Autenticazione a più fattori

L'autenticazione a più fattori (MFA) richiede che gli utenti dimostrino la propria identità mediante due o più fattori indipendenti appartenenti a categorie diverse. Anche se un fattore viene compromesso (ad esempio, una password rubata), l'account rimane protetto.

Fattori di autenticazione:

• Qualcosa che si conosce — password, PIN, domanda di sicurezza
• Qualcosa che si possiede — telefono, token hardware, smart card
• Qualcosa che si è — impronta digitale, volto, voce (dati biometrici)

La vera MFA utilizza almeno due categorie diverse, non due password.

TOTP genera un codice di 6 cifre che cambia ogni 30 secondi utilizzando un segreto condiviso e l'ora corrente (RFC 6238). App: Google Authenticator, Authy, Microsoft Authenticator.

TOTP è sicuro contro gli attacchi di replay, ma è vulnerabile al phishing in tempo reale.

Gli OTP basati su SMS sono pratici, ma presentano notevoli vulnerabilità:

• SIM swapping — l'aggressore manipola con tecniche di ingegneria sociale l'operatore telefonico per trasferire il numero della vittima
• Attacchi SS7 — intercettazione degli SMS a livello dell'infrastruttura delle telecomunicazioni da parte di attori statali
• Phishing in tempo reale — l'aggressore inoltra immediatamente l'OTP dalla vittima al sito di destinazione

Gli OTP via SMS sono meglio dell'assenza di MFA, ma rappresentano la forma più debole.

Le chiavi hardware di sicurezza (YubiKey, Google Titan) utilizzano la crittografia a chiave pubblica. Il dispositivo firma una challenge associata al sito web specifico, rendendo queste chiavi resistenti al phishing: non funzionano sui siti falsi.

Questo è lo standard di riferimento per la MFA.

L'app di autenticazione invia una notifica push: "Approvare l'accesso da New York?" L'utente tocca Approva o Nega. È una soluzione pratica, ma vulnerabile agli attacchi di affaticamento MFA: gli aggressori inviano richieste di approvazione in continuazione, finché un utente stanco non ne approva accidentalmente una.

Chiamati anche push bombing: l'aggressore possiede la password e invia decine di notifiche push MFA, sperando che l'utente ne approvi una per frustrazione o confusione. Contromisura: richieda la corrispondenza dei numeri nella notifica push (l'utente deve inserire un codice visualizzato nella schermata di accesso).

Le passkey (FIDO2/WebAuthn) combinano "qualcosa che si possiede" (la chiave del dispositivo) con "qualcosa che si è" (lo sblocco biometrico) in un'unica credenziale resistente al phishing. Non è necessaria alcuna password. Sono supportate dalle principali piattaforme.

Le moderne piattaforme di gestione delle identità supportano l'accesso condizionale: richiedono la MFA solo quando i segnali di rischio lo indicano (posizione insolita, nuovo dispositivo, risorsa sensibile). L'autenticazione step-up migliora l'esperienza utente mantenendo la sicurezza.

Gli aggressori aggirano la MFA mediante:

• Phishing in tempo reale (AiTM) — un proxy cattura il cookie di sessione dopo la MFA
• SIM swapping — intercettazione dei codici SMS
• Affaticamento MFA — invio massivo di notifiche push
• Ingegneria sociale ai danni dell'help desk — disattivazione della MFA tramite una richiesta di supporto

Quando implementa la MFA:

• Imposti come requisito predefinito la MFA per tutti gli utenti
• Offra più opzioni MFA, rendendo disponibili almeno le chiavi hardware e TOTP
• Informi gli utenti sull'affaticamento MFA: se non hanno avviato loro l'accesso, devono negare la richiesta push
• Monitori i log di autenticazione per individuare schemi di aggiramento della MFA

Quale metodo MFA è resistente al phishing perché associa crittograficamente l'autenticazione al sito web specifico?

La MFA richiede due fattori appartenenti a categorie diverse (conoscenza, possesso, caratteristica personale). Le app TOTP sono una buona soluzione; le chiavi hardware (FIDO2) sono la soluzione migliore, perché resistenti al phishing. Gli OTP via SMS sono i più deboli e vulnerabili al SIM swapping. Gli attacchi di affaticamento MFA inviano notifiche push in continuazione; la corrispondenza dei numeri ne riduce l'efficacia. Le passkey combinano hardware e dati biometrici in un'unica credenziale semplice da usare.