Una password robusta non basta più, da sola, a proteggere l'accesso admin di un sito. L'autenticazione a due fattori aggiunge un secondo livello, così una password rubata da sola non è sufficiente per entrare, e questo cambia del tutto il calcolo del rischio per chi punta alle credenziali admin. Un fattore può essere compromesso. Due sono molto più difficili. Questo articolo spiega come funziona l'autenticazione a due fattori, quali sono i diversi tipi di secondo fattore e come attivarla sul tuo sito.
Gli attacchi alle credenziali sono automatizzati. Gli strumenti pensati per indovinare le password a forza bruta o per provare credenziali rubate sulle pagine di accesso lavorano di continuo su milioni di siti. La password da sola non è più l'ultima linea di difesa di una volta, perché troppe sono deboli, riutilizzate o esposte in violazioni di dati di altri servizi. L'autenticazione a due fattori non risolve il problema della password. Fa sì che la password da sola non basti. Per il quadro più ampio su come proteggere l'accesso admin all'interno di una strategia di sicurezza completa, leggi l'articolo su come proteggere il tuo sito dagli hacker.
Cos'è l'autenticazione a due fattori?
L'autenticazione a due fattori, spesso abbreviata in 2FA, è un processo di accesso che richiede due forme separate di verifica prima di concedere l'accesso. Il primo fattore è di solito una password. Il secondo fattore è qualcosa di separato, a cui solo il titolare dell'account ha accesso nel momento del login.
Il principio è semplice: anche se un aggressore ottiene la tua password tramite una violazione dei dati, un attacco di phishing o la forza bruta, non può completare l'accesso senza controllare anche il secondo fattore. Nella maggior parte dei casi il secondo fattore si trova su un dispositivo che il titolare dell'account possiede fisicamente, quindi per entrare serve qualcosa in più di una semplice password rubata.
Come funziona l'autenticazione a due fattori?
La sequenza di accesso
- L'utente inserisce nome utente e password nella pagina di accesso, come al solito
- Invece di ottenere subito l'accesso, gli viene chiesto un secondo passaggio di verifica
- L'utente fornisce il secondo fattore, che il sistema verifica prima di consentire l'accesso
- Se uno dei due fattori è sbagliato, l'accesso viene negato
Cosa blocca
- Un aggressore che ha ottenuto la password corretta viene fermato al secondo passaggio, perché non ha accesso al secondo fattore
- Gli attacchi a forza bruta che riescono a individuare una password non possono comunque completare l'accesso senza il secondo fattore
- Le credenziali rubate con il phishing o con violazioni di dati di altri servizi non bastano più da sole
Quali sono i tipi di secondo fattore?
App di autenticazione
- Un'app di autenticazione genera un codice a tempo che si aggiorna ogni 30 secondi. L'utente apre l'app, legge il codice attuale e lo inserisce durante l'accesso
- Il codice viene generato sul dispositivo e non viene trasmesso in rete, il che lo rende resistente all'intercettazione
- È considerata da molti l'opzione più pratica e sicura per la maggior parte dei proprietari di siti
Codici SMS
- Durante l'accesso viene inviato un codice monouso al numero di telefono registrato dell'utente, come messaggio di testo
- I codici SMS sono più comodi da configurare di un'app di autenticazione, ma sono considerati meno sicuri, perché i numeri di telefono possono essere dirottati con lo SIM swapping e gli SMS possono essere intercettati
- Sono comunque molto meglio di nessun secondo fattore
Chiavi di sicurezza hardware
- Una chiave di sicurezza hardware è un dispositivo fisico, di solito un piccolo dispositivo USB o NFC, che l'utente inserisce o avvicina durante l'accesso per verificare la propria identità
- Le chiavi hardware offrono la forma più forte di autenticazione a due fattori e sono immuni al phishing, perché la verifica è legata allo specifico sito a cui si accede
- Sono più comuni negli ambienti ad alta sicurezza e meno usate per il normale accesso admin ai siti web
Codici via email
- Un codice monouso viene inviato all'indirizzo email registrato dell'utente e va inserito durante l'accesso
- I codici via email sono il secondo fattore più debole, perché dipendono dalla sicurezza dell'account email. Se l'account email è compromesso, il secondo fattore non offre alcuna protezione
- Sono meglio di nessun secondo fattore, ma un'app di autenticazione è una scelta più affidabile
Perché il tuo sito ha bisogno dell'autenticazione a due fattori?
Le password vengono compromesse regolarmente
- Le violazioni di dati di altri servizi espongono credenziali che vengono poi provate sui pannelli admin dei siti. Una password riutilizzata da un altro account può servire ad accedere al tuo sito anche se il tuo sito non è mai stato preso di mira direttamente
- Gli attacchi di phishing che catturano le password sono difficili da prevenire del tutto. L'autenticazione a due fattori limita i danni quando una password viene ottenuta
Gli attacchi automatizzati alle credenziali sono costanti
- Gli strumenti a forza bruta lavorano di continuo sui siti, provando password comuni, parole del dizionario ed elenchi di credenziali trapelate
- Con l'autenticazione a due fattori, anche una password scoperta con la forza bruta non basta per completare l'accesso
L'accesso admin è il bersaglio più prezioso
- Un aggressore che ottiene l'accesso al pannello admin di un sito può installare malware, rubare dati, creare backdoor o escludere del tutto il proprietario
- Proteggere l'accesso admin con l'autenticazione a due fattori riduce direttamente le conseguenze di una password compromessa, che è il bersaglio più comune degli attacchi alle credenziali
Per capire cosa possono fare gli aggressori una volta ottenuto l'accesso admin, leggi l'articolo su cos'è il malware di un sito web e come colpisce il tuo sito. Per un quadro completo sul perché la sicurezza del sito conta oltre il solo accesso admin, leggi l'articolo su perché la sicurezza del sito è importante.
Come si attiva l'autenticazione a due fattori sul tuo sito?
Per l'accesso admin al sito
- Molte piattaforme per siti web includono l'autenticazione a due fattori come opzione integrata nelle impostazioni dell'account. Controlla prima la sezione sicurezza o impostazioni dell'account della tua piattaforma
- Per le piattaforme che non la includono di serie, esistono estensioni o plugin di sicurezza che aggiungono la 2FA al processo di accesso
- Attivala per ogni account admin, non solo per quello principale. Qualsiasi account admin senza autenticazione a due fattori è un potenziale punto di ingresso
Per gli account di hosting e dominio
- Il pannello di controllo dell'hosting e l'account del registrar del dominio vanno protetti quanto il sito stesso. Un aggressore che ottiene l'accesso all'account di hosting può modificare i record DNS, accedere ai backup o mettere offline il sito
- Attiva l'autenticazione a due fattori sul pannello di hosting e sull'account del registrar del dominio, non solo sull'accesso del sito
Per gli account email usati nel recupero dell'account
- I processi di reimpostazione della password di solito inviano un link all'indirizzo email registrato. Se quell'account email è compromesso, può essere usato per prendere il controllo dell'account del sito
- Proteggere con l'autenticazione a due fattori gli account email collegati all'accesso admin chiude questa via di recupero come vettore di attacco
Per capire come i backup lavorano insieme all'autenticazione a due fattori in un approccio di sicurezza completo, leggi l'articolo su come fare il backup del tuo sito.
Come WEMASY gestisce la sicurezza dell'autenticazione
L'autenticazione a due fattori è disponibile per l'accesso agli account WEMASY. I proprietari dei siti possono attivarla dalle impostazioni di sicurezza dell'account per proteggere l'accesso alla dashboard, alla configurazione del sito e ai dati di fatturazione. Attivarla significa che una password rubata da sola non può essere usata per accedere all'account.
L'attività di accesso viene monitorata a livello di piattaforma e gli eventi di sicurezza vengono registrati. La piattaforma applica anche limiti ai tentativi di accesso, per ridurre l'esposizione agli attacchi a forza bruta.
Scopri cosa è incluso nel creatore di siti WEMASY o guarda le opzioni di piano nella pagina dei prezzi.
Domande frequenti
Cos'è l'autenticazione a due fattori?
L'autenticazione a due fattori è un processo di accesso che richiede due forme separate di verifica prima di concedere l'accesso. Il primo fattore è di solito una password. Il secondo è qualcosa a cui solo il titolare dell'account ha accesso nel momento del login, come un codice di un'app di autenticazione o un SMS inviato a un telefono registrato. Vanno forniti entrambi correttamente per completare l'accesso, quindi una password rubata da sola non basta a un aggressore per entrare. Con il creatore di siti di WEMASY puoi configurarlo direttamente sul tuo sito.
Perché dovrei usare l'autenticazione a due fattori sul mio sito?
Le password vengono compromesse regolarmente tramite violazioni di dati, attacchi di phishing e strumenti a forza bruta. Con l'autenticazione a due fattori, anche quando un aggressore ottiene una password, non può usarla per completare l'accesso senza il secondo fattore. Per gli account admin di un sito, dove un accesso riuscito può portare all'installazione di malware, al furto di dati o al blocco del sito, l'autenticazione a due fattori è una delle misure di sicurezza più efficaci disponibili.
Qual è il miglior tipo di secondo fattore da usare?
Un'app di autenticazione è il secondo fattore consigliato per la maggior parte dei proprietari di siti. Genera un codice a tempo sul dispositivo stesso, che non viene trasmesso in rete e quindi non è vulnerabile all'intercettazione come lo sono i codici SMS. Le chiavi di sicurezza hardware sono più sicure ma meno pratiche per l'uso quotidiano. I codici SMS e quelli via email sono meglio di nessun secondo fattore, ma un'app di autenticazione trova il giusto equilibrio tra sicurezza e facilità d'uso.
Cosa succede se perdo l'accesso al mio secondo fattore?
La maggior parte delle piattaforme che supportano l'autenticazione a due fattori fornisce anche dei codici di backup al momento della configurazione. Questi codici monouso possono servire ad accedere all'account se il secondo fattore non è disponibile. Conservali in un posto sicuro e separato dal dispositivo usato per l'autenticazione. Se i codici di backup vanno persi e il secondo fattore non è disponibile, il recupero richiede di solito la verifica dell'identità tramite il processo di recupero account della piattaforma, che può richiedere tempo e la presentazione di una prova di proprietà.
L'autenticazione a due fattori protegge da tutti gli attacchi di accesso?
Protegge dalla maggior parte degli attacchi basati sulle credenziali, tra cui forza bruta, credential stuffing e attacchi che usano password rubate da altri servizi. Non protegge dagli attacchi che aggirano del tutto l'accesso, come lo sfruttamento di una vulnerabilità nel software del sito o l'accesso tramite una sessione compromessa. L'autenticazione a due fattori è un livello fondamentale per proteggere l'accesso admin, ma funziona meglio come parte di un approccio di sicurezza più ampio, che include aggiornamenti del software, password robuste e backup regolari.
Devo attivare l'autenticazione a due fattori anche su account diversi dall'accesso al sito?
Sì. Sia il pannello di controllo dell'hosting sia l'account del registrar del dominio dovrebbero avere l'autenticazione a due fattori attiva. L'accesso a uno dei due può servire a modificare la configurazione del sito, i record DNS o i backup in modi che aggirano del tutto l'accesso del sito. Anche l'account email usato per il recupero dell'account dovrebbe essere protetto con l'autenticazione a due fattori, perché i processi di reimpostazione della password inviano un link a quell'indirizzo e un account email compromesso può essere usato per prendere il controllo dell'account del sito.