati sopra.

Esistono ancora token hardware separati (dongle o chiavette hardware) che generano password monouso, anche se dal punto di vista della praticità risultano meno attraenti delle app di autenticazione.

In sintesi, l’autenticazione con la sola coppia login e password appartiene sempre più al passato. Per stare al passo con l’evoluzione tecnologica e non mettere a rischio i propri dati, gli utenti devono affidarsi a 2FA/MFA ed essere consapevoli delle minacce informatiche moderne.

Link utili:

PassSecurium™ password manager (Android, iOS)

AccessSecurium™ – app di autenticazione per TOTP (Android, iOS)

Altre fonti utilizzate nell’articolo:

• MFA
• 2FA/3FA/MFA
• Authentication factor