Che cos'è l'autenticazione a due fattori? | Descrizione della verifica in due fasi

Che cos'è l'autenticazione a due fattori?

L'autenticazione a due fattori, abbreviata in 2FA, è un processo di autenticazione che richiede due diversi fattori di autenticazione per stabilire l'identità. In poche parole, significa richiedere a un utente di dimostrare la propria identità in due modi diversi prima di concedere loro l'accesso. L'autenticazione a due fattori (2FA) è una forma di autenticazione a più fattori.

Cos'è l'autenticazione?

L'autenticazione è una componente importante del controllo degli accessi. È la pratica di sicurezza volta a confermare che qualcuno è veramente chi dice di essere. Un esempio è il caso di un viaggiatore che mostra il passaporto a un agente doganale.

Nell'ambito della sicurezza informatica, l'esempio più comune di autenticazione è l'accesso a un servizio sul Web, come l'accesso a Gmail tramite un browser Web o l'accesso all'app di Facebook. Quando un utente fornisce una combinazione di nome utente e password, il servizio può confermare questi dettagli e utilizzarli per autenticare l'utente.

Cos'è un fattore di autenticazione?

I fattori di autenticazione sono diverse classi di metodi di verifica dell'identità. Alcuni fattori di autenticazione comunemente utilizzati per l'autenticazione a due fattori includono:

• Conoscenza: questa è un'informazione che solo l'utente dovrebbe conoscere, come una password o la risposta a una domanda di sicurezza.
• Possesso: questo fattore si basa sul mantenimento del possesso fisico di un oggetto da parte dell'utente. Ad esempio, una chiave hardware in grado di generare passcode o un dispositivo mobile a cui è possibile inviare codici.
• Dati biometrici: si tratta di tratti biologici univoci dell'utente che possono essere utilizzati nell'autenticazione. Gli esempi includono impronte digitali, scansioni della retina e Face ID.
• Posizione: gli strumenti basati sulla posizione come il GPS possono essere utilizzati per limitare l'autenticazione agli utenti all'interno di una determinata area geografica.

È opportuno notare che richiedere due istanze dello stesso fattore di autenticazione non è considerato come autenticazione a due fattori. Ad esempio, la richiesta di una password e di una domanda di sicurezza è ancora un'autenticazione a fattore singolo. Entrambi riguardano il fattore della conoscenza.

Come funziona l'autenticazione a due fattori?

L'autenticazione a due fattori può funzionare in diversi modi. Uno degli esempi più comuni di autenticazione a due fattori richiede la verifica con nome utente/password e la verifica tramite SMS.

In questo esempio, quando l'utente crea un account per un servizio, deve fornire un nome utente univoco, una password e il proprio numero di cellulare. Quando l'utente accede a tale servizio, specifica nome utente e password. Questo fornisce il primo fattore di autenticazione (conoscenza: l'utente ha dimostrato di conoscere le proprie credenziali di accesso univoche).

Successivamente, il servizio invierà all'utente un messaggio di testo automatizzato con un codice numerico. All'utente verrà quindi richiesto di inserire il codice numerico. Supponendo che il codice sia corretto, l'utente ha fornito un secondo fattore di autenticazione (possesso; l'utente è in possesso del proprio dispositivo mobile). Ora le condizioni per l'autenticazione a due fattori sono soddisfatte e l'utente può essere autenticato e gli può essere concesso l'accesso al proprio account.

Perché utilizzare l'autenticazione a due fattori?

La sicurezza basata sulle password è diventata troppo facile da sfruttare dagli autori di attacchi. Con la diffusione di truffe di phishing, attacchi di interposizione, attacchi con forza bruta e riutilizzo delle password, è diventato sempre più semplice per gli aggressori raccogliere credenziali di accesso rubate. Queste credenziali rubate possono essere scambiate o vendute per essere utilizzate in attacchi di sottrazione e uso illecito delle credenziali. Per questo motivo, l'autenticazione a due fattori sta diventando sempre più comune.

Man mano che il lavoro da remoto diventa più diffuso, anche una verifica più rigorosa dell'identità ha acquisito sempre più importanza. Poiché la presenza fisica dei dipendenti in ufficio non può essere utilizzata per verificare la loro identità, misure come l'autenticazione a due fattori contribuiscono a garantire che i loro account non siano stati compromessi.

In genere, gli esperti di sicurezza raccomandano agli utenti di abilitare l'autenticazione a due fattori ogniqualvolta possibile e di richiederla ai servizi che gestiscono dati sensibili degli utenti ma che attualmente non la offrono. Sebbene l'autenticazione a due fattori non sia impossibile da decifrare per gli aggressori, comprometterla è notevolmente più difficile e costoso rispetto all'autenticazione basata solo su password.

L'autenticazione a due fattori basata su SMS è sicura?

L'autenticazione a due fattori (2FA) basata su SMS (verifica con messaggio di testo) è molto più sicura dell'autenticazione a fattore singolo (solo password). Detto questo, gli SMS sono tra i metodi meno sicuri. Il protocollo SMS non è molto sicuro e i messaggi SMS possono essere intercettati dagli aggressori.

Esistono altri modi più sicuri per implementare l'autenticazione a due fattori tramite un dispositivo mobile, ad esempio, inviare il codice di verifica tramite un'app sicura che utilizza una crittografia avanzata. Google e molti altri importanti servizi Internet utilizzano password monouso basate sul tempo (TOTP). Con le TOTP, un client (spesso un'applicazione in esecuzione su uno smartphone) crea un codice temporaneo monouso basato sull'ora del giorno. Questi codici hanno una durata estremamente breve, in genere inferiore a un minuto. Questa finestre temporale così ristretta rende estremamente difficile per un aggressore intercettare e decifrare il codice prima che scada.

Esiste anche una tecnologia di autenticazione a due fattori emergente chiamata "Sound-Proof", che sfrutta il rumore ambientale captato dai microfoni integrati nei dispositivi mobili e nei laptop. Sound-Proof funziona confrontando i campioni di rumore ambientale per garantire che entrambi i dispositivi si trovino nella stessa stanza.

Ci sono degli svantaggi nell'uso dell'autenticazione a due fattori?

Sebbene l'autenticazione a due fattori contribuisca a rendere Internet più sicuro, ci sono alcuni svantaggi che è opportuno considerare. Ad esempio, l'autenticazione a due fattori potrebbe scoraggiare gli utenti meno esperti di tecnologia, per i quali scaricare e utilizzare le app di verifica per smartphone può rappresentare una difficoltà.

Richiedere l'autenticazione a due fattori per un servizio può anche creare alcune barriere economiche all'ingresso. Non tutti gli utenti dispongono degli smartphone moderni necessari per molti metodi di autenticazione a due fattori. Inoltre, in alcune parti del mondo i dati mobili sono molto costosi, quindi anche chi possiede uno smartphone potrebbe subire conseguenze economiche scaricando un'app di verifica per l'autenticazione a due fattori.

L'autenticazione a due fattori comporta anche dei costi aziendali per chi gestisce il servizio. L'autenticazione a due fattori è molto più difficile da implementare rispetto all'autenticazione basata solo su password e un'azienda che la fornisce dovrà sostenere costi di installazione o pagare un servizio di terze parti per fornire l'autenticazione a un costo costante. Le aziende più piccole potrebbero rinunciare alla maggiore sicurezza offerta dall'autenticazione a due fattori semplicemente perché non possono permettersi di supportarla.