L'autenticazione a due fattori, solitamente abbreviata in 2FA, aggiunge un ulteriore passaggio di verifica dopo la password. Se qualcuno venisse a conoscenza o indovinasse quella password, avrebbe comunque bisogno del secondo fattore prima di poter effettuare l'accesso.
Questa guida spiega il concetto in un linguaggio semplice, mette a confronto i metodi di 2FA più comuni e illustra come i codici di autenticazione a tempo si inseriscano nel processo.
Cosa significa 2FA?
2FA significa dimostrare la propria identità con due diversi tipi di prova. I fattori di autenticazione sono comunemente raggruppati in tre categorie:
- Qualcosa che conosci: una password o un PIN.
- Qualcosa che possiedi: un telefono, un’app di autenticazione o una chiave di sicurezza hardware.
- Qualcosa che sei: una caratteristica biometrica come un'impronta digitale o la scansione del volto.
Una password più un’altra password non costituisce una vera autenticazione a due fattori, poiché entrambe appartengono alla stessa categoria “qualcosa che conosci”. Una password più un codice generato su un dispositivo utilizza due tipi di fattori diversi.
Come funziona l’autenticazione a due fattori (2FA)?
Il flusso esatto varia a seconda del servizio, ma un accesso tipico segue quattro passaggi:
- Inserisci il nome utente e la password.
- Il servizio verifica la password e richiede un secondo fattore.
- Si approva una notifica, si inserisce una chiave di sicurezza o si digita un codice temporaneo.
- Il servizio convalida quel secondo fattore di autenticazione e concede l'accesso.
Questo passaggio aggiuntivo riduce l’efficacia di una password rubata. Non rende impossibile la compromissione di un account, ma elimina molti attacchi basati esclusivamente sulla password.
Che cos’è un codice TOTP?
TOTP sta per "time-based one-time password" (password monouso basata sul tempo). Durante la configurazione, il sito web e l'autenticatore ricevono la stessa chiave di configurazione privata. L'autenticatore combina quel segreto con l'ora corrente per calcolare un codice breve, solitamente di sei cifre, che cambia circa ogni 30 secondi.
Il sito web esegue lo stesso calcolo. Se il codice inserito corrisponde al valore previsto per l’intervallo di tempo corrente, il secondo passaggio viene accettato. Non è necessario alcun SMS e il dispositivo di solito è in grado di calcolare i codici anche offline.
Se disponi già di una chiave di configurazione Base32 autorizzata, puoi utilizzare il nostro generatore di codici 2FA basato su browser per calcolare un codice TOTP. Leggi come trovare una chiave segreta 2FA prima di inserire qualsiasi cosa, poiché una password o un codice di recupero non corrispondono a questo valore.
Tipi comuni di 2FA
Codici delle app di autenticazione
Le app di autenticazione generano codici TOTP a partire da un segreto condiviso. Funzionano anche in assenza di copertura di rete mobile e sono ampiamente supportate. I rischi principali sono la perdita del dispositivo senza un backup o l’esposizione della chiave di configurazione.
Codici via SMS o voce
Un servizio invia un codice temporaneo al tuo numero di telefono. Gli SMS sono accessibili e rappresentano una soluzione migliore rispetto all’uso della sola password, ma possono essere esposti ad attacchi di tipo SIM-swap, riassegnazione del numero, intercettazione o problemi di consegna.
Notifiche push
Un'app ti chiede di approvare o rifiutare un accesso. La verifica tramite notifiche push è comoda, ma dovresti leggere attentamente il messaggio e rifiutare le richieste inattese. Messaggi ripetuti potrebbero essere un tentativo di farti approvare per sbaglio.
Chiavi di sicurezza hardware e passkey
Le chiavi di sicurezza e i passkey utilizzano la crittografia a chiave pubblica e possono fornire una protezione più efficace contro il phishing. Laddove disponibili, rappresentano spesso la scelta migliore per gli account importanti, con metodi di recupero archiviati in modo sicuro.
Codici di backup
I codici di recupero o di backup sono credenziali di emergenza, non i normali codici TOTP. Conservali offline o in un gestore di password sicuro e contrassegna ciascuno di essi come utilizzato quando necessario.
La 2FA è la stessa cosa della MFA?
MFA sta per autenticazione a più fattori e comprende l’autenticazione che utilizza due o più tipi di fattori. La 2FA è il caso specifico in cui sono richiesti esattamente due fattori. Nelle interfacce dei prodotti di uso quotidiano, i termini sono spesso usati in modo intercambiabile.
Come abilitare la 2FA in modo sicuro
- Apri le impostazioni di sicurezza ufficiali dell’account.
- Scegli un’app di autenticazione, una passkey o una chiave di sicurezza, se supportata.
- Scansiona il codice QR o inserisci la chiave di configurazione manuale su un dispositivo affidabile.
- Inserisci il primo codice generato per confermare la configurazione.
- Scarica i codici di recupero e conservali separatamente dal dispositivo che utilizzi quotidianamente.
- Aggiungi un secondo metodo di recupero, se il servizio lo supporta.
Non condividere mai il codice QR o la chiave di configurazione manuale. Chiunque entri in possesso di questo segreto potrà generare gli stessi codici TOTP futuri. La nostra Informativa sulla privacy spiega come lo strumento pubblico gestisce i dati di autenticazione.
Perché il mio codice 2FA viene rifiutato?
Il problema più frequente con il TOTP è un orologio del dispositivo non corretto. Altre cause includono l’utilizzo di un codice scaduto, la copia di un segreto errato, la selezione di una voce errata nell’autenticatore o il tentativo di utilizzare un codice di backup in un campo TOTP. Segui la nostra lista di controllo ordinata quando un codice 2FA non funziona.
Domande frequenti
La 2FA sostituisce una password sicura?
No. Utilizza una password unica per ogni servizio e attiva l’autenticazione a due fattori (2FA) come livello di sicurezza aggiuntivo. Un gestore di password può aiutarti a creare e memorizzare password uniche.
L’autenticazione a due fattori (2FA) può essere violata?
Nessun controllo di sicurezza è assoluto. Gli hacker possono ricorrere al phishing, al furto di sessioni, al malware, all’abuso delle procedure di recupero o a segreti rubati. Metodi resistenti al phishing, come le chiavi di sicurezza e le passkey, riducono molti di questi rischi.
È consigliabile utilizzare un generatore di 2FA online?
Per un uso quotidiano a lungo termine, è generalmente preferibile un autenticatore offline affidabile o un metodo basato su hardware. Uno strumento del browser può essere utile per test autorizzati o flussi di lavoro temporanei, ma solo su un dispositivo e in un ambiente browser di cui ti fidi.
La risposta in breve
L’autenticazione a due fattori (2FA) protegge un account richiedendo due diversi tipi di prova. I codici degli autenticatori TOTP sono un secondo fattore comune, mentre le passkey e le chiavi di sicurezza hardware possono offrire una maggiore resistenza al phishing. Qualunque sia il metodo scelto, proteggete i codici di recupero e i segreti di configurazione con la stessa cura con cui proteggete le password.