Codice di Google Authenticator non valido? Perché l’orologio del telefono è importante

Un codice che funzionava un minuto fa può essere rifiutato quando lo inserisci di nuovo, e di solito l’app non è guasta. Questi codici vengono calcolati in base all’ora corrente, quindi basta una piccola differenza tra l’orologio del telefono e quello del servizio per farli fallire.

Ecco perché l’orologio è importante, quanto margine di errore tollera un servizio, quali sono gli altri motivi comuni per cui un codice viene rifiutato e cosa controllare prima di modificare qualsiasi impostazione.

Perché l’orologio determina se un codice viene accettato

Un’app di autenticazione non riceve il codice dal servizio: lo calcola a partire da un segreto condiviso durante la configurazione e dall’ora corrente. Secondo lo standard TOTP, IETF RFC 6238, il tempo viene suddiviso in intervalli, con una durata predefinita consigliata di 30 secondi; l’app e il servizio devono conoscere entrambi l’ora corrente e usare la stessa durata degli intervalli. Quando invii un codice, il servizio esegue lo stesso calcolo e i due risultati corrispondono solo se entrambe le parti concordano sull’intervallo di tempo corrente.

Ecco perché un codice può sembrare perfettamente valido e venire comunque rifiutato. Se l’orologio del telefono indica un momento diverso da quello del servizio, i due calcoli producono numeri diversi.

Quanto margine di errore dell’orologio tollera un servizio

I servizi concedono un piccolo margine, perché ci vuole tempo per digitare e inviare un codice. Lo standard raccomanda che un servizio accetti al massimo un intervallo di ritardo e imposti un limite al numero di intervalli di disallineamento del dispositivo prima di rifiutare il codice. Una finestra più ampia darebbe anche a un aggressore più tempo per usare un codice rubato, perciò la tolleranza è limitata. Ogni servizio stabilisce la propria policy, quindi non esiste un unico valore su cui fare affidamento.

In pratica, un telefono che imposta l’ora automaticamente non causa quasi mai problemi, mentre un telefono con l’ora impostata manualmente o con il fuso orario sbagliato può essere indietro o avanti di minuti, o persino di ore, e il codice fallirà sistematicamente. Nella sua pagina di assistenza, Google indica tra i primi controlli da fare che l’ora del dispositivo sia sincronizzata e corretta per il fuso orario locale.

Altri motivi comuni per cui un codice viene rifiutato

L’orologio non è l’unica possibile causa. La checklist di Google chiede anche di verificare se hai inserito il codice prima della scadenza, se si tratta del codice dell’app o del servizio giusto e se è associato all’account corretto. Chi ha diverse voci nell’app spesso sceglie quella sbagliata, perché molte si assomigliano.

Un altro motivo è riutilizzare un codice. Lo standard stabilisce che un servizio non deve accettare di nuovo un codice dopo che è stato usato correttamente; quindi, se provi a usare nuovamente un codice appena accettato, verrà rifiutato e dovrai aspettare quello successivo. Anche il cambio di telefono può essere la causa: se una voce non è stata trasferita o nel frattempo il servizio ha generato un nuovo segreto, la vecchia voce non produce più codici corrispondenti.

Cosa controllare prima di modificare qualsiasi impostazione

Inizia dal telefono. Imposta su automatici la data, l’ora e il fuso orario, attendi un nuovo codice e inseriscilo subito. Le guide meno recenti menzionano un’impostazione di correzione dell’ora nell’app, ma la pagina di assistenza di Google segnala che non è più disponibile nella versione 7.0; quindi, il posto giusto in cui controllare è l’orologio del telefono.

Poi verifica di usare la voce corretta per l’account giusto e di trovarti sul sito autentico. Evita di eliminare una voce e aggiungerla di nuovo come primo tentativo. Rimuoverla potrebbe cancellare l’unica copia del segreto e, se i codici non sono sincronizzati, Google segnala che potresti dover collegare nuovamente ogni sito. Prima di tentare qualsiasi intervento drastico, assicurati di avere codici di backup o un altro modo per accedere.

Promemoria WEEX: non condividere mai un codice per risolvere un problema con un codice

WEEX ricorda agli utenti che, quando un codice continua a non funzionare, si può essere tentati di accettare l’aiuto di chiunque si offra. È proprio in queste situazioni che compaiono le truffe. Non inviare mai a nessuno un codice monouso, un codice QR o una chiave di configurazione, nemmeno a chi sostiene di far parte dell’assistenza: un servizio autentico non ne ha mai bisogno. Controlla l’indirizzo del sito prima di inserire un codice e conserva i codici di backup offline. Quanto riportato qui non costituisce consulenza finanziaria.

Conclusione

Un codice di Google Authenticator rifiutato dipende il più delle volte dall’ora: l’app lo calcola in base all’orologio e il servizio deve ottenere lo stesso risultato. Impostare su automatici la data, l’ora e il fuso orario del telefono risolve la maggior parte dei casi; un codice scaduto, la voce sbagliata o un codice riutilizzato spiegano gran parte degli altri. Prima di eliminare qualsiasi cosa, assicurati di avere un modo per accedere di nuovo.

FAQ

1. Perché il mio codice di Google Authenticator non è valido?
Le cause più comuni sono un codice scaduto, la voce dell’app o dell’account sbagliata oppure la data e l’ora del telefono non sincronizzate. Controlla prima questi aspetti.

2. Quanto deve essere preciso l’orologio del mio telefono?
I servizi accettano solo un piccolo margine. Lo standard raccomanda di consentire al massimo un intervallo di ritardo e ogni servizio stabilisce la propria policy; l’approccio più sicuro è quindi impostare l’ora automaticamente.

3. Il fuso orario è importante?
Google indica tra i primi controlli da fare che l’ora del dispositivo sia sincronizzata e corretta per il fuso orario locale. Impostare automaticamente data, ora e fuso orario evita errori manuali.

4. Perché il codice è stato rifiutato la seconda volta che l’ho usato?
Lo standard stabilisce che un servizio non deve accettare di nuovo un codice dopo che è stato usato correttamente. Attendi il codice successivo e prova con quello.

5. Devo eliminare l’account dall’app e aggiungerlo di nuovo?
Non come primo tentativo. Rimuovere una voce potrebbe cancellare l’unica copia del segreto di configurazione e, per aggiungerla di nuovo, il servizio deve generarne uno nuovo. Controlla prima l’orologio e la voce e assicurati di avere codici di backup.