Autenticazione a due fattori, perché non basta più la password?

Una password complessa, lunga, con caratteri speciali. Cambiata ogni tre mesi. Non condivisa con nessuno. Molte volte non è sufficiente.

Le password vengono rubate ogni giorno, non perché siano deboli, ma perché i metodi per sottrarle si sono evoluti: phishing sofisticato, violazioni di database di altri servizi, malware che le intercettano mentre vengono digitate. E una password rubata, senza un secondo livello di protezione, apre l’account a chiunque la possieda.

L’autenticazione a due fattori (2FA) o multi-factor authentication (MFA) quando i fattori sono più di due, è la risposta più efficace a questo problema. In questo articolo spieghiamo cos’è, come funziona, quali sono i metodi disponibili e come implementarla in azienda.

L’autenticazione tradizionale si basa su un solo fattore: qualcosa che conosci (la password). Il 2FA aggiunge un secondo fattore, che appartiene a una categoria diversa:

• qualcosa che possiedi, come uno smartphone, un token fisico, una smart card
• qualcosa che ti riconosce, come un’impronta digitale, il riconoscimento del viso, altri dati biometrici

Per accedere a un account protetto con 2FA, non basta avere la password: serve anche il secondo fattore. Anche se un hacker ruba le credenziali, tramite phishing o qualsiasi altro metodo, senza il secondo fattore non riesce ad autenticarsi.

App di autenticazione (TOTP)

È il metodo più consigliato per uso aziendale. Un’app come Microsoft Authenticator, Google Authenticator o Authy che genera un codice numerico che cambia ogni 30 secondi. L’utente inserisce la password e poi il codice mostrato dall’app. Il codice è valido solo per quei 30 secondi e non può essere riutilizzato.

SMS e chiamata telefonica

Un codice viene inviato via SMS o comunicato tramite chiamata automatica al numero di telefono registrato. È il metodo più semplice da implementare, ma anche il meno sicuro: gli SMS possono essere intercettati tramite tecniche come il SIM swapping, e i numeri di telefono possono essere trasferiti su un’altra SIM all’insaputa del proprietario.

È comunque molto meglio di nessun secondo fattore, e per molte realtà rappresenta un buon punto di partenza.

Token fisici (hardware token)

Dispositivi fisici, come le chiavette YubiKey, che generano un codice o si collegano via USB per autenticare l’utente. Sono il metodo più sicuro in assoluto, perché non dipendono da uno smartphone e non sono vulnerabili al phishing (alcune varianti richiedono la presenza fisica del token vicino al dispositivo).

Sono particolarmente adatti per account con accesso privilegiato, come amministratori di sistema, account con accesso a dati molto sensibili, dove il livello di sicurezza più alto giustifica il costo e la complessità aggiuntivi.

Notifiche push

Un’app sul telefono mostra una notifica che chiede di approvare o rifiutare il tentativo di accesso. L’utente vede dove e quando viene richiesto l’accesso e può approvarlo con un tap. È comodo e offre visibilità sui tentativi di accesso, se arriva una notifica quando non si sta cercando di accedere, è un segnale di allarme immediato.

Passkey e autenticazione senza password

Le passkey sono il futuro dell’autenticazione: sostituiscono completamente la password con una coppia di chiavi crittografiche, una delle quali rimane sul dispositivo dell’utente e non viene mai trasmessa. L’autenticazione avviene tramite biometria (impronta, viso) o PIN locale. Microsoft, Google e Apple le supportano già su molti servizi. Non sono ancora universali, ma la transizione è in corso.

Le motivazioni più comuni sono tre: “complica la vita ai dipendenti”, “non sappiamo come implementarlo” e “non pensavamo fosse necessario”.

Sul primo punto: l’impatto sull’esperienza utente è minimo, un tap o click in più o un codice da inserire una volta al giorno. Comparato al rischio di un account compromesso, è un costo trascurabile. Molti sistemi moderni offrono inoltre modalità che ricordano il dispositivo fidato, richiedendo il secondo fattore solo quando si accede da un nuovo dispositivo o posizione.

Sul secondo: l’implementazione in Microsoft 365, Google Workspace e la maggior parte dei servizi cloud è guidata e relativamente semplice. Un partner IT può configurarla in poche ore per tutta l’azienda.

Sul terzo: bastano le statistiche. Oltre il 99% degli attacchi basati su credenziali compromesse sarebbe bloccato dall’autenticazione a due fattori. È la misura singola con il miglior rapporto tra costo e beneficio in tutta la sicurezza informatica.

• identificare i servizi critici su cui attivare il 2FA per primi: email aziendale, VPN, Microsoft 365 o Google Workspace, sistemi gestionali, accessi amministrativi
• scegliere il metodo più adatto alla realtà aziendale, che per la maggior parte delle PMI, le app di autenticazione sono il miglior compromesso tra sicurezza e semplicità
• formare brevemente i dipendenti: cosa cambia, come funziona, cosa fare se perdono l’accesso al secondo fattore
• definire una procedura di recupero per i casi in cui un dipendente non abbia accesso al secondo fattore (smartphone scarico, dispositivo smarrito)
• attivare il 2FA in modo graduale, partendo dagli account con accesso privilegiato e poi estendendolo a tutta l’organizzazione

In Easy Pc configuriamo l’autenticazione a due fattori per gli ambienti Microsoft 365 e per gli altri servizi aziendali dei nostri clienti. Gestiamo l’implementazione tecnica, la comunicazione ai dipendenti e la definizione delle procedure di recupero, così l’azienda ottiene il beneficio senza doversi occupare della complessità.

Vuoi attivare il 2FA nella tua azienda?