Rapporti personali e transazioni finanziarie si svolgono in un vasto universo digitale protetto in modo basilare dalla password. Fare affidamento solo su questa singola chiave di accesso è il punto di maggiore vulnerabilità per tutti noi. Ogni giorno si verificano attacchi di phishing e mastodontiche fughe di dati (data breach) che espongono milioni di credenziali, lasciando i nostri account in balia dei malintenzionati.
Un esempio lampante è il caso del data leak di LinkedIn di alcuni anni fa, con milioni di profili in vendita sul Dark Web: i dati rubati potevano essere utilizzati per tentare l'accesso su innumerevoli altri servizi, sfruttando la pessima abitudine di molti di riutilizzare la stessa password ovunque. Se vuoi chiudere questa falla di sicurezza, proteggi i tuoi account con l'autenticazione a due fattori (2FA). Per saperne di più continua a leggere questo articolo.
Cos'è la 2FA e come funziona questo doppio livello di sicurezza?
La 2FA è un sistema di protezione che crea una doppia barriera d'accesso per i tuoi servizi online. Il concetto è semplice ma incredibilmente efficace: per accedere al tuo account, non devi solo dimostrare "ciò che sai", ma anche "ciò che hai" o "ciò che sei".
La sua logica si basa sulla combinazione di due dei 3 fattori principali di autenticazione riconosciuti in ambito informatico: il fattore di conoscenza (la password o un PIN), il fattore di possesso (un oggetto fisico come lo smartphone o una chiave di sicurezza) e il fattore di inerenza (una caratteristica biologica, cioè la biometria, come l'impronta digitale).
Detta più semplicemente: si deve verificare due volte la propria identità. Prima il tuo nome utente e password, poi un codice di sicurezza monouso (per una singola sessione di accesso) o l'impronta digitale, il tuo volto o un altro dato biometrico.
In questo modo, anche se qualcuno entrasse in possesso della tua password tramite un'email truffaldina o per mezzo di un altro stratagemma, non potrebbe comunque completare l'accesso senza avere fisicamente il tuo dispositivo 📱 (o un pezzetto del tuo corpo 😱).
Tipologie di 2FA
Devi sapere che non tutte le forme di autenticazione sono ugualmente sicure.
Codici a tempo generati dalle App
1) Quello delle applicazioni dovrebbe essere il metodo più sicuro e raccomandato. Le App di autenticazione generano un codice monouso basato sul tempo (TOTP), una sequenza numerica che cambia ogni 30-60 secondi. Visto che il codice viene creato direttamente sul tuo dispositivo e non viene inviato su reti esterne come la linea telefonica, il rischio di intercettazione è molto più basso.
Applicazioni come Google Authenticator e Proton Authenticator ti danno anche la possibilità di eseguire un backup crittografato end-to-end dei tuoi codici, come ben descritto nel mio articolo dedicato alla nuova App gratuita Proton Authenticator. Così puoi tranquillamente recuperare i tuoi accessi, anche se perdi o sostituisci il telefono, senza compromettere la segretezza delle tue chiavi. Annota i codici di recupero forniti dal servizio e conservali in un luogo sicuro, preferibilmente offline.
Codici tramite SMS o voce
2) L'invio di un codice di verifica al tuo numero di telefono tramite SMS (ovviamente non crittografato) o con un messaggio vocale è, purtroppo, il sistema meno affidabile. È vero che è molto diffuso e semplice da usare, ma purtroppo espone al rischio di SIM-swapping. Si tratta di una sofisticata frode in cui un cybercriminale riesce a trasferire il tuo numero su una SIM in suo possesso, intercettando così il codice che dovrebbe proteggerti, i messaggi privati e le chiamte.
Token hardware e biometria
3) Sistemi certamente migliori dell'SMS sono le chiavi di sicurezza con protocolli avanzati FIDO U2F e FIDO2, e come accennato prima, la biometria. Una chiave di sicurezza fisica (o token hardware) è un dispositivo USB che va inserita nel PC, e dopo aver inserito nome utente e password, il servizio ti chiede di autenticarti con la chiave U2F (Universal 2nd Factor) premendo un pulsante per effettuare l'accesso.
Qui viene usata la crittografia a chiave pubblica, generando una coppia di chiavi matematicamente correlate: una privata e segreta conservata nella tua chiave U2F, e l'altra pubblica che viene memorizzata sui server del sito o dell'app.
Puoi usare le chiavi U2F anche con dispositivi mobili Android e iOS se il telefono e la chiave sono compatibili con NFC.
Se hai un iPhone recente, sicuramente ha l'hardware necessario per questa tecnlogia, mentre su Android puoi accedere all'app Impostazioni e cercare NFC nei sottomenu.
Su Amazon ci sono vari modelli di 2FA USB e NFC Security Key, adatti alle porte USB-C e ai dispositivi mobili che li supportano, con un costo che si aggira dai 15 ai 100 € o più. Se sei interessato/a ne ho selezionato qualcuna per te, basandomi in primis sul rapporto qualità-prezzo.
4) Un altro metodo è l'uso della biometria, che sfrutta principalmente l'impronta digitale o il riconoscimento facciale, impiegato in applicazioni e web app o servizi compatibili. Da sola non costituisce una 2FA, ma può essere utilizzata come uno dei fattori di un sistema multi-fattore.
Differenza tra 2FA e MFA
Per completezza, la 2FA è una forma di autenticazione a più fattori (MFA) basata su due elementi distinti di verifica. L'MFA può includerne anche altri, come una domanda di sicurezza aggiuntiva alla quale solo tu saresti in grado di rispondere.
Unicità e gestione delle password
Anche il miglior sistema 2FA non è sicuro al 100%. Non può nulla se la tua password è 123456. Le tue credenziali devono essere uniche per ogni servizio e molto lunghe, seguendo possibilmente la logica delle passphrase.
Per gestire decine di password complesse, l'unico strumento razionale è un Gestore di Password come Proton Pass o NordPass, che non solo le archivia in modo crittografato ma ti aiuta anche a generarne di nuove e inespugnabili, un po' come il mio generatore di password online.
Anche per oggi è tutto. Spero che questa piccola guida ti abbia chiarito l'importanza vitale dell'autenticazione a due fattori. Come abbiamo viso, affidarsi alla sola password non è più sufficiente per proteggersi da furti di credenziali e accessi non autorizzati. La tua sicurezza è una tua responsabilità.
Per la stesura di questo articolo, mi sono ispirato alle preziose risorse informative del blog di Proton, in particolare all'articolo intitolato "What is two-factor authentication (2FA)?". Fonti come queste ti aiutano a restare aggiornato sulle migliori pratiche di difesa informatica.
Se hai trovato utili queste informazioni o hai esperienze personali da condividere, lascia un commento qui sotto. E non dimenticare di condividere il mio articolo con amici e familiari.
Infine, ti informo che questa pagina contiene link di affiliazione.
Nessun commento:
Posta un commento