Google Authenticator spiegato: come funzionano i suoi codici 2FA

Ogni 30 secondi circa, un breve numero sul tuo telefono cambia e un sito web a cui non hai mai mostrato quel telefono sa in qualche modo quale dovrebbe essere il nuovo numero. Sembra una magia, ma è un semplice trucco basato su un segreto condiviso.

È così che funzionano Google Authenticator e app simili. Ecco come vengono generati i codici, perché funzionano senza una connessione a Internet, in che modo l’app è collegata alla verifica in due passaggi di Google e da cosa può e non può proteggerti.

Come vengono generati i codici

Quando aggiungi un account a un’app di autenticazione, il servizio ti fornisce un segreto, di solito sotto forma di codice QR o chiave di configurazione, che l’app memorizza. Da quel momento, il servizio e il tuo telefono hanno entrambi lo stesso segreto. Per generare un codice, l’app combina quel segreto con l’ora attuale e il servizio esegue lo stesso calcolo dalla sua parte. Se i due risultati corrispondono, il codice viene accettato.

Questo metodo è uno standard pubblicato chiamato TOTP, abbreviazione di password monouso basata sul tempo, definito nell’IETF RFC 6238. Si basa su un metodo precedente basato su un contatore, sostituendo il contatore con un valore derivato dall’ora. Lo standard stabilisce che l’app e il servizio devono usare lo stesso intervallo temporale e raccomanda un valore predefinito di 30 secondi: ecco perché il codice in genere si aggiorna circa due volte al minuto.

Perché funziona senza una connessione a Internet

Il codice viene calcolato sul tuo telefono usando il segreto memorizzato e il suo orologio, quindi non è necessario inviare nulla al telefono. La scheda dell’app di Google afferma che i codici possono essere generati anche senza una connessione di rete o cellulare. Quando inserisci il codice, al servizio basta eseguire lo stesso calcolo.

Questo significa che l’orologio è importante. Se l’ora sul tuo telefono è molto diversa da quella reale, i due calcoli non corrisponderanno e il codice verrà rifiutato, anche se l’app funziona come previsto.

Come si collega alla verifica in due passaggi di Google

È facile confondere le due cose. La verifica in due passaggi è la funzione di un Account Google che richiede un secondo passaggio quando accedi. Google Authenticator è un’app che può fornire quel passaggio e, secondo Google, può anche generare codici per altri siti e app che supportano la verifica tramite app di autenticazione. Diverse altre app di autenticazione seguono lo stesso standard, quindi i codici in sé non sono legati a una sola azienda.

Puoi usare l’app con o senza un Account Google. Accedendo, puoi sincronizzare i tuoi codici su più dispositivi; Google afferma che, anche senza un account, puoi comunque trasferirli manualmente su un nuovo dispositivo. I codici sincronizzati dipendono da quell’Account Google, quindi la sua protezione è ancora più importante. Google consiglia anche di configurare metodi aggiuntivi di verifica in due passaggi, così da non perdere l’accesso al tuo account.

Da cosa protegge e da cosa non protegge

Secondo CISA, i codici generati da un’app di autenticazione sono più sicuri dei messaggi di testo, ma restano vulnerabili al phishing. Una pagina di accesso falsa e convincente può acquisire un codice mentre lo digiti e usarlo immediatamente; solo i metodi basati su FIDO, come le chiavi di sicurezza e le passkey, resistono a questo tipo di attacco. Controllare l’indirizzo di un sito prima di inserire un codice è parte della protezione.

Anche il segreto alla base dei tuoi codici è sensibile. Chiunque abbia il codice QR o la chiave di configurazione può generare gli stessi codici, quindi uno screenshot di questi dati va trattato come una password. Inoltre, un’app di autenticazione protegge gli account a cui si accede tramite un servizio. Non può proteggere la frase seed o la chiave privata di un wallet.

Promemoria WEEX: tratta la chiave di configurazione come una password

WEEX ricorda agli utenti di non condividere mai un codice monouso, un codice QR o una chiave di configurazione con nessuno, nemmeno con chi sostiene di far parte dell’assistenza, perché un servizio legittimo non ne ha mai bisogno. Controlla l’indirizzo di un sito prima di inserire un codice e conserva le eventuali chiavi o i codici di backup in un luogo sicuro e offline, non in uno screenshot o in una nota sul cloud. Questo contenuto non costituisce una consulenza finanziaria.

Conclusione

Google Authenticator genera un codice di breve durata a partire da un segreto condiviso con il servizio e dall’ora attuale: ecco perché funziona offline e perché l’orologio è importante. È una delle diverse app che utilizzano lo stesso standard; è più sicura dei messaggi di testo, ma resta vulnerabile al phishing, e il segreto di configurazione va custodito con la stessa attenzione di una password. Usata insieme a password robuste e a comportamenti prudenti, rende più difficile la compromissione di un account.

FAQ

1. Che cos’è Google Authenticator?
È un’app che genera codici monouso usati come secondo passaggio al momento dell’accesso, sia per gli Account Google sia per altri siti e app che supportano la verifica tramite app di autenticazione.

2. Come fa Google Authenticator a generare codici senza Internet?
Li calcola sul tuo telefono usando un segreto memorizzato e l’ora attuale. Il servizio esegue lo stesso calcolo per verificare il codice, quindi non è necessario inviare nulla al telefono.

3. Serve un Account Google per usare Google Authenticator?
No. Google afferma che puoi usarlo senza un account. Accedendo, puoi sincronizzare i codici su più dispositivi; senza un account, puoi trasferirli manualmente su un nuovo dispositivo.

4. Google Authenticator è la stessa cosa della verifica in due passaggi di Google?
No. La verifica in due passaggi è una funzione di un Account Google e l’app è uno dei modi per fornire il secondo passaggio. L’app funziona anche con altri siti che supportano i codici delle app di autenticazione.

5. Google Authenticator è più sicuro dei codici SMS?
Secondo CISA, i codici delle app di autenticazione sono più sicuri dei messaggi di testo, ma possono comunque essere sottratti tramite phishing. Le chiavi di sicurezza e le passkey offrono una protezione più efficace contro il phishing.