Capitolo 5 · 5.2
Codici di verifica in due passaggi (TOTP) nel Suo password manager
Molti siti web, dopo la password, chiedono un codice di sei cifre che cambia ogni 30 secondi. Questo codice si chiama TOTP. Di solito proviene da un'app di autenticazione sul telefono. Anche Proton Pass e 1Password possono generare questi codici. Che cos'è la verifica in due passaggi è spiegato nella lezione Verifica in due passaggi: codici, app e SMS del corso Sicuri online.
Prima una valutazione
Se la password e il codice si trovano nella stessa cassaforte, a un aggressore basta quella cassaforte. Se desidera la massima sicurezza, conservi i codici separatamente.
- Codici separati in un'app di autenticazione sul telefono: più sicuro.
- Codici nel Suo password manager: più comodo, e comunque molto meglio che nessuna verifica in due passaggi. Un sito falso che ha rubato soltanto la Sua password non riesce comunque ad accedere.
In ogni caso, non conservi mai il codice della cassaforte stessa all'interno di quella cassaforte. Lo raccomandano sia Proton sia 1Password (veda Proteggere Proton Pass: autenticazione a due fattori, password aggiuntiva e blocco e Installare e proteggere 1Password su tutti i Suoi dispositivi). Conservi inoltre i codici di backup degli account importanti su carta o in un altro luogo.
Quanto costa?
| Codici nel password manager | |
|---|---|
| Proton Pass gratuito | Per un massimo di 3 login |
| Proton Pass Plus, Family o Unlimited | Illimitato |
| 1Password | In ogni abbonamento |
Se con Proton Pass torna alla versione gratuita, il codice continua a essere mostrato solo per i primi 3 login che ne hanno uno.
In Proton Pass
- Attivi la verifica in due passaggi sul sito web. Il sito mostra un codice QR. Scelga l'inserimento manuale della chiave: vedrà la chiave segreta come testo. La copi.
- In Proton Pass apra il login di quel sito web e scelga di modificarlo.
- Incolli la chiave nel campo 2FA secret key (TOTP). Sul telefono può anche scansionare il codice QR con la fotocamera.
- Scelga Salva. Per completare, inserisca sul sito web il codice mostrato da Proton Pass.
Quando poi accede, l'estensione mostra il codice con un pulsante per copiarlo e inserirlo. Dopo la compilazione automatica della password, Proton Pass copia anche il codice negli appunti, così deve solo incollarlo. Su iPhone questa funzione va attivata manualmente in Profilo.
In 1Password
1Password chiama questo codice password monouso.
- Attivi la verifica in due passaggi sul sito web, in modo che il codice QR sia visibile sullo schermo.
- Nell'estensione del browser: apra l'elemento di quel sito web, faccia clic sui tre puntini e scelga di scansionare il codice QR. 1Password legge il codice dallo schermo.
- Nel programma o nell'app: apra l'elemento, scelga di modificarlo e aggiunga un campo per una password monouso. Scansioni il codice QR con la fotocamera oppure incolli la chiave segreta come testo.
- Salvi l'elemento e inserisca sul sito web il codice mostrato da 1Password.
Sul computer, 1Password inserisce automaticamente il codice dopo il nome utente e la password. Su iPhone il codice compare sopra la tastiera. Su Android il codice va copiato. Nelle impostazioni dell'app può fare in modo che 1Password copi il codice automaticamente.
Il codice non è corretto? Verifichi che la data e l'ora del dispositivo siano impostate correttamente.
Presso WebOké
Mio WebOké, DirectAdmin e Nextcloud funzionano con un'app di autenticazione. Come configurarla è spiegato in Usare un'app di autenticazione, Configurare l'autenticazione a due fattori e Configurare un'app di autenticazione e conservare i codici di backup. Conservi con cura i codici di backup di DirectAdmin e Nextcloud. Mio WebOké non prevede codici di recupero: se ha perso la Sua app, ci contatti.