Nel nostro articolo precedente ti abbiamo introdotto alla gestione avanzata delle password, con informazioni e consigli utili su questo tema.

Questa volta parliamo di autenticazione a due fattori e multifattore: i metodi che tolgono agli hacker ogni speranza di rubare i tuoi account e i dati che contengono.

Cosa sono 2FA e MFA e qual è la differenza?

L’autenticazione multifattore (MFA) prevede più passaggi di verifica per confermare il tuo tentativo di accesso.

L’autenticazione multifattore si basa su tre prove (fattori):

• qualcosa che conosci (ad es. password, PIN);
• qualcosa che possiedi (ad es. il tuo telefono o una chiave di sicurezza);
• qualcosa che sei (ad es. i tuoi dati biometrici).

L’autenticazione a due fattori (2FA), invece, combina solo due di questi fattori.

Le forme più diffuse di 2FA sono gli SMS, i codici monouso generati da apposite app mobili, l’autenticazione tramite notifiche push e le chiavi fisiche di autenticazione.

SMS

Il metodo più vecchio tra quelli descritti è l’SMS, che è anche il meno affidabile a causa delle vulnerabilità del protocollo di telefonia SS7, sviluppato già negli anni ’70 e ancora oggi utilizzato nelle reti mobili. Gli hacker possono intercettare i tuoi messaggi e, con tecniche di social engineering, perfino trasferire il tuo numero sulla propria SIM.¹

Se puoi scegliere il metodo 2FA, ti consigliamo di optare per una delle seguenti soluzioni.

Password monouso basate sul tempo (TOTP)

Il TOTP è ampiamente supportato da siti e servizi. L’algoritmo è universale, quindi tutti i tuoi token TOTP dei diversi servizi possono essere conservati in un’unica app. Prova ad esempio la nostra app gratuita AccessSecurium™ per Android e per iOS.

Un ulteriore vantaggio in termini di sicurezza è un’app che nasconde i codici e li mostra solo quando li tocchi. Ti consigliamo inoltre di attivare un livello di protezione aggiuntivo per accedere all’app, come PIN, impronta digitale o Face ID.

La maggior parte delle app di autenticazione salva i dati solo localmente sul telefono. Se perdi il telefono o disinstalli l’app, rischi quindi di perdere tutti i tuoi token. E se non disponi di un metodo 2FA alternativo per siti e servizi web, ripristinare l’accesso può diventare complicato. Se l’app offre una funzione di backup, ti consigliamo di creare una copia del database dei token e di conservarla su una chiavetta USB in cassaforte.

Alcune app salvano i token nel cloud, il che dovrebbe evitarne la perdita e semplificare il trasferimento su nuovi dispositivi.

(I servizi della nostra piattaforma aziendale sicura per la comunicazione e la collaborazione SWISS SECURIUM® sono protetti con TOTP.)

Notifiche push

Nel 2016 Google ha introdotto la verifica tramite notifiche push, adottata in seguito anche da Apple e Microsoft.

Con le richieste push gli utenti possono confermare comodamente l’accesso tramite un dispositivo attendibile, anche se l’operazione richiede circa lo stesso tempo dell’inserimento di una password monouso. Il vantaggio principale è che basta sbloccare il telefono (che rappresenta già uno dei fattori di autenticazione) e confermare o rifiutare il tentativo di accesso nella notifica.

Se la notifica mostra, ad esempio, il luogo o il dispositivo da cui proviene il tentativo di accesso, può aiutarti a riconoscere un attacco di phishing. Se luogo e dispositivo non ti sono familiari e sei certo che non si tratti di un collega o di un conoscente, ti basta toccare «No» per bloccare l’accesso non autorizzato all’account aziendale o privato.

Tuttavia non si tratta di una protezione dal phishing al 100%, perché potresti toccare «Sì» in automatico senza notare il luogo o il dispositivo sconosciuto indicato nella notifica. Un altro svantaggio è che ogni fornitore offre un proprio servizio di verifica push, e non per tutti i suoi prodotti: questa soluzione non è ancora standardizzata.

Chiavi di sicurezza

Lo standard più diffuso per le chiavi di sicurezza (dette anche token hardware) è U2F: Universal 2nd Factor. Di solito queste chiavi si collegano alla porta USB e sono quindi pratiche per chi usa PC e laptop. Il progetto U2F però continua a evolversi e oggi è possibile utilizzare le chiavi anche con dispositivi Android e iOS.

La chiave di sicurezza è facile da usare: la colleghi al dispositivo da cui effettui l’accesso e premi il pulsante sulla chiave (esistono anche modelli con inserimento del PIN o lettore di impronte digitali). La chiave memorizza quindi il sito web e genera una coppia di chiavi crittografiche specifica per quel sito e quell’account.

Poiché la chiave “ricorda” il sito su cui accedi, offre una protezione dal phishing più affidabile rispetto a tutti gli altri metodi.

(L’accesso tramite chiavi di sicurezza è disponibile su richiesta per la nostra piattaforma SWISS SECURIUM®.)

Codici di backup

Quando attivi la 2FA su un sito, di norma ti viene chiesto di salvare dei codici monouso aggiuntivi da stampare. Non rinunciarvi: stampali e conservali in un luogo sicuro. Se perdi la chiave di sicurezza, disinstalli l’app di autenticazione o smarrisci il telefono, questi codici ti permetteranno di accedere di nuovo al tuo account. Un codice di questo tipo può anche essere portato in viaggio e usato per un accesso singolo sicuro.

Qui trovi un elenco di servizi e siti web che supportano diversi tipi di 2FA.

Troverai anche i link alle istruzioni per attivare la 2FA: in pochi passaggi aumenterai notevolmente la sicurezza dei tuoi account e ridurrai il rischio di accessi non autorizzati.

Quali funzioni di sicurezza aggiuntive offrono i fornitori per proteggere i loro servizi?

VPN

L’accesso ai servizi tramite una rete privata virtuale riduce notevolmente il rischio di accessi non autorizzati. Infatti solo gli utenti attendibili, per i quali l’accesso è stato configurato, possono collegarsi ai servizi ospitati in una rete virtuale e utilizzarli.

(Anche i servizi della nostra piattaforma SWISS SECURIUM® possono essere configurati in modo da consentire l’accesso solo tramite VPN.)

Crittografia dei dati

Crittografare i dati durante l’archiviazione e trasmetterli attraverso canali sicuri è indispensabile per chiunque tenga alla propria sicurezza informatica. L’opzione migliore è la crittografia end-to-end, in cui solo il mittente e il destinatario, e nessun altro, possono leggere le informazioni trasmesse.

La crittografia end-to-end, però, non verifica l’identità del tuo interlocutore. Alcune app (ad esempio il nostro messenger SwissSecurium™) offrono funzioni per verificarla: il confronto delle impronte digitali del dispositivo (una stringa di caratteri univoca per il tuo dispositivo, da verificare durante un incontro di persona) e l’uso di una domanda segreta concordata in modo riservato con il tuo interlocutore.

Zero Knowledge

Questo concetto di archiviazione dei dati significa che nessuno tranne te possiede le chiavi dei tuoi dati, nemmeno il fornitore del servizio presso cui li conservi. Anche se le autorità chiedessero al fornitore di consegnare i tuoi dati (o se si verificasse una fuga di dati a seguito di un attacco hacker), nessuna informazione verrebbe rivelata, perché tutto è crittografato e solo tu hai le chiavi. Questo comporta però una grande responsabilità: se perdi le chiavi, nessuno potrà più accedere ai tuoi dati.

In conclusione, la sicurezza e la protezione dei tuoi dati sono un compito ampio e complesso che non va trascurato.

Con ALPEIN Software hai al tuo fianco un partner affidabile ed esperto nel campo della sicurezza informatica.