Modulo 2 · 2.3
Autenticazione a due fattori: codici, app e SMS
Modulo 2: Password e accesso · Tempo di lettura: 11 minuti
Obiettivo della lezione: Dopo questa lezione sarà in grado di confrontare le diverse forme di autenticazione a due fattori (SMS, e-mail, TOTP, push), di riconoscere gli attacchi che le prendono di mira e di organizzare il recupero per quando perde il telefono.
Concetti chiave: 2FA/MFA, fattore (conoscenza, possesso, inerenza), TOTP, segreto condiviso, notifica push, MFA fatigue, sim-swap, codici di recupero
Due prove diverse
Una password è qualcosa che Lei conosce. Se viene compromessa, chiunque la conosca può accedere. L'autenticazione a due fattori (2FA) richiede quindi una seconda prova di tipo diverso. Quando i fattori sono più di due si parla di autenticazione a più fattori (MFA); nella pratica i due termini vengono usati in modo intercambiabile.
Esistono tre tipi di fattori:
- Conoscenza: una password o un codice PIN.
- Possesso: il Suo telefono con un'app, una chiave di sicurezza, una tessera.
- Inerenza: la Sua impronta digitale o il Suo volto.
Due volte lo stesso tipo non conta: una password più una domanda di sicurezza sono entrambe cose che Lei conosce. L'NCSC olandese raccomanda con forza di usare l'MFA su ogni sistema e account che la supporta, e in particolare sugli account raggiungibili via internet e su quelli con diritti amministrativi. Per una piccola impresa si tratta in ogni caso di: posta elettronica, hosting e registrazione del dominio, banca, contabilità, negozio online, il gestore di password e i social media aziendali.
Le forme a confronto
| Forma | Come funziona | Punto debole | Resistente al phishing? |
|---|---|---|---|
| Codice via SMS | Il servizio invia un codice al Suo numero di telefono | Sim-swap, intercettazione, il numero non è il dispositivo | No |
| Codice via e-mail | Il servizio invia un codice alla Sua casella di posta | Forte quanto la Sua casella di posta; se questa viene compromessa, non è una seconda serratura | No |
| App di autenticazione (TOTP) | Un'app genera un nuovo codice ogni 30 secondi | Il segreto può trapelare durante la configurazione o in un backup non protetto; Lei ricopia il codice | No |
| Notifica push | Il telefono chiede "È Lei?" e Lei tocca Approva | MFA fatigue | No, meglio con l'inserimento del numero |
| Passkey o chiave di sicurezza | Il dispositivo dimostra crittograficamente chi è Lei, solo per il dominio autentico | Recupero se perde tutto | Sì (lezione 2.4) |
Ogni forma è molto meglio di nessun secondo passaggio. Ma la tabella mostra anche che tutto ciò in cui Lei ricopia un codice o approva una notifica può essere fatto fare da un truffatore sul suo sito falso. Il NIST lo dice senza mezzi termini nello SP 800-63B-4: i metodi in cui il risultato viene inserito manualmente non sono resistenti al phishing.
Come funziona un'app di autenticazione
Un'app di autenticazione usa il TOTP: Time-based One-Time Password, descritto nell'RFC 6238. Funziona così:
- Durante la configurazione, il servizio genera un segreto condiviso casuale, per esempio 32 caratteri come
JBSWY3DPEHPK3PXP.... Questo segreto è contenuto nel codice QR che Lei scansiona, oppure Lei lo ricopia come "chiave manuale". - La Sua app e il servizio hanno ora entrambi lo stesso segreto. Da quel momento non è più necessario alcun contatto tra i due.
- Ogni 30 secondi entrambi calcolano, a partire dal segreto e dall'ora attuale, un codice di 6 cifre. Poiché condividono lo stesso segreto e lo stesso orologio, ne risulta lo stesso codice.
- Al momento dell'accesso, il servizio confronta il Suo codice con il proprio risultato, di solito con un margine di un intervallo temporale prima o dopo per compensare un orologio leggermente impreciso.
Due conseguenze:
- Il segreto è la vera serratura. Chiunque veda il codice QR o la chiave manuale può generare per sempre gli stessi codici del Suo telefono. Non ne faccia quindi uno screenshot, non lo condivida con nessuno e non lo invii a un collega.
- Il codice funziona anche senza internet e non arriva tramite la rete telefonica. Per questo il TOTP è più robusto dell'SMS.
Le app di autenticazione esistono in diverse varianti: autonome sul telefono, integrate in un gestore di password, open source oppure di una grande azienda tecnologica, con o senza backup cifrato nel cloud. Alcuni esempi sono Aegis, Google Authenticator e Microsoft Authenticator, oltre alla funzione presente in gestori come Bitwarden o 1Password. Un backup è utile quando si cambia telefono, ma l'NCSC olandese avverte: un backup cifrato male dà accesso anche a un aggressore.
Sim-swap: perché l'SMS è la forma più debole
Con il sim-swap un truffatore si impossessa del Suo numero di telefono. Fa trasferire il Suo numero su una SIM o eSIM in suo possesso. Ci riesce, per esempio, fingendosi Lei presso il Suo operatore, oppure facendo collaborare Lei stesso: la Polizia Postale e delle Comunicazioni (https://www.commissariatodips.it/) mette in guardia contro SMS e telefonate "per conto dell'operatore" che chiedono di validare la SIM o di convertirla urgentemente in eSIM.
Non appena l'operazione riesce:
- il Suo telefono perde improvvisamente copertura e Lei non può più telefonare né inviare SMS;
- il truffatore riceve tutti i codici via SMS, inclusi i codici "password dimenticata" dei servizi che usano il Suo numero come metodo di recupero;
- talvolta può impossessarsi di account avendo solo il Suo numero.
Il problema è che Lei se ne accorge solo quando il telefono smette di funzionare, spesso di sera o nel fine settimana. Per questo il NIST definisce l'SMS un metodo limitato e afferma che i servizi dovrebbero prestare attenzione a segnali come una nuova SIM o un numero trasferito. L'NCSC olandese consiglia di evitare l'SMS dove possibile, perché i messaggi non sono cifrati e possono essere intercettati.
Cosa fare:
- Scelga, dove possibile, un'app o una passkey invece dell'SMS.
- Rimuova il Suo numero di telefono come metodo di recupero dove rappresenta un punto debole, oppure lo protegga ulteriormente.
- Chieda al Suo operatore se può impostare un PIN aggiuntivo o un controllo supplementare per il trasferimento del numero.
- La copertura scompare improvvisamente senza motivo? Chiami il Suo operatore da un altro apparecchio. Non aspetti.
L'SMS resta meglio di niente. Se un servizio offre solo l'SMS, lo attivi comunque.
MFA fatigue: la notifica che Lei chiude senza pensarci
Con una notifica push non deve ricopiare nulla: il telefono chiede "Sta cercando di accedere?" e Lei tocca Approva. Comodo, e proprio per questo sfruttato.
Con l'MFA fatigue (detta anche bombardamento di notifiche push) un aggressore possiede già la Sua password. Continua a tentare l'accesso, così che il Suo telefono riceve una notifica dopo l'altra, a volte nel cuore della notte. L'agenzia statunitense CISA descrive come le persone, per fastidio o per errore, finiscano per toccare Approva, o pensino che almeno una delle notifiche sarà davvero autentica. A volte l'aggressore telefona anche, fingendosi "l'assistenza tecnica", chiedendo di approvare.
Un caso reale descritto dall'NCSC olandese: alcuni aggressori sono entrati tramite MFA fatigue negli account di posta di un'azienda di software e li hanno poi usati per frodi con fatture false.
Le regole:
- Non approvi mai una notifica che non ha provocato Lei stesso. Nemmeno la ventesima.
- Una notifica inattesa significa che qualcuno è in possesso della Sua password. La cambi subito e lo segnali.
- Scelga, dove possibile, l'inserimento del numero: la schermata di accesso mostra un numero che Lei digita nell'app. Chi non si trova davanti alla schermata di accesso non può quindi approvare. Il CISA definisce questo un buon passo intermedio, ma meno robusto di un'MFA resistente al phishing.
Recupero: lo organizzi prima di perdere il telefono
Il Suo telefono cade in acqua, viene rubato o si rompe. Senza preparazione, resta fuori dai Suoi stessi account. Per questo esistono i codici di recupero (detti anche codici di backup): una serie di codici di riserva che riceve durante la configurazione e che funzionano una sola volta ciascuno.
- Non li conservi sullo stesso telefono su cui ha l'app di autenticazione. Li stampi e li conservi con i Suoi documenti importanti, oppure li salvi nel Suo gestore di password, nella voce corrispondente.
- Ha usato un codice di recupero? Lo cancelli con un tratto. Se finiscono, ne generi di nuovi.
- Si assicuri di avere almeno due modi per accedere: per esempio l'app più i codici di recupero, oppure due chiavi di sicurezza.
- Quando cambia telefono, trasferisca prima i Suoi account e cancelli il vecchio solo in seguito.
- Sappia come funziona la procedura di recupero dei Suoi servizi principali. Un buon servizio non ripristina il secondo fattore semplicemente in base a un'e-mail o a una telefonata, ma verifica prima che sia davvero Lei.
Nella pratica: ecco come si presenta
Nell'ambiente WebOké, Mio WebOké chiede sempre, dopo la password, un secondo passaggio: per impostazione predefinita un codice via e-mail, con la possibilità di passare a un'app di autenticazione. In DirectAdmin si chiama Autenticazione in due passaggi, con codici di recupero. In Nextcloud attiva il TOTP e genera dieci codici di backup. Presso altri fornitori funziona in modo simile: cerchi nel Suo profilo o nelle impostazioni di sicurezza le voci "autenticazione a due fattori", "2FA", "authenticator" o "two-factor".
I passaggi sono quasi sempre gli stessi: scansionare il codice QR, inserire un codice di verifica, salvare i codici di recupero.
Riepilogo
- La 2FA combina due tipi di fattori: conoscenza, possesso, inerenza.
- Il TOTP funziona con un segreto condiviso e l'orologio. Il segreto (codice QR) è la vera serratura: non lo condivida mai.
- L'SMS è la forma più debole a causa del sim-swap e dell'intercettazione, ma è meglio di niente.
- MFA fatigue: non approvi mai una notifica che non ha provocato Lei stesso, e poi cambi la password.
- Codici e notifiche non sono resistenti al phishing; le passkey e le chiavi di sicurezza sì (lezione 2.4).
- Organizzi i codici di recupero e un secondo metodo prima di perdere il telefono.
Quiz
Esercizio
Esercizio A2.3: Collegare un'app di autenticazione. Riceve un codice QR da un account di prova "cursus-oefening WebOké". Lo scansioni con un'app di autenticazione a Sua scelta e inserisca due codici che compaiono in successione. Il programma verifica che la Sua app calcoli correttamente. Il segreto di prova non ha alcun valore e viene cancellato dopo 24 ore; rimuova in seguito l'account di prova dalla Sua app.
Esercizio D2.3: Attivare l'autenticazione a due fattori sui Suoi account principali. Attivi l'autenticazione a due fattori sulla Sua posta elettronica, hosting o registrazione del dominio, banca, contabilità e gestore di password. Conservi i codici di recupero in un secondo luogo e risponda alla domanda su cosa farebbe se domani perdesse il telefono.
Esercizio D2.3: Attivare l'autenticazione a due fattori (2FA) sui Suoi account principali
Ecco come procedere: (1) Faccia un elenco dei Suoi account principali: casella di posta, hosting e registrazione del dominio, banca, contabilità, negozio online, gestore di password, social media dell'azienda. (2) Attivi l'autenticazione a due fattori (2FA) per ciascuno. Scelga in quest'ordine ciò che il servizio offre: passkey o chiave di sicurezza, app di autenticazione, notifica push con numero da ricopiare, codice via e-mail, SMS. (3) Conservi per ciascuno i codici di ripristino in un secondo luogo (stampati o nel Suo gestore di password), non sullo stesso telefono della Sua app di autenticazione. (4) Si assicuri di avere almeno due modi per accedere a ogni account importante. (5) Chieda al Suo operatore se può impostare un controllo aggiuntivo o un codice PIN per il trasferimento del Suo numero. (6) Si accordi con il Suo team: una notifica di accesso che Lei non ha generato personalmente non va mai approvata; va segnalata immediatamente.
Le Sue spunte e note restano solo in questo browser; non le inviamo da nessuna parte. Se ha effettuato l'accesso, conserviamo in I miei corsi solo il fatto che ha svolto l'esercizio.
Per saperne di più
I passaggi descritti negli articoli WebOké valgono per l'ambiente di WebOké; presso altri fornitori il funzionamento è simile.
- Impostare la verifica in due passaggi in Mio WebOké e un'app di autenticazione
- Guida WebOké 3.2: Il codice di accesso via e-mail (verifica in due passaggi)
- Guida WebOké 3.3: Usare un'app di autenticazione
- Guida DirectAdmin 3.2: Configurare l'Autenticazione in due passaggi
- Guida DirectAdmin 3.3: Codici di backup e cosa fare se ha smarrito l'autenticatore
- Guida a Nextcloud 3.3: Configurare un'applicazione di autenticazione e salvare i codici di backup
- Guida a Nextcloud 3.10: Telefono smarrito o 2FA non disponibile: ecco come accedere di nuovo
- Configurare l'autenticazione a due fattori (2FA) in Nextcloud
- NCSC olandese, Come scegliere un metodo MFA? (in olandese): https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-je-een-mfa-methode
- Polizia Postale e delle Comunicazioni: https://www.commissariatodips.it/
- CISA, Implementing Number Matching in MFA Applications (in inglese): https://www.cisa.gov/sites/default/files/publications/fact-sheet-implement-number-matching-in-mfa-applications-508c.pdf
- RFC 6238, TOTP: Time-Based One-Time Password Algorithm (in inglese): https://www.rfc-editor.org/rfc/rfc6238