Autenticazione a due fattori: cosè e come attivarla

I sistemi legacy spesso non sono stati progettati per supportare metodi di autenticazione moderni, e la loro modifica può essere costosa e rischiosa. Una delle sfide più critiche nell’implementazione dell’autenticazione forte è trovare il giusto equilibrio tra sicurezza e esperienza utente. Un sistema troppo complesso o intrusivo può portare alla frustrazione degli utenti e potenzialmente spingere alcuni a cercare scorciatoie che compromettono la sicurezza. Similmente, mentre il Regolamento Generale sulla Protezione dei Dati (GDPR) non prescrive specificamente l’autenticazione forte, la sua implementazione può essere considerata una misura tecnica appropriata per garantire un livello di sicurezza adeguato al rischio, come richiesto dall’articolo 32 del GDPR.

Questa tecnologia di sicurezza aggiunge un livello protettivo aggiuntivo al tradizionale sistema username-password, rendendo estremamente difficile l’accesso non autorizzato ai vostri dati personali. L’identificazione avviene mediante l’inserimento del proprio nome utente, mentre l’autenticazione serve a dimostrare la propria identità e spesso consiste nell’inserimento di una password. Ogni volta che usiamo nome utente e password per accedere ad un sistema protetto stiamo impiegando un’autenticazione a singolo fattore. Quest’ultima viene considerata oggi facilmente vulnerabile poiché un eventuale hacker si troverebbe a dover superare un singolo ostacolo, costituito dalla password, per avere accesso all’account. Da adesso, ogni qual volta dovrai autenticare account Google (anche per collegarlo a un servizio o un’applicazione esterna), per completare il login verrà prodotta una notifica sul tuo telefono e dovrai pigiare sul pulsante Sì sono io ivi presente per poter accedere. Per evitare di rendere complicata la procedura ogni volta che si accede al proprio computer o dispositivo mobile, la maggior parte dei servizi consente di contrassegnare determinati dispositivi come attendibili .

Servizi finanziari:

• Si tratta di stringhe di caratteri generate quando si attiva l’autenticazione a due fattori, che è possibile utilizzare in caso di smarrimento dell’accesso al telefono o al metodo di autenticazione principale.
• Questo approccio offre un livello di sicurezza significativamente superiore, specialmente contro attacchi che sfruttano sessioni hijacked.
• La biometria offre un livello di sicurezza elevato, poiché le caratteristiche fisiche sono molto difficili da replicare.
• Procedi poi con l’impostazione, cliccando sul pulsante Modifica, quindi su Attiva verifica in due passaggi.
• Possiamo trovare utili indicazioni sull’uso dell’autenticazione a due fattori anche nelle linee guida emesse dal NIST.
• In linea generale, dunque, quando è possibile scegliere, sempre meglio optare per la 2FA (verifica in due fattori) anziché per la verifica in due passaggi.
• Se, dunque, sei interessato ad applicare tale soluzione, clicca sulla voce Accedi con il telefono, dopodiché, premi il pulsante Avanti e, se richiesto, ed esegui l’accesso al tuo account Google inserendo la relativa password.

Ad eccezione dei servizi di internet banking, che ce la impongono, in tutti gli altri siti non siamo obbligati ad usare l’autenticazione a due fattori. Ai successivi login, oltre a username e password, dovremo inserire il codice OTP a 6 cifre visualizzato dall’applicazione e che ogni 30 secondi verrà rigenerato. Diventerà comunque lo standard del prossimo futuro, anche perché è già conforme ai livelli crittografici più elevati, tra cui la FIPS (“Validation Ensures Strong Security and Compliance”) ed il livello 3 di autenticazione (AAL3) indicato nelle linee guida NIST SP800-63B (di cui parleremo in seguito). Garantisce anche la conformità alla direttiva europea PSD2 per quanto riguarda la Strong Customer Authentication (SCA). Desideri proteggere il tuo account Ubisoft, ma non hai la minima idea su come attivare il 2FA Ubisoft? La soluzione più sicura proposta da Google per proteggere i tuoi accessi consiste nell’abilitazione della funzione Verifica in due passaggi, la quale, in sostanza, aggiunge all’inserimento della password un ulteriore controllo per comprovare la tua identità.

• Secondo il “Cyber Risk Index 2025” di Trend Micro, oltre un miliardo di aziende nel mondo non utilizza la 2FA o la MFA (autenticazione multifattoriale).
• Ma il limite maggiore è dovuto al fatto che si tratta di una tecnologia recente, quindi non ancora utilizzabile con tutti i servizi.
• Quando un utente si registra su un sito web o un’applicazione compatibile con FIDO2, viene generata una coppia di chiavi.
• Questo include i sistemi operativi e gli account principali, così come i servizi che utilizzi quotidianamente per comunicare o lavorare.
• Per innalzare i livelli di sicurezza sono state introdotte perciò le tecniche di “strong authentication” o autenticazione a due o più fattori.
• Queste applicazioni generano codici OTP direttamente sullo smartphone dell’utente, eliminando la necessità di portare con sé un dispositivo fisico separato.
• Invece di richiedere all’utente di inserire manualmente un codice, il servizio invia una notifica direttamente al dispositivo mobile dell’utente.

Vedremo in seguito come ormai tutti i siti importanti rendono disponibile l’autenticazione a due fattori in forma facoltativa (quindi da attivare come opzione aggiuntiva). Definita anche 2FA o MFA Multi-Factor Authentication, rappresenta un’ulteriore sicurezza ed è oggi il sistema di protezione più sicuro che abbiamo a disposizione per proteggere i nostri account. Un’autenticazione basata solo su password è dunque intrinsecamente debole, anche se la password impostata è robusta, perché la sicurezza dell’account dipende da un solo fattore, appunto la password. Se il tuo account non rientra tra questi, inizia collegandoti alla pagina dedicata al login e accedi. Una volta entrato nel tuo account, vai nel menu Impostazioni di accesso e sicurezza (nel menu laterale) e poi su Verifica in due passaggi. Questa è in breve la procedura da seguire, ma se desideri scoprire maggiori dettagli sul 2FA di PS4, compreso come attivare la verifica in due passaggi con numero di cellulare, consulta pure il mio articolo dedicato.

NordPass, gestore di password con diverse funzionalità

I servizi di archiviazione cloud (Google Drive, OneDrive, iCloud, Dropbox, ecc.) sono un altro ottimo candidato per l’attivazione dell’autenticazione gangsta casino login a due fattori (2FA), poiché spesso ospitano documenti sensibili, foto personali, backup da altri dispositivi e file di lavoro. Lo stesso vale per le piattaforme di shopping online e i marketplace, dove vengono memorizzati i metodi di pagamento e gli indirizzi di spedizione. Nonostante i numerosi vantaggi, l’implementazione dell’autenticazione forte presenta anche delle sfide significative. Affrontare queste sfide in modo efficace è cruciale per garantire che i benefici di sicurezza non vengano compromessi da problemi di usabilità o difficoltà tecniche. Gli attacchi di phishing e credential stuffing sono tra le minacce più pervasive nel panorama della sicurezza digitale. Questo metodo offre un’esperienza utente molto fluida e può anche fornire informazioni contestuali sulla richiesta di accesso, come la posizione o il dispositivo da cui proviene.

Per gli account Google, ad esempio, dopo aver attivato la funzione, è possibile accedere utilizzando la password più un secondo passaggio oppure direttamente tramite un codice di accesso. Se si utilizza un codice di accesso compatibile con il proprio telefono cellulare o computer, non è necessario inserire una password, poiché il dispositivo stesso verifica l’identità dell’utente tramite il metodo di sblocco (PIN, impronta digitale, riconoscimento facciale, ecc.). Se hai optato per la più pratica e funzionale soluzione di default (quella con notifica) al passaggio successivo dovrai impostare un’opzione di backup, utile qualora dovessero verificarsi problemi con il primo metodo. Assicurati, quindi, che il numero di telefono mostrato corrisponda a quello che intendi utilizzare (o modificalo, se necessario), dopodiché scegli se ricevere il codice di sicurezza via SMS o tramite chiamata vocale e pigia il pulsante Invia. Si tratta di stringhe di caratteri generate quando si attiva l’autenticazione a due fattori, che è possibile utilizzare in caso di smarrimento dell’accesso al telefono o al metodo di autenticazione principale.

Password Sicura

Mentre l’autenticazione a due fattori protegge i vostri account digitali, esistono altre minacce che richiedono attenzione. I dispositivi elettronici sono vulnerabili a danneggiamenti causati da sovratensioni, che possono derivare da fulmini, guasti della rete elettrica, interventi di manutenzione o cortocircuiti. Ignorare gli aggiornamenti delle app di autenticazione può esporre a vulnerabilità di sicurezza. Utilizzare lo stesso dispositivo per password e secondo fattore vanifica parzialmente i vantaggi della doppia autenticazione.

assword (scelta principale)

A questo punto, passa al tuo smartphone e utilizza l’app authenticator di tua preferenza per scansionare il QR Code su schermo e ottenere un nuovo codice a sei cifre, da inserire nel passaggio di verifica successivo. Adesso, non ti rimane che scaricare una delle app suggerite, ad esempio Authy (Android/iOS/iPadOS) o Google Authenticator (Android/iOS/iPadOS) e successivamente scansionare il Codice QR comparso a schermo tramite una di queste due app. Per concludere la procedura, digita il codice di verifica a 6 cifre che comparirà sullo schermo dello smartphone e poi fai clic sul pulsante Attiva per completare la procedura. I contatti di recupero consentono ad amici e familiari fidati di aiutarti a confermare l’identità.

La biometria offre un livello di sicurezza elevato, poiché le caratteristiche fisiche sono molto difficili da replicare. Inoltre, fornisce un’esperienza utente estremamente conveniente, richiedendo solo un tocco o uno sguardo per l’autenticazione. Tuttavia, ci sono considerazioni sulla privacy e sulla sicurezza dei dati biometrici che devono essere attentamente valutate nell’implementazione di questi sistemi. Ogni livello aggiuntivo di autenticazione aumenta esponenzialmente la difficoltà per un attaccante di compromettere un account. Questo principio di difesa in profondità è fondamentale per comprendere perché l’autenticazione forte è così efficace nel migliorare la sicurezza digitale. Microsoft Authenticator non è altro che un’app che permette di eseguire l’accesso a un determinato account sfruttandolo come sistema di autenticazione a due fattori, poiché è in grado di garantire l’identità dell’utilizzatore andando a generare un codice di sei o otto cifre che viene rinnovato ogni 30 secondi.

Configurazione di una chiave hardware:

Per concludere premi il pulsante Attiva per completare l’aggiornamento delle impostazioni di sicurezza. In alcuni casi, un codice QR viene visualizzato sullo schermo del computer e l’utente deve scansionarlo con il proprio telefono cellulare, seguendo le istruzioni a schermo per convalidare la propria identità o il proprio numero di telefono. Questo processo è piuttosto sicuro contro gli attacchi basati sui numeri di telefono perché lo scambio avviene direttamente tra il dispositivo e il server senza passare per gli SMS. Le notifiche push rappresentano un metodo di autenticazione a due fattori sempre più diffuso. Invece di richiedere all’utente di inserire manualmente un codice, il servizio invia una notifica direttamente al dispositivo mobile dell’utente. Oltre a proteggere l’accesso con il tuo account Microsoft, Authenticator è in grado anche di proteggere altri account.

Quando si abilita la verifica in due passaggi su servizi come Google, Microsoft o altre piattaforme, il processo di accesso cambia leggermente per migliorare la sicurezza senza complicarlo eccessivamente . A seconda delle impostazioni, il sistema potrebbe richiedere diversi tipi di verifica in due passaggi a seconda del contesto di accesso. L’idea è che, se uno dei fattori di autenticazione viene compromesso (la password, che è il caso più comune), l’altro è comunque necessario per completare l’accesso. Questa doppia barriera rende il furto di identità molto meno probabile per chi ha attivato l’autenticazione a due fattori (2FA).

Se non ti trovi particolarmente bene con il metodo Accedi con il telefono, potrai facilmente tornare sui tuoi passi e disabilitarlo seguendo la medesima procedura appena descritta e premendo, stavolta, per due volte il pulsante Disattiva. Google, ad esempio, ha indicato che la verifica in due passaggi è una delle misure più efficaci per contrastare il furto di account, mentre Microsoft ha segnalato che quasi il 99% degli account compromessi non disponeva dell’autenticazione a due fattori. In altre parole, la semplice attivazione di questa funzionalità riduce drasticamente la superficie di attacco.

Inoltre, per ogni sito sono indicate le opzioni disponibili (SMS, hard token, soft token ecc.). Se desideri scoprire come attivare il 2FA su Nintendo Switch, devi sapere che questa operazione non è possibile per account di bambini e ragazzi fino a 16 anni o di account gestiti da parenti o tutori. Come già visto su PS4, anche su PlayStation 5 è possibile impostare l’autenticazione a due fattori. Se hai una PlayStation 4, puoi attivare la 2FA sull’account PlayStation Network configurato sulla console in maniera semplicissima.

Dispositivi affidabili, ripristino e continuità di accesso

Mentre non può essere – a rigore – considerata 2FA un’autenticazione fatta con due password (perché due fattori della stessa natura). Per innalzare i livelli di sicurezza sono state introdotte perciò le tecniche di “strong authentication” o autenticazione a due o più fattori. In linea generale, dunque, quando è possibile scegliere, sempre meglio optare per la 2FA (verifica in due fattori) anziché per la verifica in due passaggi. Implementare correttamente questi sistemi richiede attenzione ai dettagli e una strategia ben pianificata.

Su iPhone, invece, se hai seguito le indicazioni che ti ho dato in precedenza, la funzione di riempimento automatico sarà già attiva. Vengono sostituiti dalle applicazioni installate sugli smartphone che richiedono un meccanismo di sblocco da parte dell’utente (o da sistemi con un equivalente livello di sicurezza). In pratica, poiché l’autenticazione a due fattori è finalizzata ad evitare accessi da computer o dispositivi diversi dai nostri, potremo fare in modo che il sito riconosca che stiamo facendo il login dal nostro “abituale” dispositivo e non ci richieda più il secondo fattore di autenticazione. La soluzione ti è sembrata davvero utile e interessante e così ti sei messo sùbito alla ricerca delle procedure su come attivare il 2FA nei tuoi account. Se le ricerche ti hanno condotto fin qui, sarà mio gradito compito quello di guidarti nelle diverse procedure per attivare l’accesso tramite 2FA ai tuoi account online e nei social network, come Google, Apple, Facebook, Instagram e WhatsApp.

Usufruisci delle numerose offerte sui servizi di dematerializzazione dedicate a professionisti e privati. Le organizzazioni dovranno rimanere agili e proattive nell’adattarsi a questi standard in evoluzione, bilanciando la conformità con l’innovazione nella sicurezza. Con l’avvento del computing quantistico, le attuali tecniche crittografiche potrebbero diventare vulnerabili.

L’integrazione richiede una pianificazione attenta e una stretta collaborazione tra i team di sicurezza, IT e sviluppo per garantire una transizione fluida senza compromettere la sicurezza o interrompere le operazioni aziendali. Ovviamente gli standard definiti dal NIST non sono cogenti in Europa, tuttavia per la loro autorevolezza sono considerati un punto di riferimento a livello non solo USA, ma in tutto il mondo. Ma il limite maggiore è dovuto al fatto che si tratta di una tecnologia recente, quindi non ancora utilizzabile con tutti i servizi. È molto meno usata, uno dei casi più noti in cui viene impiegata è nello SPID (il Sistema Pubblico di Identità Digitale), ma solo quello di livello 3 (disponibile con Poste Italiane e Aruba). Se uno username che utilizziamo per i nostri account è presente nell’elenco, dobbiamo essere consapevoli che assieme a quello username anche una qualche nostra password sarà stata rubata.