Sicurezza on line: perché è importante attivare l’autenticazione a due fattori

Che cos’è l’autenticazione a due fattori e perchè è molto importante attivarla: i benefici derivanti e i rischi che si possono correre senza questo doppio sistema di sicurezza

Nell’era fortemente digitalizzata che viviamo, in cui molti dei servizi e delle attività svolte si verificano on line, è diventato sempre più importante tutelare i propri dati da possibili attacchi. Ecco dunque che password, parole chiave e credenziali d’accesso hanno assunto sempre più un ruolo fondamentale, in quanto principale scudo contro possibili attività illecite di sottrazione dei propri account digitali e dati. Per garantire a chi utilizza le piattaforme digitali una maggiore sicurezza, da qualche tempo è stata introdotta l’autenticazione a due fattori, ovvero un sistema doppio di controllo nel quale viene chiesto all’utente di confermare più volte la propria identità per poter accedere a qualsiasi account. Si tratta, dunque, di una vera e propria doppia barriera di sicurezza.

Autenticazione a due fattori, cos’è

L’autenticazione a due fattori è anche conosciuta con il nome di strong authentication, autenticazione forte, o con l’acronimo 2fa, two factor authentication. Si tratta del sistema che, attualmente, garantisce la maggiore sicurezza degli account digitali in quanto, come detto, prevede che un utente per poter accedere ad una piattaforma digitale confermi per due volte la propria identità. Più nello specifico, all’utente che cerca di accedere all’account di un social network, di una posta elettronica, di un cassetto previdenziale, di una banca e così via, viene richiesto di inserire due elementi diversi che, solitamente, sono:

• il fattore conosciuto, ovvero una prima password da inserire nel momento in cui effettua l’accesso;
• il fattore casuale, ovvero un codice che dopo l’inserimento della password viene inviato via sms o mail al titolare dell’account. Lo stesso dovrà inserirlo nel portale e, solo dopo, potrà accedere. In alternativa è possibile che il sistema chieda all’utente di generare con un token il fattore casuale. Il caso del token più classico è quello che veniva utilizzato da alcune banche che, al momento della sottoscrizione del contratto, consegnavano al cliente una chiavetta con un pulsante. Premendolo, il dispositivo generava un codice che andava inserito nel sistema digitale per accedere al proprio conto on line. In tutti i casi, comunque, il fattore causale è rappresentato da un codice con validità a termine – solitamente entro 30 secondi dall’invio – che potrà essere utilizzato una sola volta.

Nel momento in cui al fattore conosciuto non fa seguito il corretto inserimento di quello casuale, il sistema di accesso blocca la procedura e l’utente dovrà ricominciare da capo. Sarà dunque necessario che questo reinserisca la password e richieda un altro fattore casuale per poter accedere al proprio account, con i tentativi che in alcuni casi hanno un numero massimo di possibilità.

Autenticazione a due fattori, perché è importante

Appare evidente che l’autenticazione a due fattori rappresenti un importante scudo per gli utenti che si avvalgono di servizi digitali. Il principale vantaggio sta nel fatto che, anche in caso di furto o sottrazione della propria password, i malintenzionati dovranno fare i conti con il fattore casuale che ha una maggiore possibilità di controllo da parte dell’utente proprietario dell’account.

Ci sono, tuttavia, dei limiti di sicurezza anche nell’autenticazione a due fattori che, per quanto affidabile, non garantisce al 100% la possibilità di non vedere il proprio account sottratto. L’esempio classico è rappresentato dal caso in cui un soggetto subisca il furto del proprio telefono cellulare o del generatore token. Se il ladro ha accesso alla password e al fattore casuale appare evidente che avrà grande facilità nella sottrazione di account e dati personali. Al verificarsi di queste situazione è dunque necessario che chi ha subito il furto del telefono cellulare o del token provveda subito a denunciare l’accaduto alle autorità competenti.

Il consiglio per aumentare il proprio livello di sicurezza è quello di cambiare costantemente il fattore conosciuto, la password, ed impostare ove possibile dei più moderni ed efficaci sistemi di fattori casuali. In tal senso grande importanza è rappresentata dai fattori casuali biometrici, ovvero quelli che consentono l’accesso attraverso l’impronta digitale del titolare dell’account o il suo riconoscimento facciale.

Autenticazione a due fattori, il secondo elemento

Forniamo ora un ulteriore focus sul fattore casuale della doppia autenticazione e sulle modalità possibili per ottenerlo. Il metodo più diffuso è quello del messaggio sms attraverso il quale l’utente riceve il codice dopo aver inserito il fattore conosciuto. Malgrado si tratti del sistema più utilizzato, non rappresenta una sicurezza totale. Oggi, infatti, i criminali informatici riescono con facilità a trasferire il numero di telefono della Sim dell’utente ad un’altra, attraverso il fenomeno noto come Sim swap fraud. Con questa tecnica i criminali informatici deviano la Sim dell’utente che, di fatto, non avrà più rete sul proprio dispositivo mobile, mentre i malintenzionati riceveranno il codice segreto. Si tratta molto spesso di una procedura rapida, con l’utente che non ha nemmeno modo di rendersi conto di quanto stia avvenendo.

Il consiglio è dunque quello di virare sulla scelta di un’autenticazione a due fattori che abbia come elemento di seconda conferma un’applicazione di soft token. Si tratta di generatori di codici di accesso a scadenza temporale che sono direttamente collegate all’account per il quale si richiede l’accesso. Le più note sono Authy, Google Authenticator e Microsoft Authenticator che, oltre a garantire risultati estremamente performanti, sono anche gratuite per gli utenti.

Altra possibilità è quella di utilizzare, specie per l’accesso ai servizi bancari e finanziari, dei veri e propri token spesso forniti dagli stessi istituti bancari. Rispetto al passato, tali dispositivi si sono fortemente evoluti e sono stati aggiornati con le più recenti tecnologie antifrode.

I token hardware

Ad introdurre il concetto di autenticazione a due fattori sono state le banche che, all’inizio di questo fenomeno,  fornivano ai propri clienti dei token che generavano dei codice di conferma per poter accedere ai servizi bancari digitali. Tale metodologia è oggi considerata obsoleta e poco sicura, ma sono state trovate delle soluzioni alternative che, col tempo, dovrebbero diventare lo standard di sicurezza garantito a tutte le forme di autenticazione a due fattori.

I nuovi tipi di token vengono realizzati con lo standard  di autenticazione open source Fido u2f security key, inizialmente creato da Google e da Yubico e, in seguito, confluito nella Fido, Fast identity online di Alliance. Da un punto di vista strettamente pratico, questi moderni token prevedono l’inserimento in una porta usb di una chiavetta in grado di garantire la doppia autenticazione in modo semplice e sicuro. Alcuni di questi sistemi operano anche con Nfc, Near field communication, o via bluetooth. Si tratta di token che, nelle previsioni, diventeranno lo standard applicativo da qui a qualche anno, ma che al momento risultano limitati nella diffusione per via del loro costo unitario abbastanza alto, si va da un minimo di 20 dollari fino ad un 50-60 dollari. Oltre al prezzo, un altro limite alla diffusione è rappresentato dal fatto che, al momento, non tutti i browser supportano questa tecnologia nel modo corretto. Solo Chrome, Firefox ed Opera hanno fin qui aderito a questo innovativo token hardware.

Come si attiva l’autenticazione a due fattori

In base ai discorsi fin qui affrontati, appare evidente che l’autenticazione a due fattori non possa più rappresentare un lusso da applicare solo ai servizi bancari, ma anzi è necessario estenderla a tutti i propri account digitali. Tale discorso vale ancor di più per i profili aziendali, specie per quelli all’interno dei quali sono contenute molte informazioni e dati.

Per poter attivare l’autenticazione a due fattori è necessario, innanzitutto, registrarsi sul portale nel quale si vuole aprire un’account. In sede di iscrizione l’utente dovrà fornire alcuni suoi dati personali, come ad esempio il nome o un indirizzo e-mail, ed impostare una password (fattore conosciuto). Per attivare il casuale, e dunque l’autenticazione a due fattori, l’utente deve accedere alla sezione “Impostazioni di sicurezza” e predisporre la doppia autenticazione. In tale sede avrà anche la possibilità di scegliere la modalità con la quale intende ricevere il secondo fattore, via sms, con token o altra modalità prevista dalla piattaforma in questione.

Qualora si decidesse di ricevere il secondo fattore via sms, è necessario che l’utente indichi al portale il proprio numero di telefono o comunque quello al quale vorrà ricevere il codice. Se, invece, si opterà per un’app di soft token per recuperare di volta in volta il codice, tale applicazione si abbinerà alla piattaforma in questione attraverso un Qr code da inquadrare con il proprio cellulare.

Attualmente l’autenticazione a due fattori è accettata dai principali social network e dai siti di e-commerce di maggiore utilizzo. Ecco dunque che sarà possibile impostarla su Amazon e Microsoft, così come Apple, Google, Facebook, LinkedIn, Twitter e PayPal.