Accesso in due passaggi

Un codice di sei cifre ha esattamente 1 000 000 valori possibili, quindi un ladro con la tua password che ha cinque tentativi ha 1 probabilità su 200 000.

Un ladro ha la tua password. Quante probabilità ha con il codice?

Comincia con un indovinello. Qualcuno ha rubato la tua password, ma il sito chiede anche un codice di sei cifre, e il ladro ha cinque tentativi. Quanto è probabile che indovini per fortuna? Calcolalo nell'esercizio qui sotto prima di andare avanti.

Sei cifre vanno da 000000 a 999999, cioè 10⁶ = 1 000 000 codici. Cinque tentativi danno una probabilità di 5 su 1 000 000, cioè 1 su 200 000. Con la sola password il ladro era già dentro. Con il codice, quasi mai. Quella differenza è ciò che ti dà l'autenticazione a più fattori.

Tre tipi di prova, e perché due password restano una

L'autenticazione a più fattori (MFA), spesso chiamata a due fattori o accesso in due passaggi, chiede prove di più di un tipo di fattore. La CISA divide i tipi in qualcosa che sai (una password o un PIN), qualcosa che hai (un telefono o una chiave di sicurezza) e qualcosa che sei (un'impronta o il volto). Due password restano un solo tipo. Il consiglio della CISA per tutti è attivare l'MFA su ogni account che la offre, partendo da email, social e account finanziari. L'email viene prima perché lì arrivano i link per reimpostare le password. Chi controlla la tua casella può reimpostare quasi tutto il resto.

Codici che si possono inoltrare, e chiavi che non si possono

Le opzioni comuni differiscono per quanto reggono. Un codice inviato per SMS o con una chiamata vocale viaggia sulla rete telefonica. Il NIST lo classifica come autenticatore limitato. È ancora ammesso, ma i servizi devono offrire un'alternativa e avvisare gli utenti dei rischi, e dovrebbero tenere d'occhio segnali come un cambio recente di SIM o un trasferimento del numero, perché i criminali possono convincere un operatore telefonico a spostare il tuo numero sulla loro SIM. Un codice da un'app di autenticazione è generato sul tuo telefono e non attraversa mai la rete. Le notifiche push ti chiedono di toccare Approva. A volte i criminali inviano decine di richieste, sperando che tu ne tocchi una per farle smettere, quindi la CISA raccomanda il number matching, in cui digiti un numero mostrato sulla schermata di accesso.

Tutti questi metodi possono comunque subire phishing. Una falsa pagina di accesso chiede il tuo codice, tu lo digiti, e il criminale lo passa al sito vero in pochi secondi. Il NIST dice chiaramente che i metodi con inserimento manuale di un codice non sono resistenti al phishing, perché niente lega il codice al sito vero. La CISA chiama l'MFA resistente al phishing il gold standard e dice che l'unico tipo largamente disponibile è FIDO/WebAuthn: chiavi di sicurezza e passkey, che, come ha mostrato l'unità precedente, rispondono solo al sito per cui sono state create. Qualsiasi MFA resta comunque molto meglio di niente.

Prima che il telefono sparisca

Quando attivi l'accesso in due passaggi, quasi tutti i servizi mostrano un elenco di codici di recupero monouso. Il NIST li chiama look-up secret. Sono la tua via per rientrare se perdi il telefono, quindi tienili in un posto sicuro e separato dal telefono: stampati e conservati a casa, oppure in un gestore di password. Non incollarli mai in un'email a te stesso, e non leggerne mai uno a qualcuno che ti telefona. Nessuna vera assistenza ne ha bisogno.

Pensa a un telefono perso o sostituito prima che succeda. Quasi tutti i servizi ti permettono di registrare più di un secondo fattore, per esempio un'app di autenticazione e una chiave di sicurezza, oppure una passkey su due dispositivi. Quando cambi telefono, sposta l'app di autenticazione o le passkey sul nuovo telefono prima di cancellare il vecchio. Se perdi un telefono, accedi con un codice di recupero o un altro fattore e rimuovi il dispositivo perso da ogni account.