I percorsi online più sicuri prevedono l’esecuzione di più passaggi prima di iniziare. È questo il caso dell’autenticazione a più fattori, o MFA (Multi-Factor Authentication), che non si limita a richiedere una semplice password per consentire l’accesso. Continua a leggere per scoprire perché questo piccolo sforzo in più ha una notevole importanza nella lotta contro il cybercrime. Inoltre, lo sai che Avira Password Manager non gestisce soltanto password complesse e univoche per i tuoi account online? Include uno strumento di autenticazione per smartphone che ti consente di generare facilmente codici sicuri e ti aiuta a impedire gli accessi non autorizzati, anche se qualcuno ti ruba le credenziali di accesso.
Che cos’è l’autenticazione a più fattori?
Hai impostato password complesse e univoche per tutti i tuoi account online, vero? Quindi, dal punto di vista della sicurezza online, non ti resta che sfregarti le mani e pensare “A questo punto, il mio lavoro è terminato”. Fermati, non andare così in fretta. Questo è un inizio, ma la tua sicurezza potrebbe essere molto più robusta di così con l’autenticazione a più fattori, o MFA. Come suggerisce il nome, questa autenticazione comporta molti più passaggi rispetto a una semplice password. Se la cosa ti sembra lunga e noiosa, non hai tutti i torti. Ma fidati di noi, ne vale la pena. Tutto ciò che rappresenta un fastidio in più per te è un ostacolo in più per gli hacker, che potrebbero essere in agguato nel tentativo di rubarti i dati e l’identità e persino prosciugare il tuo conto bancario. Ti ringraziamo se vorrai unirti a noi per complicare loro la vita.
Riassumendo: l’MFA è una procedura di accesso all’account che richiede l’inserimento di informazioni più dettagliate rispetto a una semplice password. In genere ti viene chiesto di inserire un codice OTP inviato al tuo indirizzo e-mail o al tuo telefono cellulare oppure di rispondere a una domanda di sicurezza o di eseguire la scansione di un’impronta digitale. Chi è particolarmente attento alla sicurezza acquista la Titan Security Key da Google Store, che promette resistenza al phishing.
Ora vedremo perché si parla di più fattori e non, ad esempio, di più passaggi. I metodi di autenticazione nell’IT sono chiamati fattori e possono essere di tre tipi: fattore di conoscenza (qualcosa che conosci, come una password), fattore di possesso (qualcosa che hai, come una carta o un dispositivo) e fattore di inerenza (qualcosa che sei, ovvero una tua caratteristica biologica o fisica).
C’è differenza tra l’autenticazione a due fattori e quella a più fattori? L’autenticazione a due fattori (2FA) richiede solo due tipi di autenticazione, mentre l’MFA ne richiede almeno due, e possibilmente anche di più. Ciò significa che tutte le 2FA sono MFA, ma non tutte le MFA sono 2FA. E c’è un punto su cui vanno d’accordo: sono entrambe migliori di un sistema di autenticazione con un unico fattore.
L’idea alla base dell’autenticazione a due e più fattori è che, in caso di violazione di una tua password, la terza parte illegale non sarà in grado di accedere al tuo account (a meno che, ad esempio, non rubi anche il telefono insieme alla password, il che sarebbe una vera sfortuna). Cosa accadrebbe se un criminale informatico mettesse improvvisamente le mani sulle tue password di PayPal o dei social media? Quali danni potrebbe causare? È quanto ha potuto sperimentare lo staff di Twitter nel 2020, quando circa 130 account Twitter sono stati violati e gli hacker hanno scritto messaggi offensivi sul feed del CEO Jack Dorsey. Esaminiamo quindi perché abbiamo tutti bisogno di qualcosa in più di una semplice password.
Perché l’autenticazione a più fattori è così importante per la tua sicurezza online?
La nostra vita è sempre più digitale e una sicurezza informatica efficace è essenziale per proteggerla. Basti pensare alla mole dei tuoi dati personali memorizzati in questo momento: dalle informazioni di identificazione personale alle cartelle cliniche riservate, fino ai conti bancari e alle carte di credito. Le aziende custodiscono la proprietà intellettuale, ma anche i dati dei clienti e dei dipendenti. Senza poi parlare di tutto quello che creiamo costantemente noi stessi, come foto, video e profili sui social media. Ogni “byte” è un boccone ghiotto per i criminali informatici ed è quindi vulnerabile a furti, perdite e danni. Non è solo questione di eliminare qualche file. L’uso improprio dei dati può avere gravi conseguenze nel mondo reale: non appena mettono le mani su informazioni chiave come il tuo nome, l’indirizzo e la data di nascita, i truffatori possono creare un altro “te” e aprire conti bancari a tuo nome. Se si appropriano dei tuoi dati di accesso, possono fare shopping online o ordinare centinaia di pizze. Il furto di identità e l’appropriazione indebita di account hanno addirittura causato gravi danni alla carriera, alla reputazione e alla storia creditizia di chi ne è stato vittima. Non prendere alla leggera la tua identità digitale!
Una ricerca di IT Governance ha rivelato che nel solo mese di marzo 2024 si sono verificati 3.478 incidenti di sicurezza resi pubblici. È chiaro che molti di noi non si stanno impegnando abbastanza per proteggersi online, ma le soluzioni MFA offrono un livello di protezione in più. Se una credenziale di accesso viene compromessa, gli utenti non autorizzati non riusciranno a superare il secondo ostacolo di autenticazione e non saranno in grado di accedere al dispositivo, alla rete o al database che hanno preso di mira.
Quali tipi di MFA esistono e quali sono i più sicuri?
L’autenticazione a più fattori prevede l’uso di diversi metodi per verificare l’identità degli utenti. Di seguito sono elencati i più comuni:
Codici e-mail e SMS: dopo aver immesso l’indirizzo e-mail o il nome utente e la password, ricevi un messaggio e-mail o un SMS contenente un link a una pagina Web di verifica oppure un codice di accesso usa e getta (OTP). Devi quindi inserire tale codice per accedere al tuo account.
Verdetto: questo approccio tradizionale è molto diffuso perché chiunque abbia un account e-mail o un telefono cellulare può utilizzarlo senza scaricare altre app. Tuttavia, gli hacker possono intercettare i codici OTP, ad esempio tramite un attacco di SIM swapping.
App di autenticazione (token virtuali): alcuni siti Web e servizi online utilizzano applicazioni di terze parti che generano codici OTP sul dispositivo mobile dell’utente per aiutarlo a verificare la sua identità. Tra le scelte popolari sono incluse Google Authenticator e Microsoft Authenticator, ma puoi vedere qui una recensione aggiornata delle app di autenticazione.
Verdetto: di solito gli esperti ritengono che i codici OTP siano meno vulnerabili rispetto ai codici e-mail e SMS. In casi molto rari, gli hacker sono riusciti a violare anche i fornitori di app di autenticazione. Authy, ad esempio, ha subito un attacco di hacker tramite la propria società madre Twilio nel 2022.
Il prodotto gratuito Avira Password Manager combina la gestione esperta delle password e l’archiviazione sicura con uno strumento di autenticazione per smartphone. Oltre a creare e memorizzare password complesse e univoche (e a sincronizzarle su tutti i tuoi dispositivi), genera anche codici di accesso OTP. Pertanto, anche se i tuoi dati di accesso vengono violati durante una fuga di dati, puoi dormire sonni tranquilli sapendo che i tuoi account online non saranno comunque facilmente accessibili.
Dispositivi esterni (token hardware): hanno l’aspetto di un portachiavi o di una chiavetta hardware con un display e vengono collegati alla porta USB di un computer dove generano un codice OTP a ogni tentativo di accesso. I token hardware devono essere presenti fisicamente per consentire l’autenticazione di un dispositivo.
Verdetto: gli esperti tendono a considerarli addirittura più sicuri dei token virtuali perché i criminali informatici non riescono ad aggirare virtualmente questi dispositivi. Dovrebbero rubarli fisicamente o replicarli.
Autenticazione biometrica: l’espressione “guardami negli occhi” non è mai stata meno romantica di così. I dati biometrici, come la scansione dell’iride e delle impronte digitali o il riconoscimento facciale e vocale, vengono utilizzati sempre più di frequente per verificare l’identità di un utente. Poiché questo metodo di autenticazione è basato su caratteristiche fisiche, è richiesta la presenza fisica dell’utente legittimo, il che rende questa scelta particolarmente sicura.
Verdetto: questa è la soluzione ideale per un accesso sicuro. Il volto ti identifica più di una password. Questo metodo MFA è anche comodo perché, ovviamente, non rischi di dimenticare a casa i tuoi bulbi oculari ed è disponibile su molti dispositivi. Può nascere tuttavia il timore che i dispositivi con tecnologia meno avanzata possano essere falsificati, ovvero violati tramite un campione sottratto all’utente.
Notifica push: un altro metodo MFA pratico e sicuro prevede l’invio di una notifica push al dispositivo mobile dell’utente. Quando esegue l’accesso, l’utente riceve sul proprio dispositivo un messaggio in cui viene chiesto di approvare o negare il tentativo di accesso. Questo metodo si basa sul possesso del dispositivo ed è quindi meno esposto al rischio di intercettazioni.
Verdetto: le notifiche push offrono un compromesso tra sicurezza e praticità e sono pertanto una scelta popolare per le implementazioni di MFA.
Smart card: vengono utilizzate principalmente in ambienti aziendali e contengono chip integrati in cui sono memorizzano i dati di autenticazione. Per accedere, gli utenti devono inserire la carta in un lettore e digitare un PIN.
Verdetto: le smart card offrono una sicurezza elevata, ma possono risultare meno pratiche per l’uso di tutti i giorni. Sono particolarmente efficaci negli scenari di autenticazione senza password, ma in questo caso l’utente deve avere con sé la carta e ricordare il PIN.
Quali vantaggi offre l’autenticazione a più fattori?
Meno non significa meglio quando è questione di proteggere i dati personali. Anche se una solida sicurezza informatica non eliminerà mai i rischi, può comunque aiutare a ridurli. Qui troverai una sintesi dei motivi per cui vale la pena dotare una password solitaria di un potente alleato applicando l’MFA.
Livelli di sicurezza aggiuntivi per gli account online: come ormai avrai capito, è tutta questione di livelli di sicurezza. L’MFA ne offre di più. I criminali informatici devono riuscire ad accedere ad almeno due credenziali, tra cui probabilmente un dispositivo o un’app, il che richiede maggiore abilità, notevole impegno e anche fortuna.
Maggiore controllo sui dati: le aziende possono essere certe che le loro informazioni archiviate o condivise con terzi sono più al sicuro, oltre a rispettare gli standard di sicurezza del settore. E anche tu, come utente “normale”, puoi dormire sonni più tranquilli sapendo che i dati online (come quelli sanitari o fiscali riservati) sono più protetti e meno vulnerabili ad accessi non autorizzati.
Lavoro da remoto più sicuro: i dipendenti che lavorano da remoto sono tra i bersagli preferiti dai criminali informatici che cercano di accedere a un sistema. L’autenticazione a più fattori adattiva può aiutare a prevenire questo problema esaminando una serie di fattori, tra cui posizione, tipo di dispositivo e comportamento dell’utente, durante la verifica dell’identità. Esploreremo questo nuovo tipo di MFA più avanti.
Anche con l’MFA, è comunque importante fare sempre un uso adeguato delle password. Crea password univoche e complesse per ciascuno dei tuoi account, quindi scegli di memorizzarle e gestirle con l’aiuto di uno strumento affidabile come il prodotto gratuito Avira Password Manager. Nel software è incluso uno strumento di autenticazione per smartphone, così puoi usufruire anche della tecnologia MFA integrata. La versione Premium ti avvisa inoltre se il tuo indirizzo e-mail è stato esposto a una violazione di dati. L’idea di riutilizzare le password è assolutamente “da scartare” poiché consente ai criminali informatici di ottenere più facilmente l’accesso a più account. L’MFA aiuta ad attenuare questi rischi, ma non dimenticare mai che la combinazione ideale per mantenere i dati più al sicuro prevede l’uso di password complesse + MFA.
Che cos’è l’MFA adattiva?
Come suggerisce il nome, l’autenticazione a più fattori (MFA) adattiva varia il livello di autenticazione richiesto valutando una serie di fattori. Diversamente dall’MFA “tradizionale”, che richiede un insieme di passaggi prestabilito, l’MFA adattiva è dinamica ed è basata sulla valutazione di una serie di segnali di rischio. Il metodo non è così complesso come sembra: vediamo cosa succede in pratica.
Immagina di essere un impiegato che di solito accede a determinate applicazioni e al database dell’azienda durante il normale orario di lavoro. L’MFA adattiva esaminerà i criteri di sicurezza applicabili a un utente nella tua posizione e ti concederà facilmente i diritti di accesso standard di cui hai bisogno. Saprà che tu sei lì dove devi stare e non ti presenterà ulteriori ostacoli di sicurezza da superare. Tuttavia… se i tuoi movimenti cambiassero all’improvviso, la cosa diventerebbe sospetta. Ad esempio, se improvvisamente effettuassi l’accesso durante il fine settimana, di notte, da un altro indirizzo IP, il sistema MFA rileverebbe un potenziale rischio e ti sottoporrebbe a diverse verifiche di sicurezza, come l’identificazione biometrica o alcune domande in più.
I fattori valutati dall’MFA adattiva possono essere suddivisi nelle seguenti categorie: geolocalizzazione (stai effettuando l’accesso da una posizione o da un dispositivo diverso?), tipo di dispositivo (stai utilizzando un nuovo portatile?), orario di accesso (come per Cenerentola, potrebbero essere applicate restrizioni diverse dopo la mezzanotte) e, naturalmente, comportamento dell’utente (stai improvvisamente tentando di accedere a risorse diverse o hai digitato più volte la password in modo errato?).
I vantaggi dell’MFA sono duplici: Le aziende beneficiano di maggiore sicurezza perché possono essere (più) sicure che soltanto gli utenti autorizzati accedano a dati e reti aziendali. Gli utenti, dal canto loro, sono sollevati perché perdono meno tempo a destreggiarsi tra i vari livelli di sicurezza (purché non agiscano in modo insolito). Maggiore protezione e produttività? Sì, è un successo per tutti.
I sistemi MFA adattivi sono anche intelligenti e sfruttano l’intelligenza artificiale e l’apprendimento automatico per evolversi. Monitorano costantemente e acquisiscono informazioni dai comportamenti degli utenti e dai modelli di accesso, contribuendo a migliorare nel tempo la precisione delle valutazioni dei rischi.
Quali sfide pone l’MFA?
Ora che conosci bene i vantaggi dell’autenticazione a più fattori, ti chiederai se presenta anche degli svantaggi. Purtroppo sì, e di solito siamo noi esseri umani l’anello più debole della “catena” di sicurezza che protegge la nostra vita online. Se utilizzi la stessa password per accedere all’e-mail e alle app, questo rappresenterà un rischio per l’MFA che invia un codice al tuo indirizzo e-mail. Se non rimaniamo vigili, possiamo facilmente cadere vittima di attacchi di phishing e ingegneria sociale che potrebbero indurci a rivelare le nostre credenziali di accesso. Gli attacchi man-in-the-middle tentano di intercettare le credenziali degli utenti mentre queste vengono inserite nella rete fittizia di un hacker. Per caso questo ti preoccupa? Non abbiamo ancora menzionato i keylogger, che possono registrare le sequenze di tasti premuti e inviarle a un criminale informatico. Inoltre, l’MFA può diventare un requisito scomodo se dobbiamo superare più ostacoli alla volta e se non riusciamo più ad accedere agli account online perché il nostro principale dispositivo MFA (ad esempio, uno smartphone) ha smesso di funzionare. Non esistono sistemi perfetti, ma solo intenzioni perfette.
Quale futuro per l’autenticazione più fattori?
Le minacce informatiche continueranno sempre a evolversi e così dovranno fare anche le nostre difese. Ormai ti dovrebbe essere chiaro che una sola password non sarà sufficiente. Per fortuna, le innovazioni nel campo dell’autenticazione biometrica e adattiva stanno rendendo l’MFA più sicura, semplice e pratica che mai. Nulla è mai infallibile al 100%, ma i sistemi biometrici multimodali sono in ascesa e promettono di aumentare i livelli di precisione e protezione combinando diversi identificatori biometrici. Possono perfino analizzare i nostri schemi di digitazione e i movimenti del mouse per aiutarci a individuare eventuali frodi. Quel futuro fantascientifico di cui leggevamo da bambini è diventato realtà…
Le password rimangono una prima linea di difesa essenziale
Il fatto che la tecnologia di sicurezza informatica stia compiendo notevoli progressi non significa che gli utenti possano adagiarsi sugli allori e ignorare le opportune precauzioni. Ogni piccolo accorgimento è utile e più livelli di sicurezza del dispositivo e online sono essenziali per rimanere più al sicuro. Assicurati che ogni password di tutti i tuoi account online sia complessa e univoca, senza nomi di animali domestici o password già utilizzate. Se una password è facile da ricordare, può essere indovinata più facilmente da un hacker. Consulta la nostra guida pratica su come generare password complesse che hanno maggiori probabilità di resistere a un attacco di forza bruta, in cui gli hacker adottano il metodo basato su tentativi ed errori per decifrare la password.
Avira Password Manager genera password complesse e aiuta a memorizzarle in modo sicuro. Puoi anche impostarlo in modo da eseguire l’accesso automatico ai tuoi account online e ti avvisa in caso di password deboli o riutilizzate. E non dimenticare: lo strumento di autenticazione integrato genera codici OTP quando accedi ai tuoi account, così hai anche l’MFA a portata di mano.
