Autenticazione a due fattori: codici, app e SMS

Modulo 2: Password e accesso · Tempo di lettura: 11 minuti

Obiettivo della lezione: Al termine di questa lezione sarà in grado di confrontare le forme di autenticazione a due fattori (SMS, e-mail, TOTP, push), riconoscere gli attacchi che le colpiscono e organizzare il ripristino nel caso in cui perda il telefono.

Concetti chiave: 2FA/MFA, fattore (sapere, avere, essere), TOTP, segreto condiviso, notifica push, affaticamento da MFA, sim-swap, codici di ripristino

Due prove diverse

Una password è qualcosa che Lei sa. Se viene compromessa, chiunque la conosca può accedere. L'autenticazione a due fattori (2FA) richiede quindi una seconda prova di tipo diverso. Quando se ne usano più di due si parla di autenticazione a più fattori (MFA); nella pratica i due termini vengono usati in modo intercambiabile.

Esistono tre tipi di fattori:

• Sapere: una password o un codice PIN.
• Avere: il Suo telefono con un'app, una chiave di sicurezza, una tessera.
• Essere: la Sua impronta digitale o il Suo volto.

Due elementi dello stesso tipo non contano come due fattori: una password più una domanda di sicurezza sono entrambe cose che Lei sa. L'ACN raccomanda vivamente di utilizzare l'MFA su ogni sistema e account che lo supporta, e in particolare sugli account raggiungibili tramite internet e su quelli con diritti amministrativi. Per una piccola impresa si tratta almeno di: posta elettronica, hosting e registrazione del dominio, banca, contabilità, negozio online, il gestore di password e i social media aziendali.

Le forme a confronto

Ogni forma è molto meglio di nessun secondo passaggio. Ma la tabella mostra anche che tutto ciò che implica digitare un codice o approvare una notifica può essere fatto fare a un truffatore sul suo sito falso. Il NIST lo dice senza mezzi termini nella pubblicazione SP 800-63B-4: i metodi in cui si inserisce manualmente il risultato non sono resistenti al phishing.

Come funziona un'app di autenticazione

Un'app di autenticazione utilizza il TOTP: Time-based One-Time Password, descritto nell'RFC 6238. Funziona così:

1. Durante la configurazione, il servizio genera un segreto condiviso casuale, ad esempio una stringa di 32 caratteri come JBSWY3DPEHPK3PXP.... Quel segreto è contenuto nel codice QR che Lei scansiona, oppure Lei lo digita come "chiave manuale".
2. A questo punto la Sua app e il servizio condividono lo stesso segreto. Da quel momento non è più necessario alcun contatto tra i due.
3. Ogni 30 secondi entrambi calcolano, a partire dal segreto e dall'ora corrente, un codice di 6 cifre. Poiché condividono lo stesso segreto e lo stesso orologio, ottengono lo stesso codice.
4. Al momento dell'accesso, il servizio confronta il Suo codice con il proprio risultato, di solito con un margine di un intervallo temporale prima o dopo per compensare un orologio leggermente impreciso.

Due conseguenze:

• Il segreto è la vera serratura. Chiunque veda il codice QR o la chiave manuale può generare per sempre gli stessi codici del Suo telefono. Non ne faccia quindi uno screenshot, non lo condivida con nessuno e non lo invii a un collega.
• Il codice funziona anche senza internet e non transita sulla rete telefonica. Per questo il TOTP è più robusto dell'SMS.

Le app di autenticazione esistono in diverse varianti: autonome sul telefono, integrate in un gestore di password, open source oppure di una grande azienda tecnologica, con o senza backup cifrato nel cloud. Esempi sono Aegis, Google Authenticator e Microsoft Authenticator, oltre alla funzione presente in gestori come Bitwarden o 1Password. Un backup è utile quando si passa a un nuovo telefono, ma l'ACN avverte: un backup cifrato male offre l'accesso anche a un malintenzionato.

Sim-swap: perché l'SMS è la forma più debole

Con il sim-swap un truffatore si impossessa del Suo numero di telefono. Fa trasferire il Suo numero su una SIM o eSIM che possiede lui stesso. Questo avviene, ad esempio, fingendosi Lei presso il Suo operatore, oppure inducendo Lei stesso a collaborare: la Polizia Postale e delle Comunicazioni (https://www.commissariatodips.it/) mette in guardia contro SMS e telefonate "per conto del Suo operatore" che chiedono di validare la SIM o di trasferirla con urgenza su una eSIM.

Non appena l'operazione riesce:

• il Suo telefono smette improvvisamente di avere campo e Lei non può più chiamare o inviare SMS;
• il truffatore riceve tutti i codici via SMS, compresi quelli "password dimenticata" dei servizi che usano il Suo numero come metodo di ripristino;
• in alcuni casi può impossessarsi di account avendo a disposizione solo il Suo numero.

La difficoltà sta nel fatto che Lei se ne accorge solo quando il telefono smette di funzionare, spesso di sera o nel fine settimana. Il NIST definisce quindi l'SMS un metodo limitato, e afferma che i servizi dovrebbero prestare attenzione a segnali come una nuova SIM o un numero che è stato trasferito. L'ACN raccomanda di evitare l'SMS quando possibile, poiché i messaggi non sono cifrati e possono essere intercettati.

Cosa fare?

• Scelga, dove possibile, un'app o una passkey invece dell'SMS.
• Rimuova il Suo numero di telefono come metodo di ripristino dove rappresenta un punto debole, oppure lo protegga ulteriormente.
• Chieda al Suo operatore se può impostare un PIN aggiuntivo o un controllo per il trasferimento del numero.
• Se il campo scompare improvvisamente senza motivo, chiami il Suo operatore da un altro dispositivo. Non aspetti.

L'SMS resta comunque meglio di niente. Se un servizio offre solo l'SMS, lo attivi comunque.

Affaticamento da MFA: la notifica che si ignora

Con una notifica push non deve digitare nulla: il telefono chiede "Sta cercando di accedere?" e Lei tocca Approva. Semplice, e proprio per questo sfruttato in modo improprio.

Nell'affaticamento da MFA (chiamato anche bombardamento di notifiche push) un aggressore ha già la Sua password. Continua a tentare l'accesso, così che il Suo telefono riceva una notifica dopo l'altra, a volte nel cuore della notte. L'agenzia statunitense CISA descrive come le persone finiscano per toccare Approva per fastidio o per errore, oppure pensino che almeno una delle notifiche sia autentica. A volte l'aggressore telefona pure, fingendosi "il supporto tecnico", chiedendo di approvare la richiesta.

Un caso reale descritto dall'ACN: alcuni aggressori sono entrati, tramite affaticamento da MFA, negli account di posta di un'azienda di software, utilizzandoli poi per frodi sulle fatture.

Le regole:

• Non approvi mai una notifica che non ha generato Lei stesso. Nemmeno la ventesima.
• Una notifica inaspettata significa che qualcuno è in possesso della Sua password. La cambi immediatamente e segnali l'accaduto.
• Scelga, dove possibile, la digitazione di un numero: la schermata di accesso mostra un numero che Lei digita nell'app. Chi non si trova davanti alla schermata di accesso non può quindi approvare. CISA la definisce un buon passo intermedio, ma meno robusto di un'MFA resistente al phishing.

Ripristino: lo organizzi prima di perdere il telefono

Il Suo telefono cade in acqua, viene rubato o si rompe. Senza preparazione, Lei resta escluso dai Suoi stessi account. Per questo esistono i codici di ripristino (detti anche codici di backup): una serie di codici di riserva ricevuti durante la configurazione, ciascuno utilizzabile una sola volta.

• Non li conservi sullo stesso telefono su cui ha l'app di autenticazione. Li stampi e li conservi insieme ai Suoi documenti importanti, oppure li salvi nel gestore di password nella voce corrispondente.
• Ha usato un codice di ripristino? Lo cancelli. Se finiscono, ne generi di nuovi.
• Si assicuri di avere almeno due modi per accedere: ad esempio l'app più i codici di ripristino, oppure due chiavi di sicurezza.
• Con un nuovo telefono, trasferisca prima i Suoi account e solo dopo cancelli quello vecchio.
• Sappia come funziona la procedura di ripristino dei Suoi servizi principali. Un buon servizio non ripristina il Suo secondo fattore semplicemente sulla base di un'e-mail o di una telefonata, ma verifica prima che sia davvero Lei.

Nella pratica: ecco come si presenta

Nell'ambiente WebOké, Mio WebOké richiede sempre, dopo la password, un secondo passaggio: per impostazione predefinita un codice via e-mail, con la possibilità di passare a un'app di autenticazione. In DirectAdmin si chiama Autenticazione in due passaggi, con codici di ripristino. In Nextcloud attiva il TOTP e genera dieci codici di backup. Presso altri fornitori il funzionamento è simile: cerchi nel Suo profilo o nelle impostazioni di sicurezza le voci "autenticazione a due fattori", "2FA", "authenticator" o "two-factor".

I passaggi sono quasi sempre gli stessi: scansionare il codice QR, inserire un codice di controllo, salvare i codici di ripristino.

Riepilogo

• La 2FA combina due tipi di fattori: sapere, avere, essere.
• Il TOTP funziona con un segreto condiviso e l'orologio. Il segreto (codice QR) è la vera serratura: non lo condivida mai.
• L'SMS è la forma più debole a causa del sim-swap e dell'intercettazione, ma è comunque meglio di niente.
• Affaticamento da MFA: non approvi mai una notifica che non ha generato Lei stesso, e in tal caso cambi subito la password.
• I codici e le notifiche non sono resistenti al phishing; le passkey e le chiavi di sicurezza sì (lezione 2.4).
• Organizzi i codici di ripristino e un secondo metodo prima di perdere il telefono.

Quiz

Esercizio

Esercizio A2.3: Collegare un'app di autenticazione. Riceverà un codice QR di un account di prova "WebOké oefening". Lo scansioni con un'app di autenticazione a Sua scelta e inserisca due codici che compaiono in successione. Il programma verifica che la Sua app calcoli correttamente. Il segreto di prova non ha alcun valore e viene cancellato dopo 24 ore; in seguito rimuova l'account di prova dalla Sua app.

Esercizio D2.3: Attivare l'autenticazione a due fattori sui Suoi account principali. Attivi l'autenticazione a due fattori sulla Sua posta elettronica, hosting o registrazione del dominio, banca, contabilità e gestore di password. Conservi i codici di ripristino in un secondo luogo e risponda alla domanda su cosa farebbe se domani perdesse il telefono.

Per approfondire

I passaggi descritti negli articoli di WebOké si riferiscono all'ambiente di WebOké; presso altri fornitori il funzionamento è simile.

• Impostare la verifica in due passaggi in Mio WebOké e un'app di autenticazione
• Guida WebOké 3.2: Il codice di accesso via e-mail (verifica in due passaggi)
• Guida WebOké 3.3: Usare un'app di autenticazione
• Guida DirectAdmin 3.2: Configurare l'Autenticazione in due passaggi
• Guida DirectAdmin 3.3: Codici di backup e cosa fare se ha smarrito l'autenticatore
• Guida a Nextcloud 3.3: Configurare un'applicazione di autenticazione e salvare i codici di backup
• Guida a Nextcloud 3.10: Telefono smarrito o 2FA non disponibile: ecco come accedere di nuovo
• Configurare l'autenticazione a due fattori (2FA) in Nextcloud
• ACN, risorse sull'autenticazione a più fattori: https://www.acn.gov.it/
• Polizia Postale e delle Comunicazioni, messaggi falsi relativi al cambio SIM: https://www.commissariatodips.it/
• CISA, Implementing Number Matching in MFA Applications (Inglese): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
• RFC 6238, TOTP: Time-Based One-Time Password Algorithm (Inglese): https://www.rfc-editor.org/rfc/rfc6238