Autenticazione a due fattori: cos’è e perché attivarla

In che cosa consiste e come si ottiene il sistema di accesso ad un account con una password fissa e una variabile. Qual è la soluzione più sicura?

Addio ai tempi in cui bastava una password per sentirsi al sicuro e impedire ai malintenzionati di entrare in un account social, in una casella di posta elettronica, in un conto corrente online. L’esperienza ci dice che oggi per un hacker violare una tradizionale barriera di accesso è un gioco da ragazzi. Ecco, allora, che da qualche tempo è stata introdotta l’autenticazione a due fattori: cos’è e perché attivarla?

Se qualche volta ti capiterà di visitare il Cenacolo Vinciano a Milano per ammirare l’Ultima Cena di Leonardo, noterai che ti viene chiesta due volte la stessa cosa in due posti diversi per poter entrare nel famoso refettorio di Santa Maria delle Grazie, cioè la tua identità. La prima in biglietteria: dovrai dire come ti chiami e mostrare un documento al momento di ritirare il ticket prenotato. Farai pochi passi e raggiungerai l’ingresso del Cenacolo. Qui, per la seconda volta, ti chiederanno come ti chiami e sarà necessario mostrare di nuovo il documento, anche se il biglietto che hai in mano certifica che hai già svelato la tua identità. Una doppia autenticazione per avere la sicurezza che, effettivamente, sei tu a entrare nel chiostro da dove potrai accedere per ammirare il capolavoro leonardesco.

Nel mondo digitale accade lo stesso che succede nell’esempio appena fatto: è possibile attivare un servizio online affinché venga chiesta non una ma due volte l’identità di chi sta tentando di accedere ad un qualsiasi account. In questo modo, si avrà una doppia barriera che complicherà la vita agli intrusi. Ma vediamo nel dettaglio che cos’è l’autenticazione a due fattori e perché attivarla.

Autenticazione a due fattori: che cos’è?

L’autenticazione a due fattori, nota anche come strong authentication (autorizzazione forte) o 2FA (two factor authentication) è il sistema più sicuro di cui si dispone attualmente per proteggere un account, che si tratti di quello dei social network, della posta elettronica, della banca, del cassetto previdenziale o fiscale, ecc. In pratica, per poter effettuare l’accesso occorrerà inserire due elementi diversi, seguendo la logica del «fattore conosciuto» e del «fattore casuale».

Il fattore conosciuto è quello che l’utente imposta come prima password da inserire al momento dell’accesso. Una volta inserita, il sistema invierà via Sms o chiederà di generare con un token (a seconda della scelta fatta al momento dell’attivazione) il «fattore casuale», cioè un codice da riportare sulla pagina di accesso. Questo fattore casuale servirà una sola volta (di solito, ha una validità di circa 30 secondi, dopodiché si disattiva). Significa che per accedere nuovamente all’account si dovrà:

• inserire la prima password, cioè quella conosciuta;
• attendere di ricevere il nuovo codice casuale per completare la richiesta di accesso.

È chiaro che, in questo modo, si hanno maggiori garanzie di sicurezza, poiché se anche qualcuno fosse a conoscenza della password non riuscirebbe ad entrare furtivamente nell’account senza il secondo fattore che solo l’utente può sapere.

Starai pensando, a questo punto, che la garanzia di sicurezza non è al 100% e hai perfettamente ragione. C’è, in effetti, una situazione che può mandare a gambe per aria l’efficacia dell’autenticazione a due fattori: il furto del tuo cellulare o del token. Se il malintenzionato che conosce la tua password fosse in possesso del tuo telefonino sul quale riceverai il secondo fattore o del token con cui generarlo, potrebbe riuscire ad entrare nel tuo account dalla porta principale.

Un modo per evitare che ciò accada è quello di cambiare frequentemente la password (il primo fattore) oppure impostare come secondo fattore al momento dell’attivazione un elemento di tipo biometrico, come l’impronta digitale o il riconoscimento facciale.

Autenticazione a due fattori: come ottenere il secondo elemento?

Il modo più comune per ottenere il secondo elemento e poter accedere al proprio account con l’autorizzazione a due fattori è quello del messaggio via Sms. Una volta inserita la password, il sistema genera un codice casuale e lo invia sul cellulare dell’utente, in modo tale che questi possa completare la procedura.

Non è, però, la pratica più sicura. Oggi, i pirati informatici riescono a trasferire un numero di telefono da una Sim (quella dell’utente) ad un’altra (quella del pirata) attraverso la truffa nota come Sim Swap Fraud. Il titolare della Sim «deviata» vedrà che il suo telefonino non ha la rete. Risultato: il codice di accesso sarà leggibile dal malintenzionato che, se in possesso della password, potrà entrare nell’account, ad esempio, di un conto corrente e svuotarlo in pochi secondi, ancor prima che il legittimo titolare si renda conto di quello che gli sta succedendo.

Meglio, dunque, scegliere un’applicazione dedicata tra quelle che vengono definite «soft token», perché funzionano su un cellulare come quel dispositivo che le banche fanno avere ai propri clienti su richiesta per controllare da casa il proprio conto. Tra queste, le più note (e gratuite) sono Authy, Google Authenticator e Microsoft Authenticator.

E poi, ovviamente, ci sono i token veri e propri forniti dalla banca. Dispositivi che al giorno d’oggi si sono evoluti rispetto al passato e che sono dotati di tecnologie antifrode più avanzate.

Autenticazione a due fattori: come si attiva?

Per attivare l’autenticazione a due fattori occorre, innanzitutto, registrarsi al sito sul quale si vuole aprire l’account e accedere alla sezione «Impostazioni di sicurezza». Qui si potrà fare la scelta di attivare la doppia autenticazione e della modalità in cui si vuole ricevere il secondo fattore.

Successivamente, si dovrà indicare il numero di cellulare a cui inviare la doppia autenticazione nel caso si opti per l’Sms oppure l’applicazione che verrà usata per recuperare di volta in volta il codice. L’app si abbinerà al sito tramite un QRcode da inquadrare con il telefonino.

L’autenticazione a due fattori viene accettata (in alcuni casi, addirittura imposta) dai principali siti social o di e-commerce: da Amazon a Microsoft, da Apple a Google, da Facebook a LinkedIn o Twitter, da PayPal alle banche o alle società che gestiscono le carte di credito, ecc.