Autenticazione a più fattori: cos'è

In breve

I fattori di autenticazione appartengono a tre categorie:

• qualcosa che sai: password, PIN;
• qualcosa che hai: lo smartphone con un'app, una chiave di sicurezza fisica, una smart card;
• qualcosa che sei: impronta digitale, riconoscimento del volto.

È MFA solo se i fattori sono di categorie diverse: due password non fanno un'autenticazione a più fattori. Con due fattori si parla anche di 2FA o di verifica in due passaggi.

Come funziona

Non tutti i metodi offrono la stessa protezione. Dal più debole al più robusto:

1. codice via SMS: meglio di niente, ma esposto a sostituzione fraudolenta della SIM e a intercettazioni;
2. codice temporaneo da app (TOTP), che cambia ogni 30 secondi;
3. notifica push da approvare: comoda, ma vulnerabile alla "stanchezza da MFA", quando l'attaccante invia richieste a raffica finché l'utente approva; il numero da confermare riduce il problema;
4. chiavi di sicurezza FIDO2 e passkey: resistenti al phishing, perché funzionano solo sul sito autentico.

Perché è importante

Molte intrusioni partono da credenziali valide: rubate con il phishing, comprate nel dark web o indovinate. L'MFA ferma la grande maggioranza di questi tentativi. La direttiva NIS2, all'articolo 21, include fra le misure minime l'uso di soluzioni di autenticazione a più fattori o di autenticazione continua, ove opportuno.

Le priorità, se non puoi attivarla ovunque subito: posta elettronica e suite cloud, accessi da remoto (VPN, desktop remoto), account amministrativi, gestionali con dati sensibili o pagamenti. Attenzione alle eccezioni dimenticate: account di servizio, protocolli di posta datati e utenze di fornitori che aggirano l'MFA sono la strada preferita degli attaccanti.

Esempio

La password di un tecnico finisce in una raccolta di credenziali rubate. Un attaccante la prova sulla VPN aziendale di notte: la password è giusta, ma la VPN chiede il codice dell'app di autenticazione, che l'attaccante non ha. L'accesso viene respinto e il tentativo fallito resta nei log, dove il sistema di monitoraggio lo segnala. Il tecnico cambia la password la mattina dopo; senza MFA, l'attaccante sarebbe già stato dentro la rete.

Due accorgimenti completano l'esempio: i codici di recupero dell'MFA vanno conservati in un luogo sicuro, e la procedura per reimpostare il secondo fattore a chi cambia telefono deve verificare l'identità della persona. Molti attaccanti puntano proprio all'help desk.

Termini collegati

• Phishing
• Hardening
• Amministratore di sistema
• Dark web