2FA: Come SMS, TOTP e FIDO2 proteggono i tuoi account

L'autenticazione a due fattori (2FA) non sostituisce la password, ma aggiunge una seconda prova di identità obbligatoria prima di concedere l'accesso. Secondo IBM, il sistema combina qualcosa che l'utente sa (password) con qualcosa che possiede (dispositivo mobile, chiave fisica) o qualcosa che è (biometria). Questa doppia verifica impedisce a un attaccante che ha rubato la password di entrare nell'account, poiché gli manca il secondo fattore. La logica è semplice: se il primo fattore fallisce, il secondo agisce come barriera finale che richiede un'azione fisica che l'intruso non ha.

È importante distinguere tra 2FA e autenticazione multifattore (MFA). Mentre il 2FA richiede esattamente due fattori, l'MFA ne consente tre o più. La maggior parte dei servizi consumer, come banche o email, implementa il 2FA come standard minimo. La chiave è che ogni fattore deve appartenere a una categoria distinta; usare due password o due codici SMS non conta come 2FA reale, poiché entrambi i fattori si basano su ciò che l'utente sa o sullo stesso canale di consegna. Questa distinzione è vitale per valutare la sicurezza reale di una configurazione.

Il metodo più diffuso, ma anche il più debole, è l'invio di codici via SMS. Il meccanismo è semplice: il server invia un codice numerico temporaneo al numero di telefono registrato. Tuttavia, questo metodo dipende dall'infrastruttura di telefonia mobile, che presenta vulnerabilità strutturali documentate. Psono segnala che gli attaccanti possono sfruttare il SIM swapping, ingannando gli operatori per trasferire il numero della vittima su una SIM controllata dall'attaccante, intercettando così tutti i codici in tempo reale. Questo processo può essere completato in minuti, lasciando l'utente senza accesso mentre l'attaccante prende il controllo.

Oltre al SIM swapping, gli attacchi SS7 sfruttano i difetti nel protocollo di segnalazione globale delle reti mobili per intercettare i messaggi da remoto. Questo significa che il codice SMS viaggia su una rete non progettata per la sicurezza di alto livello. Pertanto, fonti come Signaturit e Psono raccomandano di evitare lo SMS come unico metodo di 2FA, specialmente per gli account bancari o email, dove l'impatto di un'intrusione è critico. La dipendenza dalle reti degli operatori introduce un punto di guasto esterno che l'utente non può controllare direttamente.

Le app di autenticazione, come Google Authenticator o Microsoft Authenticator, utilizzano lo standard TOTP (Time-based One-Time Password). A differenza dello SMS, il codice viene generato localmente sul dispositivo dell'utente mediante una funzione crittografica (SHA-1) che combina un segreto condiviso con l'ora attuale. Secondo Proton, questi codici sono solitamente di 6 cifre e hanno una validità di 30 secondi, limitando drasticamente la finestra di opportunità per un attaccante. La generazione locale elimina la necessità di inviare dati sulla rete, migliorando la privacy e la velocità di risposta.

Il vantaggio principale del TOTP è che non dipende dalla rete di telefonia né dalla consegna dei messaggi. Il codice esiste solo sul dispositivo e sul server, che lo verifica mediante la sincronizzazione dell'ora. Questo elimina i vettori di attacco di SIM swapping e SS7. Tuttavia, il TOTP non è immune al phishing: se l'utente inserisce il codice su una pagina falsa, l'attaccante può usarlo immediatamente. Inoltre, se il dispositivo viene perso o formattato, l'accesso può essere compromesso se non sono stati salvati i codici di recupero. La gestione del dispositivo è, quindi, la nuova responsabilità dell'utente.

FIDO2 (Fast Identity Online) rappresenta l'evoluzione più avanzata dell'autenticazione. Basato sullo standard WebAuthn del W3C, FIDO2 utilizza chiavi crittografiche uniche per ogni sito web, eliminando la necessità di password e codici condivisi. Secondo la FIDO Alliance, questo sistema genera una coppia di chiavi (pubblica e privata) sul dispositivo dell'utente; la chiave pubblica viene inviata al server, mentre la privata non lascia mai il dispositivo. Questa architettura a chiave pubblica/privata è la base della sicurezza moderna sul web.

Questo meccanismo rende il phishing praticamente inviable. Non condividendo segreti attraverso Internet, l'attaccante non può catturare una credenziale valida per un altro sito. Le passkeys (chiavi di accesso) integrate nei browser e nei sistemi operativi consentono l'autenticazione mediante biometria locale (impronta o riconoscimento facciale) senza inviare dati biometrici al cloud. Microsoft e Google offrono già questa opzione come metodo prioritario, poiché dimostra simultaneamente il possesso del dispositivo e l'identità dell'utente. L'esperienza utente si semplifica eliminando l'attrito dell'inserimento manuale dei codici.

La scelta del metodo di 2FA deve basarsi sul livello di rischio del servizio. Per gli account critici (banca, email principale, criptovalute), si raccomanda FIDO2 o TOTP con app di autenticazione. Per i servizi a rischio inferiore, lo SMS può essere accettabile come livello aggiuntivo, ma mai come unica opzione. Di seguito sono dettagliati i passaggi generali per attivare il 2FA nei servizi comuni:

1. Accedi alle impostazioni di sicurezza del tuo account (es. su Google: Account > Sicurezza > Verifica in due passaggi).
2. Seleziona il metodo preferito: FIDO2 (passkey) o TOTP (app di autenticazione).
3. Genera e salva i codici di recupero: sono codici monouso che consentono di recuperare l'accesso se perdi il dispositivo. Conservali in un gestore di password o in un luogo fisico sicuro.
4. Verifica la configurazione accedendo di nuovo per assicurarti che il secondo fattore funzioni correttamente.

Uno degli errori più frequenti è non salvare i codici di recupero o conservarli sullo stesso dispositivo dell'app di autenticazione. Se perdi il telefono, questi codici sono l'unico modo per recuperare l'accesso senza chiamare l'assistenza tecnica. L'INCIBE raccomanda di attivare il 2FA su tutti gli account che lo consentono, ma sottolinea l'importanza di seguire le istruzioni specifiche di ogni piattaforma, poiché la configurazione varia. La preparazione alla perdita del dispositivo è importante quanto l'attivazione iniziale del sistema.

Un altro errore è fidarsi del fatto che il 2FA sia una soluzione infallibile. Sebbene riduca drasticamente il rischio, non elimina la minaccia del phishing nel caso del TOTP. Per mitigarlo, è cruciale educarsi a identificare le pagine false e, ove possibile, migrare a FIDO2. Se il dispositivo viene perso, il recupero deve essere rapido: usa i codici di recupero, contatta l'assistenza con la documentazione richiesta e, una volta recuperato l'accesso, riconfigura il 2FA su un nuovo dispositivo. La sicurezza è un processo continuo che richiede una revisione periodica delle credenziali.