Autenticazione a due fattori in parole semplici: che cosa protegge davvero
Il 16 agosto il broker israeliano di criptovalute Bits of Gold ha comunicato che un intruso è arrivato agli archivi dei clienti attraverso il sistema di un fornitore: nomi, numeri di documento, indirizzi email, telefoni, indirizzi IP e coordinate bancarie di circa 200.000 persone. Password e scansioni dei documenti non sono state toccate, il che suona rassicurante finché non si guarda la composizione del bottino. Numero di telefono, numero di documento e indirizzo reale sono esattamente il corredo che serve per convincere un operatore a spostare la vostra utenza su una nuova SIM. E il numero di telefono per la maggior parte delle persone è ancora il secondo fattore.
Tre livelli, e sono lontanissimi tra loro
Tutto ciò che viene venduto come autenticazione a due fattori ricade in tre gruppi, e la distanza tra loro è molto maggiore di quanto suggerisca l'interfaccia.
Codice via SMS
- Legato al vostro numero, non a voi.
- Cade con il cambio SIM: il numero trasloca, i codici seguono.
- Resta comunque meglio di niente e meglio di nessun secondo fattore.
App di autenticazione
- Sei cifre calcolate sul dispositivo stesso, senza rete.
- Un numero rubato non dà nulla all'attaccante.
- Ma il codice si può consegnare su un sito falso: lo digitate voi.
Chiave o passkey
- Verifica l'indirizzo vero del sito prima di rispondere.
- Su un dominio sosia semplicemente tace, e il raggiro finisce lì.
- Niente da digitare e niente da dettare al telefono.
Perché l'SMS cede per primo
Il cambio SIM non è un attacco in senso tecnico. Qualcuno contatta il vostro operatore, dice il vostro nome, il numero del documento e abbastanza dettagli da risultare credibile, segnala un telefono smarrito e chiede l'utenza su una nuova scheda. Pochi minuti dopo il vostro telefono resta senza rete e i codici arrivano altrove. Ogni fuga di dati come quella descritta sopra abbassa il costo di quella telefonata, ed è per questo che le notizie sulle violazioni e i furti di account arrivano nella stessa settimana.
C'è un secondo problema, più silenzioso. Un codice che digitate ve lo si può estorcere con le buone. Una copia convincente della pagina di accesso chiede la password, poi il codice, e passa entrambi al sito vero in pochi secondi. Per questo conta il terzo livello: chiave e passkey verificano il dominio da sole e sul falso restano mute, per quanto voi siate convinti.
Che cosa fare stasera
- Partite dalla posta, non dalla banca. Chi controlla la vostra casella reimposta quasi tutto il resto, quindi merita la protezione più forte che siate disposti a configurare.
- Spostate tutti gli account possibili dagli SMS a un'app di autenticazione. Nelle impostazioni di sicurezza di solito è una schermata con un codice QR, un minuto per account.
- Salvate i codici di riserva fuori linea. Stampateli o ricopiateli e teneteli dove tenete i documenti. Custodirli solo nello stesso gestore dove sta la password significa perdere entrambi con un dispositivo.
- Registrate un secondo fattore di scorta: una chiave hardware economica o una passkey su un secondo dispositivo. Dove ne accettano una ne accettano due, ed è la scorta che vi salva quando il telefono sparisce.
- Controllate i dati di recupero. Un vecchio numero o una casella secondaria abbandonata è un ingresso che sopravvive a tutto il resto.
- Dove vi propongono "accedi con passkey", accettate. È la stessa protezione della chiave hardware, custodita nel telefono o nel gestore, e toglie la password dal procedimento invece di aggiungere un passaggio.
- Chiudete le sessioni che non riconoscete, nella stessa schermata. Il secondo fattore non serve contro una sessione aperta un anno fa.
Prima di cambiare telefono. I codici dell'app vivono sul dispositivo, non nella nuvola per magia, quindi un telefono cancellato se li porta via. L'ordine è questo: trasferite o esportate i dati dell'app sul telefono nuovo mentre il vecchio funziona ancora, verificate che due o tre account si aprano davvero, e solo dopo cancellate il vecchio. Se il passaggio è saltato, i codici di riserva sono la via di ritorno, ed è esattamente per questo che devono esistere su carta.
Che cosa installare davvero
I nomi contano meno di tre proprietà: i codici si possono trasferire su un telefono nuovo, il codice del programma l'ha guardato qualcuno oltre all'autore, e l'app gira su tutti i vostri dispositivi. Rientrano applicazioni libere e gratuite: Ente Auth funziona su telefono e computer con sincronizzazione cifrata end-to-end, Aegis è la scelta abituale su Android con backup locale cifrato, 2FAS tiene la copia nel vostro iCloud o Drive. Le soluzioni integrate di Apple e Google sono comode e abbastanza sicure, con una riserva: i codici finiscono a vivere dentro un ecosistema e ne escono a fatica.
Un avviso su un nome noto. Authy ha chiuso l'applicazione desktop e tuttora non consente di esportare i codici, quindi gli account aggiunti lì sono di fatto legati a essa. Se la usate, niente panico, ma create i nuovi account altrove e spostate i vecchi appena avete una serata.
Gestori come Bitwarden, 1Password e Proton Pass sanno conservare anche codici e passkey, ed è davvero comodo. Sappiate che cosa scambiate: password e secondo fattore nella stessa cassaforte significano che una sola password principale protegge entrambi. Per gli account che vi stanno più a cuore teneteli separati.
Sulle chiavi hardware il mercato è piccolo e noioso, il che è un bene. YubiKey 5 con NFC e USB-C è la scelta predefinita e funziona con telefono e computer; Google Titan è l'alternativa diretta; Token2 e Nitrokey costano parecchio meno. Compratene due insieme, registratele entrambe e mettete la scorta dove tenete i documenti. Comprate dal produttore o da un rivenditore autorizzato invece che come lotto su un marketplace: una chiave è proprio ciò che non deve passare per mani sconosciute.
Che cos'è davvero una passkey
Una passkey è una coppia di chiavi: una resta sul vostro dispositivo, l'altra sta al servizio. Accedere significa che telefono o computer dimostra di possedere la propria metà, sbloccata con impronta o volto. Non si digita nulla, quindi non c'è nulla da dettare al telefono o da scrivere in una copia del sito, e non resta un segreto condiviso in un database pronto a trapelare. Il dettaglio pratico è la portabilità: le passkey si sincronizzano dentro un ecosistema o un gestore di password, quindi prima di affidarvi a una verificate di raggiungerla da un secondo dispositivo.
Se restate comunque fuori
Il recupero è la parte che tutti saltano e di cui tutti hanno bisogno. Scoprite in anticipo dove vi manda ciascun servizio: codici di riserva, una seconda chiave registrata, una casella di recupero o un modulo di assistenza con verifica dei documenti. Per i due o tre account più importanti annotate la risposta. Sono dieci minuti adesso al posto di un pomeriggio pessimo dopo, e vanno spesi finché l'accesso c'è, non mentre dimostrate a una coda di assistenza che voi siete voi.
Niente di tutto questo rende un account inespugnabile, né vuole farlo. Vi toglie dal gruppo che basta un numero di telefono trapelato per svuotare e, dopo un'estate di violazioni come quella che ha esposto 24 miliardi di password, il traffico va proprio lì.
