Cos’è l’autenticazione a due fattori (2FA)?

L’autenticazione a due fattori (2FA), nota anche come verifica in due passaggi, è un processo di sicurezza che richiede due forme di identificazione quando accedi a un account online. Invece di usare solo il tuo nome utente e password per accedere, la 2FA richiede di verificare nuovamente la tua identità per accedere al tuo account.

Dopo aver inserito la tua password, potresti dover inserire un codice generato da un’app di autenticazione sul tuo telefono, collegare una chiave di sicurezza fisica o utilizzare un altro metodo per dimostrare che sei tu a effettuare l’accesso.

Se ti è mai stato inviato un SMS con un codice di accesso per accedere a un sito web dopo aver inserito il tuo nome utente e password, quella è una forma di 2FA.

Perché usare il 2FA?

Le password da sole non sono sufficienti a proteggere i tuoi account online. Molte persone continuano a utilizzare una singola password facile da indovinare per diversi account. Ma anche se utilizzi password forti e uniche per tutti i tuoi account, le tue password potrebbero comunque essere esposte in caso di violazione dei dati.

Con le violazioni dei dati sempre più frequenti e miliardi di password trapelate(nuova finestra) negli ultimi anni, c’è la possibilità che alcune delle tue siano tra queste. Ecco come verificare se la tua email o password sono state compromesse.

Allo stesso modo, gli attacchi di phishing sono in aumento(nuova finestra) e diventano sempre più mirati, quindi anche i professionisti IT più esperti possono cadere vittime. I truffatori potrebbero ingannarti facendoti inserire la tua password su un sito web falso.

Con il 2FA attivato, se una password viene mai scoperta o rivelata tramite phishing o una violazione dei dati, il tuo account online rimarrà al sicuro.

Come funziona il 2FA?

Il 2FA richiede di verificare la tua identità due volte quando effettui l’accesso: prima con il tuo nome utente/password e poi con qualcosa in più come un codice di sicurezza monouso o l’impronta digitale.

Verifica in due passaggi

Ecco i passaggi base per il 2FA, anche se i dettagli variano a seconda del sito web, dell’app e del metodo di autenticazione utilizzato:

Quando visiti un sito web o apri un’app, ti viene chiesto di inserire il tuo nome utente e password per accedere.
I server del sito o dell’app riconoscono il tuo nome utente e password.
Ti viene poi richiesta una seconda forma di autenticazione, come un codice di sicurezza monouso, un’impronta digitale, una chiave fisica da inserire o qualche altro metodo.
Una volta superato il secondo processo di autenticazione – fornendo il codice di sicurezza corretto, l’impronta digitale, ecc. – ti viene concesso l’accesso al tuo account.

In breve, con il 2FA devi fornire il tuo nome utente/password e un altro modo per verificare la tua identità, noto come fattore di autenticazione.

Cosa sono i fattori di autenticazione?

Nel 2FA, i fattori di autenticazione sono i modi con cui puoi dimostrare di essere tu a tentare l’accesso. Ci sono tre tipi principali di fattori di autenticazione utilizzati per gli account online dei consumatori:

Qualcosa che conosci (fattore di conoscenza): una password o frase d’accesso, numero di identificazione personale (PIN) o risposta a una domanda di sicurezza
Qualcosa che possiedi (fattore di possesso): una chiave di sicurezza fisica, telefono cellulare o carta d’identità intelligente
Qualcosa che sei (fattore di inerenza): la tua impronta digitale, volto, iride, retina o altri dati biometrici

Fattori di autenticazione comuni per l'autenticazione a due fattori (2FA)

Alcune app e siti web potrebbero utilizzare altri due fattori per proteggere gli account:

Dove ti trovi (fattore di localizzazione): il luogo da cui stai tentando l’accesso, per esempio, come determinato dal tuo indirizzo IP(nuova finestra) o dal GPS sul tuo telefono cellulare
Che ora è (fattore temporale): l’orario in cui stai tentando l’accesso o il tempo che impieghi per accedere, sulla base dell’ipotesi che l’accesso richieda un tempo limitato e prevedibile.

Quando attivi la 2FA per un account online, se un malintenzionato scopre solo uno di questi fattori, come la tua password, non avrà fortuna. Avrà bisogno di un secondo fattore per accedere al tuo account.

Tipi di 2FA

Siti web e app offrono diversi modi per proteggere il tuo account con la 2FA e non tutti sono ugualmente sicuri. Ecco i cinque principali tipi di 2FA e i pro e i contro di ciascuno.

2FA basata su SMS o voce

Quando attivi la 2FA tramite SMS, devi fornire un numero di cellulare. La prossima volta che effettuerai l’accesso, ti verrà chiesto di inserire un codice di accesso monouso (OTP) di cinque o sei cifre che ti sarà inviato via SMS dopo aver inserito il tuo nome utente e la password. Oppure potresti ricevere il codice tramite un messaggio vocale inviato al tuo telefono.

Anche se è semplice impostare e utilizzare gli SMS per la 2FA, sconsigliamo vivamente questa opzione perché:

Gli SMS non sono criptati e di per sé insicuri. I pirati informatici hanno trovato diversi modi per eludere la 2FA tramite SMS, inclusi l’hacking della rete SS7 per intercettare i codici 2FA e il reindirizzamento dei numeri di telefono con attacchi di SIM swap(nuova finestra).
Devi rivelare il tuo numero di telefono al sito web o all’app.
Se hai impostato il tuo numero di cellulare come metodo per reimpostare la password, un malintenzionato potrebbe potenzialmente accedere al tuo account senza conoscere la password.

App di autenticazione

Il tipo più popolare di 2FA prevede l’uso di un’app di autenticazione sul tuo telefono o computer per generare un codice di accesso monouso basato sul tempo (TOTP). L’app genera un nuovo codice di accesso di sei cifre (noto anche come token software) ogni 30-60 secondi.

Per utilizzare un’app di autenticazione, devi:

Scaricare e installare un’app 2FA gratuita sul tuo telefono o computer. Tra le app di autenticazione più popolari ci sono Authy, Google Authenticator e FreeOTP.
Imposta l’app per ogni account scansionando un codice QR e inserendo un codice di accesso nel sito web o nell’app.

D’ora in poi, ti verrà chiesto di inserire l’attuale codice di accesso di sei cifre dall’app dopo aver inserito il tuo nome utente e la password per accedere.

Usare un’app di autenticazione per la 2FA è sia più sicuro che più comodo rispetto alla 2FA basata su SMS e voce perché:

Puoi usarla senza segnale mobile poiché i codici vengono generati sul tuo dispositivo.
A differenza della 2FA SMS, se qualcuno dirotta il tuo telefono sul loro numero, non possono accedere ai tuoi codici 2FA.

Tuttavia, se il tuo telefono viene rubato o si rompe, sarai anche bloccato fuori dai tuoi account. Quindi assicurati di conservare codici di backup 2FA dove disponibili.

Chiavi di sicurezza 2FA

Una terza opzione per la 2FA è l’uso di una chiave di sicurezza fisica, nota anche come token hardware. Dopo aver inserito il tuo nome utente e la password, ti verrà chiesto di collegare un piccolo dispositivo USB e premere o toccare un pulsante su di esso per accedere al tuo account.

Disponibili in tutte le forme e dimensioni, la maggior parte delle chiavi 2FA è simile a chiavette USB o portachiavi, come questa YubiKey di Yubico.

Considerate ampiamente uno dei metodi 2FA più sicuri, le chiavi di sicurezza sono anche comode. Non hai bisogno di tirare fuori il tuo cellulare e aprire un’app di autenticazione ogni volta che effettui l’accesso.

Come la maggior parte delle popolari chiavi 2FA, le YubiKeys seguono gli standard di autenticazione FIDO U2F e FIDO2.

Per usare una chiave di sicurezza, devi:

Acquistare una chiave e registrarla con il sito web o l’app con cui vuoi usarla.
Dopo aver inserito il tuo nome utente e la password, ti verrà chiesto di collegare la chiave e di solito premere o toccare un pulsante per accedere. Ad esempio, dovrai toccare la “Y” sulla YubiKey sopra.

Per usare le chiavi di sicurezza con i cellulari, prima devi verificare se il tuo telefono o il suo sistema operativo le supporta. Ad esempio, Apple ha introdotto il supporto per le chiavi di sicurezza con iOS 16.3, rilasciato a gennaio 2023.

Poi, puoi collegare la chiave (se hai una chiave compatibile) o appoggiare il telefono sulla chiave (se il telefono e la chiave sono abilitati NFC(nuova finestra)).

Notifica iPhone per collegare la tua chiave di sicurezza per accedere a apple.com con 2FA

Anche se non tutti i siti offrono 2FA con chiavi di sicurezza, è una pratica in crescente popolarità e considerata una delle opzioni più sicure per la 2FA. I principali svantaggi delle chiavi di sicurezza sono:

Devi acquistare una chiave, e non sono ancora economiche.
Se perdi la chiave o viene rubata, perderai l’accesso ai tuoi account a meno che non tu abbia una copia di riserva.
Anche se generalmente considerate sicure, le 2FA basate su hardware come le YubiKeys non sono immuni dagli attacchi hacker(nuova finestra).

Notifiche push 2FA

Alcune piattaforme ora inviano richieste di accesso 2FA, note come notifiche push, direttamente al tuo telefono o computer. Devi semplicemente esaminare la richiesta e rispondere con Sì o No, come nell’esempio di Google qui sotto.

Non hai bisogno di installare un’app, inserire un codice o acquistare una chiave di sicurezza. Le notifiche push sono considerate uno dei metodi 2FA più sicuri perché:

Il sito web o l’app invia la notifica attraverso una connessione sicura direttamente al tuo dispositivo, riducendo notevolmente il rischio di intercettazione.
Le notifiche possono anche includere dettagli sul tentativo di accesso per una maggiore sicurezza — dove ti trovi, il dispositivo che stai utilizzando, ecc. (vedi l’esempio di Google sopra).

Tuttavia, i due principali svantaggi delle notifiche push sono:

Il tuo telefono deve essere connesso a Internet per ricevere la notifica.
Con così tante notifiche popup sul tuo telefono, è facile approvare automaticamente una notifica senza controllare i dettagli.

2FA biometrica

La 2FA biometrica, dove tu stesso sei il token di sicurezza, sta diventando sempre più comune. Le tue impronte digitali, la tua voce o una scansione del tuo viso, dell’iride o della retina possono essere utilizzate per dimostrare che sei proprio tu ad accedere.

Ad esempio, molte app bancarie ti permettono di utilizzare Touch ID su iPhone o Sblocco con impronta su Android per accedere al tuo conto bancario dopo aver inserito le tue credenziali.

Invito ad accedere a un'app bancaria su iPhone utilizzando Touch ID per la 2FA

La verifica biometrica è spesso utilizzata per fornire un terzo metodo di verifica della tua identità per l’autenticazione multi-fattore (MFA).

Poiché i dati biometrici sono difficili da falsificare, sono sempre più utilizzati per fornire metodi di accesso che eliminano l’uso delle password, noti anche come autenticazione senza password(nuova finestra).

Tuttavia, l’autenticazione biometrica non è priva di rischi. Se un sistema di 2FA biometrico viene violato e la tua impronta digitale o la scansione del viso vengono rubate o replicate, non puoi cambiarle.

Qual è la differenza tra 2FA e MFA?

L’autenticazione a due fattori (2FA) è un tipo di autenticazione multi-fattore (MFA).

La 2FA richiede che tu verifichi la tua identità in due modi per accedere a un account. MFA significa semplicemente che devi verificare la tua identità almeno due volte per accedere, di solito in tre modi.

Ad esempio, per accedere con MFA, potresti dover:

Inserire una password
Rispondere a una domanda di sicurezza
Fornire un’impronta digitale, inserire un codice pass da un’app di autenticazione o utilizzare una chiave di sicurezza fisica

Le organizzazioni che richiedono un livello di sicurezza più elevato utilizzano MFA. Ad esempio, banche, strutture sanitarie e agenzie governative spesso richiedono di impostare MFA quando ti registri con loro.

Come attivare la 2FA

Sempre più siti web e app offrono ora almeno un metodo per la 2FA. Ecco come impostare la 2FA per Proton e altre principali piattaforme tecnologiche.

Attiva la 2FA di Proton

Per attivare la 2FA e impostare un’app di autenticazione con il tuo Account Proton:

Accedi al tuo account Proton su account.proton.me.
Clicca su Impostazioni → Tutte le impostazioni → Account e password → Autenticazione a due fattori e attiva l’interruttore App di autenticazione.

Interruttore dell'app di autenticazione per abilitare l'autenticazione a due fattori per Proton Mail

Segui le istruzioni a schermo per completare la configurazione.

Scopri come impostare la 2FA con Proton

Puoi anche impostare una chiave di sicurezza 2FA con Proton.

Attiva la 2FA di Google

Google denomina la Verifica in due passaggi come 2FA. Per attivare la Verifica in due passaggi per il tuo account Google:

Accedi al tuo account Google su myaccount.google.com(nuova finestra).
Dal menu a sinistra, seleziona Sicurezza.
Vai su Accesso a Google e seleziona Verifica in due passaggi.
Segui le istruzioni a schermo per completare la configurazione.

Quando configuri la tua app di autenticazione, Google ti suggerisce di usare l’app Google Authenticator. Ma puoi utilizzare qualsiasi app che supporti il TOTP.

Attiva la 2FA di Apple (iPhone/iPad/Mac)

Per attivare la 2FA sui tuoi dispositivi Apple:

Accedi con il tuo ID Apple su appleid.apple.com(nuova finestra).
Rispondi alle tue domande di sicurezza, poi clicca su Continua.
Quando appare la notifica per migliorare la sicurezza dell’account, clicca su Continua.
Clicca su Migliora la Sicurezza dell’Account e segui le istruzioni a schermo.

Puoi anche attivare la 2FA usando il tuo iPhone, iPad o Mac(nuova finestra).

Attiva la 2FA di Microsoft

Microsoft denomina la 2FA Verifica in due passaggi. Per attivare la Verifica in due passaggi per il tuo account Microsoft:

Accedi al tuo account Microsoft su account.microsoft.com(nuova finestra).
Vai su Sicurezza → Principi di sicurezza → Opzioni di sicurezza avanzate.
Sotto Verifica in due passaggi, scegli Imposta la verifica in due passaggi per attivarla.
Segui le istruzioni a schermo per completare la configurazione.

Come per Google, anche Microsoft ti suggerisce di usare la propria app di autenticazione (Microsoft Authenticator). Ma puoi utilizzare qualsiasi app di autenticazione che supporti il TOTP.

Codici di backup della 2FA

Se utilizzi un’app di autenticazione su un dispositivo mobile o una chiave di sicurezza 2FA, e il tuo dispositivo viene perso, rubato o compromesso in altro modo, potresti perdere l’accesso ai tuoi account. Per questo motivo, la maggior parte dei siti ti offre codici di backup della 2FA — un codice (o più codici) che puoi utilizzare per accedere se i tuoi metodi 2FA non funzionano.

Scarica o stampa i codici e tienili in un luogo sicuro. Puoi anche portare con te i codici cartacei se viaggi in luoghi dove il segnale mobile o la ricarica della batteria sono inaffidabili.

Per account importanti, è una buona idea impostare più di un metodo 2FA, se possibile, così che se uno non funziona, puoi utilizzare l’altro.

La 2FA è sicura?

Nessun metodo di accesso è sicuro al 100%, ma l’utilizzo di qualsiasi forma di 2FA è decisamente più sicuro rispetto all’uso di una sola password.

Tuttavia, non tutti i metodi di 2FA sono uguali. Consigliamo di utilizzare app di autenticazione e/o chiavi di sicurezza per la 2FA, e non gli SMS, che possono essere intercettati.

Anche la biometria, come le impronte digitali e il riconoscimento facciale, è generalmente considerata sicura. Tuttavia, se vivi negli Stati Uniti, non è ancora chiaro se un tribunale possa costringerti a sbloccare il tuo dispositivo con la biometria(nuova finestra).

Qualunque sia il metodo di 2FA che utilizzi, è forte quanto l’anello più debole, che di solito è la password. In futuro, le piattaforme online si orienteranno probabilmente verso metodi di autenticazione che utilizzano un fattore altamente sicuro e non basato sulla conoscenza, eliminando del tutto le password(nuova finestra).

Ad esempio, Apple ha introdotto i passkey(nuova finestra), che utilizzano Face ID o Touch ID per identificarti quando accedi a siti web e app compatibili—senza bisogno di password. I passkey sono altamente sicuri, poiché sono memorizzati sui tuoi dispositivi e collegati criptograficamente al sito web o all’app per cui sono stati creati.

Utilizza la 2FA ovunque

Sempre più siti web e app offrono l’autenticazione a due fattori per proteggere i tuoi dati personali online.

Anche se alcuni metodi di 2FA, come gli SMS, sono meno sicuri di altri, qualsiasi 2FA è molto più sicura dell’uso di una sola password. Quindi, attiva la 2FA dove puoi e scegli il metodo più sicuro e comodo per te.

Quando imposti la 2FA per gli account, non dimenticare di scaricare o stampare i codici di backup dove disponibili. Molte piattaforme, come Proton, ti consentono anche di impostare la 2FA con un’app di autenticazione e una chiave di sicurezza, così hai sempre un piano di riserva.

Se vuoi proteggere ulteriormente la tua privacy online, perché non assicurare le tue informazioni personali con un Account Proton gratuito? Con Proton Mail, Proton Calendar, Proton Drive e Proton VPN(nuova finestra) crittografati end-to-end, nessuno tranne te può accedere ai tuoi dati. Neanche Proton. Resta sicuro!