Una password da sola non basta. Anche una password forte può essere indovinata, rubata o scoperta da un attaccante. Se qualcuno conosce la tua password, può entrare nel tuo account. L'autenticazione a due fattori (2FA) è il livello di sicurezza che lo impedisce. Richiede un secondo passaggio di verifica oltre alla password e dimostra che sei davvero tu, anche se la password è stata compromessa.
In questo articolo vediamo come funziona la 2FA, dove usarla nei tuoi moduli, quali metodi sono i più sicuri e come introdurla senza creare ostacoli agli utenti legittimi.
Cosa imparerai: cos'è l'autenticazione a due fattori e perché è importante, i diversi tipi di 2FA, come funziona ogni metodo, quali moduli hanno bisogno della protezione 2FA e come scegliere il metodo giusto per il tuo caso.
Cos'è l'autenticazione a due fattori?
L'autenticazione a due fattori richiede due prove separate prima di concedere l'accesso. I fattori si dividono di solito così:
- Qualcosa che sai: una password o un PIN
- Qualcosa che hai: un telefono, una chiave di sicurezza o un'app di autenticazione
- Qualcosa che sei: un dato biometrico, come l'impronta digitale o la scansione del volto
Un accesso con 2FA di solito funziona così:
- L'utente inserisce nome utente e password
- Il sistema verifica che la password sia corretta
- Il sistema chiede un secondo fattore (ad es. "Inserisci il codice che trovi sul telefono")
- L'utente fornisce il secondo fattore (ad es. inserisce "123456")
- Il sistema verifica il secondo fattore
- L'utente ottiene l'accesso
Se qualcuno ruba la password, non può comunque entrare nell'account senza il secondo fattore. Ecco perché la 2FA è così efficace.
Perché la 2FA è essenziale per la sicurezza dei moduli
Le password vengono rubate di continuo
Ogni anno le violazioni di dati espongono milioni di password. Se la tua password è finita in un database violato, gli attaccanti ce l'hanno. Una password forte aiuta, ma resta pur sempre una password.
Gli attacchi alle password sono comuni
Gli attaccanti usano la forza bruta (provano milioni di combinazioni), gli attacchi a dizionario (provano le password più comuni) e il credential stuffing (usano password trapelate da altre violazioni). Questi attacchi funzionano se oltre alla password non c'è nient'altro.
Il phishing punta alle password
Gli attaccanti inviano false pagine di accesso identiche al tuo sito. Gli utenti inseriscono le credenziali nella pagina falsa. Se il tuo sito richiede solo la password, l'attaccante ora ha accesso. Se la 2FA è obbligatoria, l'attaccante non può usare la sola password.
Il furto di account costa caro
Se qualcuno entra nell'account di un cliente, può cambiare la password, reimpostare l'account, fare acquisti non autorizzati o rubare informazioni. Con la 2FA l'accesso non autorizzato diventa molto più difficile.
Tipi di autenticazione a due fattori
Codici via SMS (messaggio di testo)
Come funziona: l'utente inserisce nome utente e password. Il sistema invia al suo telefono un codice di 6 cifre con un SMS. L'utente inserisce il codice ricevuto.
Pro: semplice per gli utenti. Funziona su qualsiasi telefono (non serve un'app).
Contro: gli SMS possono essere intercettati o deviati. Non è il metodo più sicuro. Inviare gli SMS costa.
Ideale per: applicazioni rivolte ai clienti, dove la facilità d'uso conta più della massima sicurezza.
App di autenticazione
Come funziona: l'utente installa un'app come Google Authenticator o un'altra app di autenticazione. Quando accede, l'app genera un codice a tempo (di solito 6 cifre che cambiano ogni 30 secondi). L'utente inserisce questo codice.
Pro: molto sicuro. Non può essere intercettato. Gratuito per gli utenti.
Contro: gli utenti devono installare un'app. Se perdono il telefono perdono l'accesso, a meno che abbiano i codici di backup.
Ideale per: applicazioni ad alta sicurezza (pannelli di amministrazione, conti finanziari, dati sensibili). Qui un po' più di attrito è accettabile.
Chiavi di sicurezza hardware
Come funziona: l'utente ha una chiave fisica (come una chiavetta USB). Quando accede, il sistema chiede la chiave. L'utente la inserisce o la avvicina al dispositivo. La chiave dimostra che è sua.
Pro: estremamente sicura. Non si può violare da remoto. Funziona su molti siti.
Contro: gli utenti devono comprare le chiavi (30-50 dollari). Si possono perdere o dimenticare. Non è ancora supportata ovunque.
Ideale per: scenari di massima sicurezza (enti pubblici, difesa, account di alto valore). La usano utenti esperti di tecnologia.
Notifiche push
Come funziona: l'utente prova ad accedere. Il sistema invia una notifica push al suo telefono: "Vuoi approvare questo accesso?" L'utente tocca "Approva" nella notifica.
Pro: molto comoda per l'utente. Nessun codice da digitare. Resiste al phishing (l'utente vede da dove arriva l'accesso).
Contro: richiede un'app o un sistema specifico. Non si può usare se il telefono non è a portata di mano.
Ideale per: applicazioni pensate prima di tutto per il mobile e app per il pubblico, dove l'esperienza d'uso è fondamentale.
Codici via email
Come funziona: l'utente inserisce nome utente e password. Il sistema invia un codice al suo indirizzo email. L'utente inserisce il codice ricevuto.
Pro: funziona anche senza telefono. È accessibile a tutti gli utenti.
Contro: l'email può essere violata. L'utente deve controllare la posta, e questo è più lento degli altri metodi. È meno sicuro delle app di autenticazione.
Ideale per: applicazioni a bassa sicurezza o come alternativa quando gli altri metodi non sono disponibili.
Biometria (impronta digitale, volto)
Come funziona: il dispositivo dell'utente (telefono o computer) usa i sensori biometrici integrati. L'utente scansiona l'impronta o il volto per approvare l'accesso o l'azione.
Pro: molto comoda. Molto sicura. Unica per ogni persona.
Contro: serve un dispositivo con sensore biometrico. Conservare dati biometrici solleva dubbi sulla privacy.
Ideale per: app mobili e dispositivi moderni. È sempre più diffusa, perché l'hardware biometrico sta diventando di serie.
Quali moduli hanno bisogno della 2FA?
Moduli di alto valore (la 2FA è obbligatoria)
- Moduli di accesso (pannello di amministrazione, account cliente, email)
- Moduli di reimpostazione della password
- Modifiche alle impostazioni dell'account (soprattutto email o password)
- Moduli di pagamento o finanziari
- Eliminazione di dati o operazioni sensibili
Moduli di valore medio (la 2FA è consigliata)
- Registrazione dell'account (per evitare il furto di account fin dall'inizio)
- Moduli che modificano dati o preferenze dell'utente
- Moduli riservati agli amministratori
Moduli di basso valore (la 2FA è facoltativa)
- Moduli di contatto (raccolgono solo informazioni pubbliche)
- Iscrizione alla newsletter (modulo senza account)
- Moduli di sondaggio
La regola: se il modulo può modificare l'account dell'utente, dare accesso a dati sensibili o eseguire azioni irreversibili, usa la 2FA.
Introdurre la 2FA senza troppo attrito
Rendi la 2FA facoltativa all'inizio, poi obbligatoria per le azioni sensibili
Lascia che gli utenti si registrino senza 2FA. Ma richiedila quando cercano di accedere ad aree sensibili, di cambiare i dati di pagamento o di modificare la password.
Offri più metodi di 2FA
Alcuni utenti hanno il telefono, altri no. Alcuni preferiscono le app di autenticazione, altri le chiavi hardware. Offrire più metodi permette a tutti di usare la 2FA.
Offri codici di backup
Se la 2FA è obbligatoria e gli utenti perdono il telefono o l'app di autenticazione, non riescono più ad accedere al loro account. Offri codici di backup (codici monouso generati durante la configurazione), così potranno accedere anche se perdono il metodo 2FA principale.
Ricorda i dispositivi fidati
Dopo che un utente ha completato la 2FA su un dispositivo, puoi "ricordare" quel dispositivo, così non dovrà ripeterla ogni singola volta. Si riduce l'attrito e resta alta la sicurezza per gli accessi sospetti da dispositivi sconosciuti.
Usa la 2FA basata sul rischio
Se un utente accede dal suo solito luogo, alla sua solita ora e con il suo solito dispositivo, forse la 2FA non serve. Se accede da un altro paese alle 3 di notte con un dispositivo nuovo, richiedila. Così bilanci sicurezza e facilità d'uso.
Piani di recupero e di backup
Gli utenti perderanno il telefono, dimenticheranno le app e resteranno chiusi fuori. Preparati con un piano:
- Codici di backup: genera 10 codici monouso durante la configurazione della 2FA, da usare se il metodo principale non è disponibile
- Recupero dell'account: permetti agli utenti di verificare la propria identità con domande di sicurezza o via email per riottenere l'accesso
- Processo di assistenza: forma il personale di assistenza su come verificare l'identità e aiutare chi è rimasto chiuso fuori
Gli attacchi alla 2FA e come prevenirli
SIM swapping
Un attaccante convince l'operatore telefonico a trasferire il numero della vittima su una nuova SIM. Poi usa i codici 2FA via SMS, che arrivano sul telefono dell'attaccante.
Prevenzione: usa app di autenticazione o chiavi hardware al posto degli SMS. Gli SMS sono vulnerabili al SIM swapping.
Phishing dei codici 2FA
Un attaccante crea una falsa pagina di accesso che chiede un codice 2FA. L'utente inserisce il codice. L'attaccante lo usa subito per entrare nell'account vero.
Prevenzione: usa metodi che mostrano il contesto (le notifiche push indicano "accesso su www.example.com") o chiavi hardware (che verificano il dominio del sito). I metodi basati su codici sono vulnerabili a questo attacco.
Dispositivi persi o rubati
Se il dispositivo con l'app 2FA viene perso o rubato, un attaccante potrebbe usarlo per entrare negli account.
Prevenzione: richiedi un PIN o un dato biometrico per sbloccare il dispositivo. Richiedi un PIN per aprire l'app di autenticazione. Usa i codici di backup e le opzioni di recupero dell'account.
Cosa controllare per la 2FA
Controlla quali metodi 2FA offrono i tuoi account e attiva il più sicuro disponibile. Un'app di autenticazione è più sicura dei codici inviati via SMS o email. Conserva i codici di backup in un posto sicuro, così puoi recuperare l'accesso.
Scopri di più sulle funzioni di sicurezza e sulle opzioni 2FA nelle impostazioni del tuo account o nella pagina dei prezzi.