DOMANDA
Cos’è l’autenticazione a due fattori e perché offre maggiore sicurezza rispetto alla password per la protezione degli account aziendali?
RISPOSTA
La “Strong Authentication” o autenticazione a due o più fattori (2FA o MFA), rappresenta ad oggi il sistema di protezione più sicuro che abbiamo a disposizione per proteggere i nostri account.
L’autenticazione a due fattori (2FA) viene attuata inserendo dopo il nostro username:
- “una cosa che sai”, per esempio una password o il PIN;
- “una cosa che hai”, come uno smartphone o un token di sicurezza;
- “una cosa che sei”, come l’impronta digitale, il timbro vocale, l’iride, o altre caratteristiche biometriche.
L’autenticazione a più fattori (MFA) utilizza almeno due dei tre fattori sopra elencati: dopo aver inserito la password (primo fattore) del proprio account, sarà richiesto di digitare un secondo fattore, che nella maggior parte dei casi è un PIN o un codice, da ottenere grazie allo smartphone (sotto forma di SMS o tramite un’apposita applicazione) o tramite un token fisico.
A differenza della password, questo secondo codice è di fatto inattaccabile, perché generato in maniera pseudocasuale secondo un algoritmo e ha una durata molto limitata nel tempo (solitamente 30 secondi). Si chiama anche, per questo motivo, OTP: “one time password”.
Talvolta il secondo fattore è di tipo biometrico. Ne abbiamo un esempio nelle applicazioni per smartphone che ci forniscono le banche: per aprire l’app ed anche per eseguire operazioni dispositive (per esempio fare un bonifico), ci viene richiesta la seconda autenticazione con l’impronta digitale o con il riconoscimento facciale.
Sempre più spesso, inoltre, con l’utilizzo di applicazioni dedicate il secondo fattore è una notifica in tempo reale sul nostro dispositivo che dobbiamo semplicemente accettare.
Questo tipo di autenticazione è divenuta fondamentale in un’epoca in cui i “leak” di password sono all’ordine del giorno e la sola password non tutela più da una effrazione digitale. Non solo: la notifica che viene inviata funge anche da campanello di allarme per comprendere che qualcuno è venuto a conoscenza delle nostre credenziali, offrendoci la possibilità di sostituirle.
Mandate i vostri quesiti ai nostri esperti
Quesiti legal: espertolegal@cybersecurity360.it
Quesiti tecnologici: espertotech@cybersecurity360.it
