Tempo di lettura: 3 minuti

Che cosa è 

 L' autenticazione a più fattori, indicata spesso con l'acronimo MFA, Multi-Factor Authentication, è un sistema di autenticazione  che richiede all'utente, persona o dispositivo, di verificare la propria identità fornendo due o più prove di identificazione, chiamati fattori di autenticazione,  prima di poter accedere ai propri sistemi ed applicazioni. 

L'autenticazione verifica l'identità di un utente, garantendo che la persona o il dispositivo che tenta di accedere a un sistema sia effettivamente chi dichiara di essere, prima di concederle l'accesso a risorse, dati o applicazioni.

I sistemi MFA si basano sull'utilizzo combinato di  almeno due categorie di fattori:

• Conoscenza: qualcosa che solo l'utente sa, come una password o un PIN.

• Possesso: qualcosa che l'utente ha fisicamente, come il proprio smartphone (per ricevere un codice via SMS o tramite un'app) o un token hardware.

• Biometria: qualcosa che l’utente è, come l’impronta digitale o il riconoscimento del volto.

La più diffusa MFA è l'autenticazione a due fattori (2FA), che tipicamente richiede come primo fattore la password e come secondo fattore un codice numerico temporaneo inviato al cellulare.

Perché è importante

La  "tradizionale" autenticazione con identificativo d'utente e password, anche se quest'ultima lunga e non banale, ora non consente più di proteggere realmente l'account di un utente, e soprattutto di un utente privilegiato come un amministratore di sistema .

L'MFA  offre una protezione molto più solida rispetto alla sola password. Anche se un attaccante scoprisse la password, non potrebbe accedere senza possedere anche il secondo fattore.

Le principali cose da sapere

 Esistono diverse metodi e tecniche di MFA, adottate tipicamente da diversi ambiti applicativi e di servizi online. Le principali includono:

• • Notifiche Push: sul proprio telefono appare una richiesta di approvazione (conferma o nega l'accesso). È molto comoda ma richiede una connessione internet. 
  • Codici temporanei (OTP/2FA): codici generati da app come Google Authenticator o Microsoft Authenticator che cambiano ogni 30 secondi. 
  • Codici SMS: codici inviati tramite messaggio di testo. Sono pratici ma considerati meno sicuri poiché i messaggi possono essere intercettati. 
  • Chiavi di sicurezza hardware (es. YubiKey): dispositivi fisici USB o NFC che offrono il livello di protezione più elevato contro il phishing. 

 La MFA riduce fortemente il rischio di compromissione, ma non tutti i fattori offrono lo stesso livello di protezione. Quando possibile, è preferibile adottare metodi resistenti al phishing, come chiavi di sicurezza FIDO2/WebAuthn o passkey.

Le chiavi di sicurezza compatibili con FIDO2/WebAuthn offrono una protezione particolarmente elevata e sono resistenti alle comuni tecniche di phishing.

Raccomandazioni pratiche

1. Proteggere prioritariamente gli account più critici: attivare la MFA almeno per gli account privilegiati e per l’accesso a posta elettronica, VPN, servizi cloud, social network, servizi bancari e portali istituzionali.
2. Ove possibile, estendere progressivamente la MFA a tutti gli utenti dell’organizzazione.
3. Salvare i codici di recupero: attivando l'MFA, il sistema fornisce dei codici di backup che devono essere conservati in un luogo sicuro (stampati o su un gestore di password). Se il cellulare non funziona, si perde o è rubato, con questi codici si può entrare nell'account. 
4. Attenzione al Phishing: non approvare richieste di autenticazione inattese e non comunicare codici temporanei ricevuti tramite app, SMS o e-mail.