Autenticazione a due fattori: di cosa si tratta? Perché è importante?

Avete sempre sentito parlare di 2FA ma non sapete per quale motivo dovete applicarla… dopo aver letto il nostro articolo non avrete più dubbi .
Parleremo, passo dopo passo, di tutte le caratteristiche della two factor authentication per fornirvi le informazioni necessarie sull’argomento.

L’autenticazione a due fattori è uno strumento di protezione per l’accesso agli account web. Quando si parla di autenticazione a due fattori, 2FA o two factor authentication, indichiamo esattamente il processo attraverso il quale ciascuno di noi accede ad un servizio web attraverso l’inserimento di doppio input: password e codice OTP via smartphone, ad esempio.

Ma non vogliamo essere precipitosi, affrontiamo insieme questa nuova tematica in un articolo interamente dedicato. Insieme, scopriremo che cos’è la 2FA, perché si usa e da che cosa ci può difendere.

1. Che cos’è l autenticazione a due fattori

2. I due fattori

3. A che cosa serve

4. Dove e come si può attivare

5. Autenticazione a due fattori secondo NIST

Definire l’autenticazione a due fattori è più difficile a dirsi che a farsi. Si tratta di un processo di autenticazione a sistemi e servizi web che consiste nell’utilizzo di due metodi diversi. Grazie alla 2FA (o autenticazione a due o più fattori) l’utente quando deve accedere ad un servizio deve confermare la sua identità due volte: la prima volta lo fa attraverso l’inserimento di nome utente/password mentre in seconda istanza, inserisce un secondo codice (chiamato anche codice OTP) o addirittura con l’impronta digitale.

Attualmente questo sistema rappresenta la massima protezione in tutti i sistemai per l’autenticazione degli utenti. Infatti, la 2FA viene sfruttata dai siti web di banche, portali sanitari, portali di enti pubblici ma anche servizi aziendali come l’accesso alle e-mail, ai password manager o ai social network.
Per molti portali rappresenta un passaggio obbligatorio, mentre per altri , purtroppo, solamente facoltativo.

Affinché un sistema di autenticazione a due fattori sia valido deve basarsi sostanzialmente su almeno 2 dei seguenti 3 elementi:

Conoscenza

Tradotto in azione, qualcosa che l’utente conosce e che ricorda. In questo caso parliamo di password, nome utente o PIN.

Possesso

Ovvero qualche cosa che l’utente possiede: un oggetto. S’intende: lo smartphone o il tablet, la chiavetta per il token

Inerenza

E per ultimo, ma non meno importante parliamo di qualche cosa che l’utente è, qualcosa che porta sempre con sé perché fa parte di esso: l’impronta digitale, il riconoscimento vocale o qualsiasi altro valore biometrico.

In informatica, si parla di autenticazione a due (o più) fattori perché significa che i servizi web utilizzano due di questi 3 elementi. La combinazione è indifferente, purché vengano richiesti entrambi. E’ importante che i fattori siano diversi tra loro e non siano della stessa natura.

Abbiamo dunque stabilito che in fase di autenticazione, i 2 fattori che sono necessari sono indubbiamente:

1. Password
2. Qualcos’altro tra: codice OTP inviato via SMS, telefonata, codice via app su dispositivi mobile o il riconoscimento biometrico.

L’unione di questi due passaggi genera la variante due fattori.

Rubare password o in generale, credenziali è più semplice di quanto crediate.
Soprattutto, se pensiamo che molti utenti utilizzano sempre le stesse credenziali per accedere a servizi diversi.

A tal proposito, l’autenticazione a due fattori risulta utile. L’Italia si piazza al 6° posto, nel 2020, con il più alto tasso di furto dei dati : il fenomeno dilaga letteralmente.
In conseguenza all’aumento degli accessi a Internet durante la pandemia globale, le violazioni di password e account web sono aumentato di oltre il 300%.
A confermarlo, sono la maggior parte dei dati che circolano sul dark web e che provengono proprio da casi di furto e fuga di dati sono proprio:

• credenziali (nomi utenti o username e password)
• indirizzi e-mail
• numeri di telefono.

Ecco che, la necessità di un sistema di autenticazione a due fattori sicuro e strutturato serve a:

• aumentare la sicurezza di un account;
• mettere al corrente l’utente qual ora un soggetto terzo stia cercando di accedere al suo account;
• confermare l’identità della persona in maniera inequivocabile;

Implementare l’autenticazione a due fattori anche per i propri account personali o aziendali è una scelta assolutamente vincente per qualsiasi utente. Il sistema è assolutamente alla portata di tutti e richiede pochissimo tempo.

Qual ora un utente dovesse effettuare l’accesso ad un portale dove è prevista la 2FA dovrà normalmente inserire username e password (1° fattore), se questi saranno corretti, il sistema richiede anche un secondo codice numerico (o secondi fattore) che in molti casi viene inviato:

• via SMS
• via Applicazione
  • Google Authenticator
  • LastPass Authenticator
  • Microsoft Authenticator
  • Authy
  • 2FA Authenticator
• tramite chiamata
• tramite un token fisico (esempio, la chiavetta per i codici bancari).

A differenza del primo passaggio, il secondo fattore è di fatto inattaccabile dall’hacker o da qualsiasi malintenzionato voglia entrare. Il codice del secondo fattore, normalmente, ha una validità limitata nel tempo (al massimo 60 secondi) e viene definito OTP (o one time password).

Può anche capitare che il secondo fattore dell’autenticazione non sia un codice numerico ma piuttosto un riconoscimento biometrico come ad esempio: lettura dell’impronta digitale, il riconoscimento facciale.

In merito alla sicurezza del processo di autenticazione con più fattori, si è esposta anche l’agenzia governativa statunitense NIST ovvero il National Institute of Standards and Technology.

Sebbene, bloccare completamente l’attività della criminalità online possa essere un obiettivo utopistico, la possibilità di introdurre dei processi come quello del 2FA riduce significativamente le probabilità che l’utente possa essere frodato.

NIST si schiera a favore dell’implementazione di questa soluzione ogniqualvolta è possibile, e noi di Onorato Informatica non possiamo che essere più concordi. La 2FA permette di proteggere dati sensibili, account finanziari, cartelle cliniche e ogni genere di informazione riservata.

In questo articolo abbiamo potuto descrivere le problematiche che genera la protezione dell’autenticazione a due o più fattori.

Ci auguriamo di essere riusciti nell’intento di mettervi al corrente dei rischi e delle opportunità che questa soluzione offre

Ecco per quale motivo vi consigliamo di seguire sempre, passo dopo passo, i nostri consigli di sicurezza informatica.

Lato tecnico, eseguire un Vulnerability Assessment dei vostri servizi web permetterà di analizzare quali password deboli sono presenti nel vostro sistema informatico. Questa soluzione vi salverà da ogni genere di accesso indesiderato, furto di credenziali e attacco ransomware.

Onorato Informatica è un’azienda informatica, specializzata in sicurezza informatica, da oltre 10 anni.

Ci occupiamo di Cyber Security dalle nostre sedi di Mantova, Parma, Milano e Los Angeles. Siamo un’azienda certificata ISO 9001, ISO 27001 e azienda etica.

Se vuoi conoscere i servizi di sicurezza informatica e sapere come possiamo aiutarti, contattaci!