Autenticazione a due fattori (2FA): cos’è e perché una password non basta

Una password è un segreto che si trova in più posti di quanti la maggior parte delle persone immagini. Viene digitata sui siti web, riutilizzata su diversi account e talvolta esposta nelle violazioni dei dati di qualcun altro. Per questo motivo, una password da sola è un modo fragile per proteggere qualsiasi cosa di valore.

L’autenticazione a due fattori aggiunge una seconda prova, di tipo diverso, così una password rubata non basta da sola. Ecco cos’è, quali sono i tipi più comuni di secondo fattore, perché è utile e quali sono i suoi limiti.

Cos’è l’autenticazione a due fattori

L’autenticazione a due fattori, di solito abbreviata in 2FA, consiste nel dimostrare la propria identità con due tipi diversi di prova. Le linee guida sull’identità digitale del NIST descrivono tre tipi di fattori di autenticazione: qualcosa che sai, come una password; qualcosa che possiedi, come un telefono o una chiave di sicurezza; e qualcosa che sei, come un’impronta digitale.

I due fattori devono essere di tipo diverso. Il NIST sottolinea che una password e un PIN non contano come due fattori, perché entrambi sono qualcosa che sai. Potresti anche trovare i termini autenticazione a più fattori, MFA, o verifica in due passaggi: nell’uso comune, CISA li considera equivalenti e indica un passaggio aggiuntivo per confermare che tu sia davvero chi dici di essere.

I tipi più comuni di secondo fattore

Il secondo fattore più conosciuto è un codice monouso, inviato tramite SMS oppure generato da un’app di autenticazione sul telefono. Un’altra opzione è una chiave di sicurezza fisica o una passkey, che utilizza la crittografia integrata in un dispositivo. Anche l’impronta digitale o il riconoscimento facciale possono svolgere un ruolo, ma il NIST afferma che i dati biometrici contano solo come parte dell’autenticazione a più fattori, insieme a un dispositivo fisico.

Questi metodi non offrono tutti lo stesso livello di sicurezza. Secondo CISA, l’autenticazione basata sugli standard FIDO, come le chiavi di sicurezza e le passkey, è la forma più sicura e resiste al phishing. I codici generati da un’app di autenticazione sono più sicuri degli SMS, ma possono comunque essere sottratti con il phishing; gli SMS sono invece l’opzione più debole tra quelle comuni. Un confronto dettagliato tra i vari tipi è un argomento a sé.

Perché una password non basta

CISA spiega che una password, cioè qualcosa che sai, può essere riutilizzata, violata più facilmente o rubata. Se usi la stessa password per più account, una sola fuga di dati può esporli tutti. Con un secondo fattore, chi ha la password deve comunque procurarsi anche l’altro elemento: secondo CISA, questo rende molto meno probabile che il tuo account venga violato.

CISA consiglia di attivare l’autenticazione a più fattori ovunque sia disponibile, iniziando dagli account più importanti: prima l’email, poi i servizi finanziari, quindi i social media e i negozi online. Raccomanda inoltre di usare password robuste e uniche e un password manager, perché queste due protezioni funzionano insieme.

Cosa non fa l’autenticazione a due fattori

Un secondo fattore rende più difficile prendere il controllo di un account, ma non lo rende inviolabile. Una pagina di accesso falsa ma convincente può acquisire un codice e usarlo subito; inoltre, un SMS può essere intercettato o reindirizzato, per esempio tramite uno scambio di SIM. Ecco perché è importante scegliere il metodo giusto e verificare di essere sul sito autentico prima di inserire qualsiasi codice.

Inoltre, non protegge ogni cosa. La 2FA protegge un account a cui si accede tramite un servizio, ma non può proteggere la chiave privata o la frase seed di un portafoglio crypto, perché non si tratta di account. Inoltre, non sostituisce una password robusta e unica né un metodo sicuro per recuperare l’accesso se perdi il telefono.

Promemoria WEEX: attivala e proteggi i codici

WEEX ricorda agli utenti di attivare l’autenticazione a due fattori ovunque sia disponibile, iniziando dagli account email e finanziari. Conserva eventuali codici di backup o di recupero in un luogo sicuro e offline e controlla l’indirizzo del sito prima di inserire un codice. Non condividere mai un codice monouso o una frase seed con nessuno, nemmeno con chi afferma di appartenere all’assistenza: un servizio legittimo non ne ha mai bisogno.

Conclusione

L’autenticazione a due fattori richiede due tipi diversi di prova, così una password rubata non basta per accedere. I diversi tipi di secondo fattore offrono livelli di sicurezza differenti: le chiavi di sicurezza e le passkey sono le opzioni più sicure, mentre gli SMS sono le più deboli. Nessuna di queste soluzioni sostituisce password efficaci, abitudini prudenti o la protezione delle chiavi private di un portafoglio. Attivare la 2FA è uno dei modi più semplici per rendere più difficile prendere il controllo di un account.

FAQ

1. Cos’è l’autenticazione a due fattori?
È un metodo di accesso che richiede due tipi diversi di prova, per esempio una password e un codice ricevuto sul telefono, invece della sola password.

2. La 2FA è la stessa cosa della MFA e della verifica in due passaggi?
Nell’uso comune, i termini indicano più o meno la stessa cosa. A rigore, MFA significa usare più di un tipo distinto di fattore, mentre 2FA ne indica esattamente due.

3. L’autenticazione a due fattori rende un account impossibile da violare?
No. Rende più difficile prenderne il controllo, ma una pagina di accesso falsa può acquisire un codice e gli SMS possono essere intercettati. Perciò contano sia il metodo sia le tue abitudini.

4. Una password più un PIN costituiscono l’autenticazione a due fattori?
No. Entrambi sono qualcosa che sai e, secondo le linee guida del NIST, contano come un unico fattore.

5. Su quali account conviene attivare prima l’autenticazione a due fattori?
CISA suggerisce di iniziare dall’email, poi dai servizi finanziari e infine dai social media e dai negozi online. L’email viene prima perché spesso viene usata per reimpostare l’accesso agli altri account.