Cos’è l’autenticazione a due fattori e perché attivarla oggi

Le password trapelano. Compaiono nelle violazioni di dati, vengono indovinate, carpite con il phishing o riutilizzate su tanti siti che un solo accesso compromesso diventa dieci account violati. L’autenticazione a due fattori (2FA) è la cosa più efficace che potete fare per evitare che una password rubata serva a qualcun altro.

Cosa significa 2FA

L’autenticazione a due fattori richiede due tipi diversi di prova prima di accedere: qualcosa che sapete (la password) e qualcosa che avete (il telefono, una chiave di sicurezza) o che siete (l’impronta digitale). Anche se un attaccante scopre la password, non può entrare senza il secondo fattore.

Non è la stessa cosa di una password lunga o di una domanda di sicurezza. Una domanda di sicurezza resta «qualcosa che sapete», quindi non aggiunge protezione reale. Un vero secondo fattore vive su un dispositivo o in un’app separata.

I tipi più comuni, dal più debole al più forte

• Codici via SMS: un messaggio con un codice monouso. Meglio di niente, ma vulnerabile al SIM swapping, quando qualcuno convince l’operatore a spostare il vostro numero sul proprio dispositivo.
• App di autenticazione: app come Google Authenticator o Authy generano un nuovo codice a sei cifre ogni 30 secondi, basato su un segreto condiviso solo con il servizio in fase di configurazione. Niente rete o operatore, quindi molto più difficile da intercettare.
• Notifiche push: il servizio invia un «Sei tu?» a un’app e voi approvate o rifiutate. Comodo, ma attenzione agli attacchi di «MFA fatigue», in cui qualcuno vi sommerge di richieste sperando che approviate per errore.
• Chiavi di sicurezza hardware: piccoli dispositivi fisici (come una YubiKey) da inserire o avvicinare. Al momento l’opzione più forte, perché la chiave non trasmette nulla che possa essere carpito o ripetuto.

Per la maggior parte delle persone un’app di autenticazione è il punto di equilibrio: molto più forte dell’SMS e senza hardware da comprare.

Dove attivarla per prima

Non serve attivarla ovunque subito. Date priorità agli account che farebbero più danni se compromessi:

1. La vostra e-mail principale, di solito la porta di reset di tutto il resto.
2. Il gestore di password, se ne usate uno.
3. I conti bancari e finanziari.
4. Gli account legati alla vostra identità: social, cloud, account di lavoro.

La configurazione è quasi sempre la stessa: scansionate un QR code con l’app, inserite il codice a sei cifre per confermare e conservate i codici di backup in un posto sicuro, in un gestore di password o stampati e custoditi offline.

Il secondo fattore non sostituisce una buona password

La 2FA è un secondo strato, non un sostituto del primo. Una password debole o riutilizzata resta un bersaglio facile. Funzionano meglio insieme: una password lunga e unica per sito, più un secondo fattore sugli account importanti. Il nostro generatore di password crea password lunghe, casuali e uniche nel browser, senza inviare nulla a un server.