Cos’è l’autenticazione a più fattori e perché ne hai bisogno?

Siamo da sempre abituati a loggarci su un sito web usando la tradizionale accoppiata composta da nome utente e password. Purtroppo questa procedura non è più da ritenersi sufficientemente sicura.

Visto che quasi tutti gli indirizzi e-mail sono stati esposti online da qualche parte o fanno parte di pacchetti di dati trafugati da qualche malintenzionato, l’autenticazione tradizionale basata su password è intrinsecamente insicura.

Alla luce di questo, è essenziale cominciare a usare sistemi di login più efficaci.

L’autenticazione a due fattori o a più fattori (2FA o MFA) è un metodo di protezione aggiuntivo che sta diventando sempre più comune. Ma cosa sono 2FA e MFA e come possono aiutare a proteggere i tuoi account on line?

Che cos’è l’autenticazione a più fattori?

La differenza tra l’autenticazione a due fattori e quella a più fattori è che la 2FA utilizza solo due dei controlli aggiuntivi disponibili per la verifica dell’identità, mentre la MFA può utilizzare tre o più controlli.

Se un sito web, come un social network, una app di una banca o un gestore di gateway di pagamento ha implementato l’autenticazione MFA è chiaro segno che ci si trova di fronte una azienda che investe in sicurezza informatica e protezione dati dei propri utenti.

Dal lato aziendale l’uso dell’autenticazione a più fattori, seppur spesso onerosa da innestare e mantenere, aiuta a costruire e mantenere una solida reputazione e può facilmente trasformarsi in un punto a favore a livello marketing.

Quali tipi di autenticazione multi fattore esistono?

Esistono diversi tipi di autenticazione MFA e questo elenco è in continua crescita. La soluzione è scelta dall’azienda in base al grado di sicurezza che vuole offrire o che sia necessario avere, sulla sua piattaforma. Ecco i tipi di autenticazione MFA più comuni al momento.

Token SMS

Una misura relativamente semplice da attuare per una azienda e intuitiva da usare lato utente è il controllo costituito da un messaggio SMS contenente un codice PIN.

Questo PIN viene quindi utilizzato come OTP, one time password, una password utilizzabile solo una volta ed entro un determinato tempo, in genere 15 o 30 minuti. Questo tipo di MFA viene utilizzato in accoppiata alla tradizionale verifica con nome utente e password.

E-mail token

Questo metodo è identico al token SMS, ma il codice viene inviato via e-mail. Dal momento che non tutti hanno il telefono sempre con sé, è diventata prassi di molte aziende preferire questo sistema all’invio dell’SMS. Questo fa sì che in caso di smarrimento o furto del cellulare non si perda il controllo, anche degli account personali.

E’ conveniente perché’ basta avere con se una dispositivo in grado di ricevere email per ottenere l’OTP.

Token hardware

L’uso di un token hardware separato è considerato uno dei metodi di autenticazione più sicuri disponibili, a condizione che la chiave, in genere un dispositivo del formato di una pen drive, non venga smarrito.

Questo metodo è più costoso da attuare per le aziende. Non a caso viene utilizzato per lo più da banche, assicurazioni o piattaforme finanziare in genere.

Per mettere in moto l’autenticazione ed entrare nel tuo account viene richiesto l’inserimento dell’hardware nel proprio dispositivo in genere tramite porta USB. Se usi un dispositivo privo di porta USB, per esempio un palmare, potrebbe essere necessario un adattatore che fornisca una porta USB al dispositivo.

Token software

Utilizzando un app di autenticazione su un dispositivo mobile, è possibile ottenere quasi lo stesso livello di sicurezza di un token hardware. In sostanza sarà lo stesso smartphone a fungere da token. Una popolare applicazione di questo tipo è Google Authenticator.

Questa soluzione diventa molto pratica in quanto non bisogna avere con se il token hardware ma allo stesso modo si può usufruire della sicurezza di un accesso protetto da MFA.

Telefonata

Forse un sistema un po’ meno diffuso, ma comunque in grado di assicurare un livello elevato di sicurezza, è la telefonata.

Nel momento dell’autenticazione si riceve una chiamata generata automaticamente che comunica una OTP da usare entro pochi minuti.

Verifica biometrica

Se hai a disposizione uno smartphone o laptop dotato dell’autenticazione biometrica, come l’impronta digitale o riconoscimento facciale, allora è possibile usarlo come controllo per confermare la propria identità come autenticazione MFA.

La verifica dell’ID biometrico tende a essere meno complicata rispetto alla digitazione di un OTP e questo metodo è quello che spesso riscuote più apprezzamento.

Altri metodi di autenticazione MFA

Ci sono anche alcuni altri metodi di verifica digitale che magari già usi senza sapere che sono proprio dei controlli MFA.

Accesso social – Per esempio, quando usi l’opzione di registrazione o accesso tramite un social network. Questo sistema, chiamato anche verifica dell’identità sociale, dal lato utente è davvero comodo e facile da usare visto che spesso sullo stesso dispositivo si è già effettuato l’accesso ad un social network.

Di contro bisognerebbe poi tenere presente che le piattaforme social sono un obiettivo allettante per hacker a caccia di dati personali. La verifica dell’ID social non dovrebbe essere l’unico metodo utilizzato in aggiunta al classico nome utente + password.

KBA.

Le domande di sicurezza sono un tipo di autenticazione basata sulla conoscenza (KBA knowledge-based authentication) dove le domande e le risposte sono statiche.

Le domande potrebbero essere definite sia dal sito che dall’utente stesso che fornisce inizialmente anche le risposte.

Il KBA dinamico, che è più sicuro del KBA statico, utilizza le domande che vengono generate in tempo reale sulla base di record di dati come la cronologia del credito o su transazioni recenti.

Quanto è sicura l’autenticazione multi fattore?

autenticazione a più fattori

La sicurezza della soluzione MFA dipende da alcune cose diverse. La sicurezza è un elemento necessario ma allo stesso tempo non dovrebbe diventare un deterrente noioso. Gli utenti scappano quando trovano poco pratica la soluzione innestata.

Le chiavi hardware offrono una sicurezza maggiore rispetto alla verifica sociale, ma impiegano budget e sono spesso un po’ faticose da usare per molti utenti specie per quelli meno smart.

Per essere sicuri di trovarsi di fronte a una configurazione MFA davvero solida è importante controllare alcune cose di base:

  • Assicurati che puoi configurare l’accesso MFA dal primo momento in cui apri un account su un sito o una app. Un malintenzionato con una password valida potrebbe rubare l’account e impostare l’MFA con il numero di telefono che ha scelto.
Assicurati che ci sia un sistema che ti allerti

In caso di un accesso sospetto o inusuale. Ad esempio da una diversa località o da un dispositivo non in tuo possesso o che mai è stato usato precedentemente.

  • In caso di problemi controlla sia ben specificato chi e come contattare.

Se stai usando un sito o una app particolare, come un home banking o altro che dà accesso e possibilità di movimentazioni finanziarie, controlla che abbiano installato un MFA più sicuro rispetto alla verifica degli account social.

  • Assicurati di utilizzare l’autenticazione MFA piuttosto che la 2FA in quanto questa può essere vulnerabile in caso di smarrimento della SIM card dove in genere arriva l’OTP.

Ricorda sempre che nessun sistema può garantire una sicurezza al 100%. Quello che fa l’MFA è di raggiungere un livello di protezione davvero elevato e che protegge molto meglio di un semplice accesso tradizionale.

Se stai pensando quindi all’apertura di un account su qualche sito, app o piattaforma controlla che tipo di autenticazione offrono e ti farai un’idea di quanto l’azienda abbia a cuore la sicurezza dei propri clienti.

 

Condividi il contenuto su...Share on Facebook
Facebook
Tweet about this on Twitter
Twitter
Pin on Pinterest
Pinterest
Share on LinkedIn
Linkedin
Email this to someone
email
Print this page
Print