{"id":27861,"date":"2023-06-30T18:03:00","date_gmt":"2023-06-30T16:03:00","guid":{"rendered":"https:\/\/www.kaspersky.it\/blog\/?p=27861"},"modified":"2023-07-03T12:44:59","modified_gmt":"2023-07-03T10:44:59","slug":"types-of-two-factor-authentication","status":"publish","type":"post","link":"https:\/\/www.kaspersky.it\/blog\/types-of-two-factor-authentication\/27861\/","title":{"rendered":"Tipi di autenticazione a due fattori: pro e contro"},"content":{"rendered":"

Nell\u2019ultimo post abbiamo visto che cos\u2019\u00e8 l\u2019autenticazione a due fattori<\/a> e perch\u00e9 \u00e8 consigliabile utilizzarla. In breve, si tratta di un meccanismo di convalida dell\u2019accesso basato su due metodi di autenticazione essenzialmente diversi.<\/p>\n

L\u2019autenticazione a due fattori assicura una protezione pi\u00f9 affidabile degli account degli utenti. Preso singolarmente, infatti, ogni metodo di autenticazione \u00e8 vulnerabile. Se per\u00f2 ne utilizzi due (o pi\u00f9) in combinazione, sar\u00e0 molto pi\u00f9 difficile che qualcuno possa prendere il controllo del tuo account.<\/p>\n

In questo articolo vedremo quali sono le opzioni di autenticazione a pi\u00f9 fattori disponibili, esaminandone i pro e i contro per comprendere quali sono le pi\u00f9 sicure per proteggere gli account.<\/p>\n

Codici monouso inviati tramite SMS, e-mail o chiamata vocale<\/h2>\n

Uno dei meccanismi di autenticazione a due fattori pi\u00f9 diffusi per la convalida dell\u2019accesso \u00e8 l\u2019utilizzo di codici monouso. Questi vengono in genere inviati tramite SMS al numero di telefono specificato durante la registrazione. Anche la posta elettronica pu\u00f2 essere utilizzata per questo scopo, ma \u00e8 meno comune. I principali servizi di solito offrono anche la possibilit\u00e0 di ricevere una chiamata vocale al numero di telefono specificato al momento della registrazione.<\/p>\n

Qualunque sia il canale di distribuzione utilizzato, l\u2019idea \u00e8 la stessa: verificare la possibilit\u00e0 di accedere a un altro account o a un numero di telefono specificato al momento della registrazione al servizio. Pertanto, se qualcuno si impossessa della tua password senza avere accesso al telefono, questo tipo di protezione funzioner\u00e0 perfettamente.<\/p>\n

\"SMS<\/a>

L\u2019opzione di autenticazione a due fattori pi\u00f9 comune: codice monouso inviato tramite SMS<\/p><\/div>\n

Questo meccanismo di autenticazione a due fattori presenta tuttavia alcuni aspetti negativi. Se viene utilizzata l\u2019e-mail per confermare l\u2019accesso e la password per l\u2019accesso \u00e8 la stessa dell\u2019account che si sta tentando di proteggere, si otterr\u00e0 una protezione aggiuntiva molto limitata. Un utente malintenzionato che conosce la password dell\u2019account prover\u00e0 sicuramente anche quella password per accedere all\u2019e-mail, ottenendo cos\u00ec il codice di convalida monouso.<\/p>\n

La convalida tramite numero di telefono (con l\u2019invio di un messaggio SMS o con una chiamata vocale) presenta invece un problema diverso: \u00e8 facile perdere l\u2019accesso. A volte gli utenti dimenticano semplicemente di ricaricare il proprio credito telefonico, perdono il telefono o cambiano numero.<\/p>\n

Inoltre, non \u00e8 raro<\/a> che i criminali cerchino di convincere<\/a> gli operatori mobili a fornire loro una scheda SIM con il numero di telefono della vittima, ottenendo cos\u00ec l\u2019accesso ai codici di convalida. Infine, i messaggi SMS possono essere intercettati: casi simili sono gi\u00e0 stati segnalati<\/a>.<\/p>\n

Riepilogo: questa opzione di autenticazione a due fattori offre una protezione adeguata, ma per proteggere gli account pi\u00f9 importanti, in particolare quelli finanziari, \u00e8 meglio utilizzare un metodo pi\u00f9 affidabile.<\/p>\n

Password come secondo fattore<\/h2>\n

A volte la password non \u00e8 il primo ma il secondo fattore. Questo metodo viene spesso impiegato dagli strumenti di messaggistica: per impostazione predefinita, per accedere \u00e8 sufficiente inserire il codice monouso ricevuto tramite SMS. La password \u00e8 generalmente facoltativa. Facoltativa ma necessaria, a mio parere, perch\u00e9 assicura la protezione da molti potenziali problemi in una sola volta.<\/p>\n

Soprattutto, impedir\u00e0 la perdita accidentale di accesso al numero di telefono utilizzato per la registrazione a servizi come WhatsApp o Telegram. Supponiamo di aver cambiato il numero di telefono principale, di aver messo la vecchia scheda SIM in un cassetto e di non averla ricaricata per molto tempo. Trascorso un certo periodo di tempo, l\u2019operatore rivender\u00e0 il numero associato a quella scheda SIM, consentendo cos\u00ec al nuovo proprietario di accedere allo strumento di messaggistica a tuo nome, a meno che non sia protetto anche con una password, ovviamente.<\/p>\n

La password quasi sicuramente fornir\u00e0 al tuo account di messaggistica un livello aggiuntivo di protezione dagli hacker che, in un modo o nell\u2019altro, hanno avuto accesso al tuo numero di telefono.<\/p>\n

Elenco di codici monouso pre-generati<\/h2>\n

Un\u2019altra opzione disponibile \u00e8 un elenco di codici monouso pre-generati. Le banche a volte rilasciano tali elenchi ai propri clienti per confermare le transazioni, mentre alcuni servizi Internet (come Google) consentono di utilizzarli per il recupero dell\u2019account.<\/p>\n

Questo pu\u00f2 essere considerato un meccanismo affidabile: tali codici vengono trasmessi all\u2019utente molto raramente, quindi le possibilit\u00e0 di intercettazione sono minime. I codici sono casuali, nel senso che sono univoci, quindi indovinarli \u00e8 quasi impossibile.<\/p>\n

Ma c\u2019\u00e8 il problema dell\u2019archiviazione: se gli autori degli attacchi riescono a rubare l\u2019elenco di codici pre-generati, sferrare un attacco ai danni dell\u2019account o rubare denaro sar\u00e0 estremamente facile.<\/p>\n

\"Elenco<\/a>

Elenco di codici monouso pre-generati per la verifica delle transazioni bancarie<\/p><\/div>\n

\u00c8 pertanto consigliabile conservare i codici di conferma monouso in una cassetta di sicurezza o in una posizione di archiviazione adeguatamente protetta. Ad esempio, Kaspersky Password Manager<\/a> offre la possibilit\u00e0 di utilizzare note criptate. Se si salva l\u2019elenco dei codici monouso in queste note, tali codici saranno protetti in modo sicuro, a condizione, ovviamente, di impostare una master password valida e univoca per Kaspersky Password Manager.<\/p>\n

Tuttavia, l\u2019inconveniente principale di questo metodo di autenticazione \u00e8 che se le verifiche da eseguire sono frequenti, tali codici pre-generati si esauriranno rapidamente. Ci\u00f2 significa che dovrai generarne e salvarne di nuovi. In caso di pi\u00f9 account, l\u2019utilizzo di diversi elenchi potrebbe generare confusione. Pertanto, i codici pre-generati come metodo di autenticazione principale sono stati sostituiti da codici generati su richiesta, inviati solo all\u2019occorrenza.<\/p>\n\n

Codici monouso generati da un\u2019app di autenticazione<\/h2>\n

La generazione istantanea di codici monouso viene eseguita tramite appositi strumenti di autenticazione. A volte si tratta di dispositivi indipendenti con un piccolo schermo che visualizza il codice da utilizzare: alcune banche forniscono tali strumenti di autenticazione ai propri clienti.<\/p>\n

Ma al giorno d\u2019oggi, rispetto ai dispositivi indipendenti, sono pi\u00f9 diffuse speciali app di autenticazione eseguite su smartphone. Sono disponibili diversi articoli su questo argomento:<\/p>\n