Nuova e attesa puntata della rubrica #LanServiceON la piattaforma di contenuti di altissimo valore creata dai top specialist di Lan Service per raccontare come, dove e quale digitale serve davvero oggi alle imprese del territorio.
Basta una sola password a proteggere i nostri accessi e dispositivi? Ovviamente no, anche perché, spesso e volentieri tendiamo a ripetere la stessa, magari con minime variazioni, per le decine di servizi che utilizziamo on line. Inoltre, risalire a queste password, per hacker con un minimo di dimestichezza e pazienza, non è così difficile, dal momento che hanno quasi sempre a che fare con dettagli e date della nostra vita personale.
In altre parole le password, oggigiorno, non sono di per sé sufficienti a garantire la nostra cybersecurity: è anzi sufficiente che un hacker riesca a rubarne una soltanto per avere poi accesso a tutte le nostre altre identità digitali. Per questo motivo è ormai molto diffusa l’autenticazione multi-fattore (Multi-Factor Authentication – MFA).
Insieme a Fabrizio Puppo scopriamo cos’è la Multi Factor Authentication e perché, oggi, è fondamentale per uscire dalla crisi di identità… digitale. Clicca qui per l’intervista completa e scoprire tutti, ma proprio tutti, i segreti dell’autenticazione multi fattore.
Che cos’è la Autenticazione a più Fattori (Multi-Factor Authentication – MFA)
Secondo la definizione dell’Agid la multi-factor authentication è un “Metodo di autenticazione in cui l’utente deve fornire più di un fattore per qualificare la propria identità e ottenere quindi l’accesso a una risorsa”. Il principale vantaggio di una soluzione di questo tipo è il rafforzamento della protezione, dal momento che per qualsiasi cybercriminale è più difficile violare due o più fattori rispetto a uno soltanto. In poche parole l’autenticazione a più fattori riduce il rischio di violazioni e furti di identità, poiché un attaccante deve ottenere tutti i fattori che il processo di autenticazione richiede per accedere alla risorsa digitale.
I fattori di autenticazione
Un fattore di autenticazione è un modo per confermare la propria identità quando si prova ad accedere a un servizio digitale. Solitamente sono legati a un qualcosa che solo l’utente conosce (tipicamente una password, i codici PIN e le risposte a domande di sicurezza), a un qualcosa che possiede (come una smart card o un token che genera una One Time Password, ormai inseriti anche nelle app per smartphone), o che lo caratterizza a livello biometrico (impronta digitale, volto, iride ecc.). I fattori di autenticazione legati alla conoscenza sono quelli più facili da violare per gli hacker, (ad tramite attacchi di phishing o spyware), mentre gli altri sono molto più complicati, anche se comunque restano sempre suscettibili di violazione da parte di cybercriminali particolarmente scaltri.
La differenza tra autentificazione a due fattori e multifattore
Esiste una differenza abbastanza intuitiva tra l’autentificazione a due fattori e quella multifattoriale. L’autenticazione a due fattori (2FA) è un metodo di autenticazione che richiede all’utente di fornire esattamente due fattori di verifica per poter accedere a un sito web, a un’applicazione o a una risorsa. In questo senso rappresenta un sottoinsieme della più generale autenticazione multifattoriale, la quale richiede invece l’impiego di almeno due forme di autenticazione che, però, possono essere anche di più (tre di solito è il livello di equilibrio ideale tra usabilità e sicurezza per l’utente).
LEGGI ANCHE: Password e allarme sicurezza, la classifica delle più usate e… delle peggiori
Perché usare la multi-factor authentication
Come abbiamo già scritto in precedenza, il grande vantaggio rappresentato dall’autenticazione multifattore è rappresentato dall’aumentare della sicurezza per gli utenti. D’altra però, l’autenticazione multifattore tende a essere spesso considerata come una “scocciatura” lato utilizzatore, dunque i passaggi devono essere disegnati nel modo più semplice possibile.
Gli esempi di autentificazione a più fattori presenti sul mercato sono molteplici:
Autenticazione a due fattori per l’ID Apple
Nel sito della casa di Cupertino si legge che “L’autenticazione a due fattori, un ulteriore livello di sicurezza per l’ID Apple, è una funzione progettata per assicurare che solo tu possa accedere al tuo account, anche se qualcun altro conosce la tua password”. In questo caso l’autenticazione si basa su domande a cui rispondere, su un codice di verifica e la disponibilità di numero di telefono autorizzato.
Autentificazione multifattoriale Amazon
Nel caso del famoso retailer on line, “L’ Autenticazione a più fattori si verifica quando l’attività di accesso appare diversa perché hai cancellato i cookie o stai effettuando l’accesso da un nuovo browser, dispositivo o da una nuova posizione”. Per confermare l’accesso in questi casi, è possibile che l’utente debba confermare il suo accesso:
Inserendo un codice di verifica a sei cifre che inviamo all’indirizzo e-mail o al numero di cellulare che hai registrato con Amazon
Confermando l’accesso tramite un’app Amazon per dispositivi mobili
Rispondendo a una domanda di sicurezza sul tuo account
Autentificazione multifattoriale SPID
Anche il super utilizzato sistema SPID è basato su tre livelli di sicurezza di autenticazione informatica. Il processo di autenticazione informatica è diretto alla verifica dell’identità digitale associata a un soggetto ai fini della erogazione di un servizio fornito in rete. A tale verifica di identità è associato un livello di sicurezza o di garanzia ( level of assurance – LoA ) progressivamente crescente in termini di sicurezza.
Come si abilita la multi-factor authentication
Lo schema di autentificazione multifattore è più o meno sempre lo stesso. Innanzitutto l’applicazione/sito web richiede l’accesso all’utente, richiedendo un primo fattore. Che, quasi sempre, è un qualcosa che l’utente “conosce”, come la classica combinazione nome utente/password. Una volta convalidato questo fattore, il sito/app passa alla richiesta di un secondo fattore, che è quasi sempre di possesso. Questo secondo fattore è in genere qualcosa che l’utente “ha”, ad esempio un token di sicurezza, un documento identificativo, ecc). Una volta che il sito/l’app ha convalidato anche il secondo fattore, all’utente viene concesso l’accesso alla risorsa, a meno che sia previsto anche un terzo passaggio per aumentare ulteriormente la sicurezza.
