Per anni abbiamo protetto i nostri account con una combinazione piuttosto semplice: nome utente e password. Più la password era lunga e complicata, più ci sentivamo al sicuro.
Oggi, però, sappiamo che anche una password robusta può finire nelle mani sbagliate.
Può essere rubata attraverso una pagina di phishing, recuperata da una violazione di dati oppure intercettata da un malware installato sul dispositivo. E quando qualcuno riesce a impossessarsene, potrebbe non esserci nulla a impedirgli di accedere all'account.
È proprio qui che entra in gioco la MFA, ovvero Multi-Factor Authentication, l'autenticazione a più fattori.
Vediamo come funziona, quali metodi sono più sicuri e perché attivarla è una delle precauzioni più utili per proteggere account personali, pannelli amministrativi e servizi aziendali.
Che cos'è l'autenticazione MFA?
La Multi-Factor Authentication è un sistema di autenticazione che richiede almeno due fattori appartenenti a categorie differenti per verificare l'identità di chi sta effettuando l'accesso.
In pratica, conoscere una password non è più sufficiente.
Il sistema richiede una seconda verifica, che può consistere nell'utilizzo di un'app di autenticazione, di una chiave di sicurezza fisica o di un altro meccanismo.
I fattori di autenticazione vengono generalmente suddivisi in tre categorie.
Qualcosa che conosci
È un'informazione segreta che soltanto tu dovresti conoscere.
Gli esempi più comuni sono:
- Password.
- PIN.
- Codici segreti memorizzati.
Qualcosa che possiedi
È un oggetto o dispositivo sotto il tuo controllo.
Per esempio:
- Uno smartphone con un'app di autenticazione.
- Una chiave di sicurezza hardware.
- Un dispositivo registrato per ricevere richieste di approvazione.
Qualcosa che sei
Riguarda caratteristiche biometriche utilizzate per verificare la tua identità, come l'impronta digitale o il riconoscimento del volto.
La biometria viene spesso utilizzata per sbloccare localmente un dispositivo o autorizzare l'uso di una credenziale.
Un dettaglio importante: password e PIN appartengono alla stessa categoria. Richiederli entrambi non significa necessariamente implementare una vera autenticazione a più fattori.
Qual è la differenza tra MFA e 2FA?
Spesso i termini MFA e 2FA vengono utilizzati come sinonimi, ma esiste una piccola differenza.
2FA, o Two-Factor Authentication, indica un'autenticazione che utilizza esattamente due fattori distinti.
MFA, invece, è il termine più generale: comprende sistemi che utilizzano due o più fattori.
Quindi ogni sistema 2FA è anche MFA, ma non necessariamente vale il contrario.
Nella pratica, quando un servizio ti chiede la password e successivamente un codice generato da un'app, stai utilizzando una forma di 2FA.
Come funziona l'MFA durante il login?
Immaginiamo di voler accedere al pannello amministrativo di un'applicazione web.
Il processo potrebbe essere questo:
- Inserisci il nome utente e la password.
- Il server verifica che le credenziali siano corrette.
- Il sistema richiede una seconda verifica.
- Apri l'app di autenticazione e inserisci il codice temporaneo.
- Se entrambe le verifiche hanno successo, ottieni l'accesso.
Se un malintenzionato conoscesse la password ma non disponesse del secondo fattore, non riuscirebbe normalmente a completare il login.
Naturalmente, il livello di protezione dipende anche dal metodo MFA utilizzato.
I principali metodi di autenticazione MFA
Non tutti i sistemi di autenticazione a più fattori offrono lo stesso livello di sicurezza.
Codici via SMS
Uno dei metodi più conosciuti consiste nell'invio di un codice temporaneo tramite messaggio SMS.
È semplice da utilizzare e non richiede applicazioni aggiuntive.
Tuttavia, presenta alcuni limiti.
Un attaccante potrebbe tentare un attacco di SIM swapping, convincendo un operatore telefonico a trasferire il numero della vittima su una SIM sotto il proprio controllo.
Inoltre, i codici SMS possono essere sottratti tramite phishing.
Per questo motivo, quando sono disponibili alternative più robuste, è generalmente preferibile utilizzarle.
App di autenticazione TOTP
Applicazioni come Google Authenticator, Microsoft Authenticator e altre soluzioni compatibili generano codici temporanei direttamente sul dispositivo.
Questi codici vengono generalmente aggiornati ogni 30 secondi.
Il meccanismo è noto come TOTP, Time-Based One-Time Password.
A differenza degli SMS, non dipende dalla ricezione di un messaggio attraverso la rete telefonica.
Resta comunque vulnerabile ad alcune forme di phishing: se inserisci il codice su un sito fraudolento, un attaccante potrebbe utilizzarlo immediatamente.
Notifiche push
Alcuni servizi inviano una richiesta di approvazione a uno smartphone registrato.
Puoi autorizzare o rifiutare l'accesso direttamente dall'applicazione.
È un sistema comodo, ma bisogna fare attenzione alla cosiddetta MFA fatigue.
Un attaccante che conosce la password potrebbe generare ripetute richieste di accesso, sperando che la vittima ne approvi una per errore o per interrompere le notifiche.
Le implementazioni che richiedono di confrontare un numero visualizzato durante il login riducono questo rischio.
Passkey e chiavi di sicurezza FIDO2
Le passkey e le chiavi di sicurezza compatibili con FIDO2/WebAuthn rappresentano una delle soluzioni più interessanti.
Utilizzano la crittografia a chiave pubblica e sono progettate per legare l'autenticazione al sito o all'applicazione corretta.
Questo le rende particolarmente efficaci contro il phishing.
Una passkey può consentire un accesso senza password oppure essere utilizzata nell'ambito di un sistema di autenticazione più articolato.
Non tutte le passkey funzionano allo stesso modo: alcune sono sincronizzabili tra dispositivi, altre rimangono legate a un dispositivo o a una chiave hardware.
Perché l'MFA è importante per i siti web?
Quando pensiamo alla sicurezza degli account, spesso immaginiamo servizi bancari o piattaforme molto grandi.
In realtà, l'MFA è importante anche per siti WordPress, piccoli e-commerce, pannelli di hosting e applicazioni sviluppate internamente.
Pensiamo a un sito WordPress con diversi amministratori.
Se uno di loro riutilizza una password compromessa, un attaccante potrebbe ottenere accesso al pannello di gestione.
Da lì potrebbe tentare di modificare contenuti, installare componenti malevoli o compromettere altre funzionalità.
L'autenticazione a più fattori aggiunge un ostacolo significativo.
Non sostituisce gli aggiornamenti, la gestione dei permessi o le altre misure di sicurezza, ma contribuisce a ridurre il rischio di accessi non autorizzati.
Dove conviene attivare l'MFA?
Alcuni account meritano particolare attenzione.
Tra questi troviamo:
- Account amministrativi di WordPress e altri CMS.
- Pannelli di hosting e gestione dei server.
- Console dei provider cloud.
- Account di posta elettronica.
- Repository Git e piattaforme di sviluppo.
- Sistemi VPN e accessi remoti.
- Dashboard di servizi SaaS.
- Account che consentono di modificare DNS e domini.
📌 La casella email principale è particolarmente importante: spesso permette di reimpostare le password di molti altri servizi. Proteggerla con un metodo MFA robusto significa difendere anche gli account collegati.
Gli errori più comuni nella gestione dell'MFA
Attivare l'autenticazione a più fattori è un buon inizio, ma bisogna evitare alcune situazioni.
Non conservare i codici di recupero
Molti servizi forniscono codici di backup da utilizzare se perdi il dispositivo principale.
Se non li conservi in un luogo sicuro, potresti ritrovarti escluso dal tuo account.
Utilizzare soltanto metodi facilmente aggirabili
Un sistema che offre esclusivamente codici SMS può essere meno resistente a determinati attacchi rispetto a una soluzione basata su FIDO2.
Quando possibile, scegli metodi resistenti al phishing.
Lasciare account amministrativi senza MFA
Non basta proteggere l'account del proprietario del sito.
Se un collaboratore dispone di privilegi elevati e non utilizza l'MFA, quell'account potrebbe diventare il punto di ingresso più semplice.
Non controllare le procedure di recupero
Un sistema MFA robusto può perdere efficacia se il recupero dell'account consente di aggirarlo con verifiche troppo deboli.
È importante proteggere anche email di recupero, dispositivi registrati e procedure di assistenza.
L'MFA protegge da tutti gli attacchi?
No, e vale la pena chiarirlo.
L'autenticazione a più fattori riduce il rischio di compromissione degli account, ma non elimina tutte le minacce.
Un malware potrebbe rubare una sessione già autenticata.
Un sito di phishing particolarmente sofisticato potrebbe intercettare credenziali e codici temporanei in tempo reale.
Un'applicazione vulnerabile potrebbe inoltre consentire operazioni non autorizzate indipendentemente dalla procedura di login.
Per questo motivo, l'MFA deve far parte di una strategia più ampia che comprenda aggiornamenti, controllo degli accessi, monitoraggio e protezione delle sessioni.
Come introdurre l'MFA in un'organizzazione
Se gestisci più utenti o servizi, puoi procedere gradualmente.
Inizia identificando gli account con privilegi amministrativi e quelli che consentono l'accesso a dati sensibili.
Successivamente, verifica quali servizi supportano MFA, passkey o chiavi di sicurezza hardware.
Definisci poi una procedura per la registrazione dei dispositivi e per il recupero degli account, evitando che diventi una scorciatoia per aggirare le verifiche.
Infine, controlla periodicamente che gli utenti privilegiati mantengano attiva la protezione.
Conclusione
Le password continueranno a essere utilizzate ancora per molto tempo, ma affidarsi esclusivamente a esse non è più una scelta prudente.
L'autenticazione MFA aggiunge un controllo che può impedire numerosi accessi non autorizzati, soprattutto quando una password viene rubata o riutilizzata.
Per chi gestisce siti web e applicazioni, il consiglio è semplice: partire dagli account più importanti e preferire, quando possibile, metodi resistenti al phishing.
Con MiHakero puoi affiancare alla protezione degli accessi il controllo della superficie esposta dei tuoi domini e servizi pubblici, individuando configurazioni e problemi esternamente rilevabili che meritano attenzione.