Tipi di autenticazione a più fattori: fattori, metodi ed esempi

Negli ultimi anni, siamo passati dall'utilizzare poche password alla gestione di decine di account online. E naturalmente, le password vengono riutilizzate, divulgate e finiscono nelle mani sbagliate . Ecco perché l'autenticazione a più fattori (MFA) non è più appannaggio esclusivo di banche e grandi aziende; è diventata una misura di sicurezza fondamentale per quasi tutti i servizi digitali.

L'idea è semplice: invece di affidarsi esclusivamente a una password, diversi fattori indipendenti vengono combinati per verificare l'identità . Analizzeremo le diverse tipologie di fattori, i metodi specifici attualmente in uso, il funzionamento interno dell'autenticazione a più fattori (MFA), il ruolo della biometria, dell'autenticazione basata sul rischio e delle chiavi di sicurezza, nonché i vantaggi e gli svantaggi per individui e organizzazioni.

Cos'è l'autenticazione a più fattori e perché è diventata essenziale?

L'autenticazione a più fattori, o MFA, è un meccanismo di sicurezza che richiede due o più prove di identità distinte prima di concedere l'accesso a un account, un'applicazione, una rete aziendale o qualsiasi altra risorsa digitale. Tradizionalmente, nome utente e password erano sufficienti, ma questa combinazione è sempre più facile da compromettere tramite violazioni di dati, phishing o attacchi di forza bruta.

Con l'autenticazione a più fattori (MFA), oltre alla password, il sistema richiede altri tipi di prova: un codice temporaneo, la conferma tramite un'app, l'impronta digitale, una chiave di sicurezza fisica o persino la posizione geografica . Il punto chiave è che questi fattori sono di natura diversa, quindi comprometterne uno non consente di aggirare gli altri.

In molti servizi, l'autenticazione a più fattori (MFA) viene indicata con nomi come "verifica in due passaggi", "autenticazione a due fattori" o "2FA". A rigor di termini, la 2FA è un tipo specifico di MFA che utilizza esattamente due fattori , mentre l'MFA può includerne tre o più. Ma in termini pratici, tutti questi meccanismi mirano allo stesso obiettivo: impedire che il furto di una password sia sufficiente per assumere il controllo di un account.

Tipi di fattori di autenticazione utilizzati in MFA

Quando parliamo di autenticazione a più fattori, non ci riferiamo semplicemente all'aggiunta di "ulteriori passaggi fine a se stessi". Ogni fattore appartiene a una categoria diversa e fornisce un ulteriore livello di sicurezza . Tradizionalmente, si riconoscono tre gruppi principali, ai quali se ne stanno aggiungendo altri due, sempre più rilevanti.

Il primo fattore è la conoscenza: qualcosa che l'utente sa e che, in teoria, solo lui dovrebbe sapere . Questo include password, PIN, sequenze di sblocco e risposte alle domande di sicurezza.

Il secondo fattore è il possesso: qualcosa che l'utente ha fisicamente in suo possesso . Potrebbe trattarsi di un telefono cellulare, una carta con chip, un token che genera chiavi monouso o una chiave di sicurezza USB compatibile con FIDO.

Il terzo fattore è l'inerenza: qualcosa che l'utente è, ovvero tratti biometrici o modelli comportamentali . Parliamo di impronte digitali, riconoscimento facciale, scansione dell'iride, riconoscimento vocale o persino stile di digitazione.

Negli ultimi anni, due fattori aggiuntivi hanno acquisito importanza: la tua posizione e le tue attività durante l'utilizzo del sistema . La geolocalizzazione (basata su IP o GPS) e la biometria comportamentale vengono utilizzate nei modelli adattivi, in cui il livello di sicurezza cambia in base al rischio di ogni tentativo di accesso.

I quattro principali tipi di autenticazione a più fattori

Sulla base di queste categorie di base, possiamo parlare di quattro tipi principali di autenticazione all'interno di uno schema MFA, che molte soluzioni combinano a seconda del contesto e del livello di rischio:

1. Autenticazione basata sulla conoscenza

Questo tipo di autenticazione si concentra su informazioni che l'utente ricorda e che non dovrebbero essere facilmente indovinabili . Oltre alla password tradizionale, include PIN numerici di quattro o sei cifre e domande di sicurezza.

Le domande segrete ("Qual era il nome del tuo primo animale domestico?", "Dove sei nato?") sono un classico esempio, ma vengono sempre più messe in discussione perché molte risposte si possono trovare con una semplice ricerca sui social media . Una buona pratica è quella di inserire risposte false ma facili da ricordare, in modo che non possano essere collegate alla propria vita reale.

2. Autenticazione basata sul possesso

In questo caso, la verifica si basa su un oggetto o una risorsa digitale che dovrebbe essere sotto il controllo esclusivo dell'utente . Un esempio comune è il codice che si riceve via SMS quando si accede all'online banking o si cambia la password di un servizio.

Questa categoria comprende telefoni cellulari, token di sicurezza fisici, smart card, certificati digitali, account di posta elettronica utilizzati come secondo canale e app di autenticazione che generano codici temporanei . Il sistema presuppone che, se è possibile leggere il codice o confermare una notifica su quel dispositivo, significa che il dispositivo è effettivamente di proprietà dell'utente.

3. Autenticazione basata sull'inerenza (biometria)

L'autenticazione intrinseca utilizza caratteristiche fisiche o comportamentali che identificano un individuo . I moderni telefoni cellulari hanno normalizzato l'uso di lettori di impronte digitali e riconoscimento facciale per sbloccare il dispositivo o autorizzare i pagamenti.

Negli ambienti più avanzati, vengono utilizzati anche scanner dell'iride, riconoscimento vocale e analisi della digitazione sulla tastiera. Il vantaggio della biometria risiede nel fatto che non è necessario ricordare nulla o portare con sé un dispositivo aggiuntivo , ma in cambio si pongono significative sfide in termini di privacy e protezione dei dati.

4. Autenticazione basata sulla posizione e sul contesto

Nelle architetture "zero trust" e MFA adattiva, anche la posizione e il contesto sono considerati tipi di autenticazione. Il sistema valuta da dove ci si connette, con quale dispositivo, a che ora e con quale schema comportamentale , e adegua i requisiti di conseguenza.

Ad esempio, l'accesso dallo stesso laptop e dalla stessa città di sempre potrebbe richiedere un solo fattore biometrico, mentre l'accesso da un altro Paese o da una rete Wi-Fi pubblica potrebbe richiedere un codice aggiuntivo o addirittura bloccare la richiesta. Questo approccio riduce gli ostacoli per gli utenti abituali e rafforza l'accesso in caso di attività sospette.

Esempi dei metodi di autenticazione multifattoriale più comunemente utilizzati

Questi fattori costituiscono la base per i vari metodi pratici di autenticazione a più fattori (MFA) che vediamo ogni giorno. Ognuno di essi presenta un diverso equilibrio tra sicurezza, praticità e costo , ed è comune combinarne diversi.

Password monouso basate sul tempo (TOTP)

I TOTP sono codici, solitamente di sei cifre, validi solo per pochi secondi (in genere da 30 a 60). Vengono generati da un'app di autenticazione o da un gestore di password che supporta questo standard.

Il procedimento è semplice: dopo aver inserito nome utente e password, apri l'app, copi il codice visualizzato e lo inserisci nel servizio . Poiché sia ​​il server che la tua app condividono una chiave segreta iniziale, possono generare lo stesso codice per ogni intervallo di tempo senza bisogno di connettersi tra loro.

Questo metodo è molto robusto perché il codice non viaggia attraverso canali non sicuri e scade in pochi secondi . Per rubarlo, un malintenzionato dovrebbe compromettere il dispositivo su cui vengono generati i codici o averne il possesso fisico.

Codici monouso inviati tramite SMS

Questa è forse la forma più diffusa di autenticazione a due fattori: inserisci la tua password e ricevi un codice tramite SMS sul tuo cellulare . Inserisci questo codice sul sito web o sull'app e il sistema ti consente l'accesso.

Il vantaggio principale è la sua semplicità: non è necessario installare nulla di aggiuntivo e quasi tutti possiedono un telefono in grado di ricevere messaggi SMS . Per questo motivo rimane molto popolare, soprattutto per i servizi destinati al mercato di massa.

Il problema è che si tratta di uno dei metodi meno sicuri. I numeri di telefono sono relativamente facili da reperire e gli attacchi di spoofing della SIM, l'intercettazione degli SMS e le tecniche di ingegneria sociale degli operatori telefonici consentono ai criminali di ottenere quei codici al posto vostro. Ciononostante, utilizzare gli SMS è preferibile a non abilitare affatto l'autenticazione a più fattori quando non ci sono altre opzioni.

Codici di verifica e-mail

Alcuni servizi scelgono di inviare il codice temporaneo al tuo indirizzo email . Il funzionamento è simile a quello degli SMS e presenta gli stessi rischi: se qualcuno ottiene l'accesso alle tue credenziali email principali, può intercettare anche i codici.

Pertanto, se utilizzi l'autenticazione a più fattori (MFA) basata sulla posta elettronica, è fondamentale che l'accesso alla tua casella di posta sia protetto da una password univoca e da una propria MFA , e che tu sappia come identificare le email di phishing . La posta elettronica è spesso la chiave di recupero per quasi tutti i tuoi account.

Elenchi di codici monouso pregenerati

Alcune banche e servizi più datati utilizzano ancora un elenco di codici univoci, stampati o salvati come documento . Ogni volta che si effettua una transazione, l'applicazione richiede il "codice numero X" e lo si deve barrare dall'elenco.

Dal punto di vista della sicurezza, è un sistema accettabile perché i codici vengono consegnati offline e non possono essere intercettati durante la trasmissione . Il principale punto debole è lo spazio di archiviazione: se qualcuno ruba quell'elenco, avrà accesso a tutte le autorizzazioni future.

Applicazioni di autenticazione dedicate

Le app di autenticazione sono diventate la soluzione preferita da molti esperti perché offrono un ottimo equilibrio tra sicurezza e praticità . Google Authenticator, Microsoft Authenticator, Authy o le funzionalità integrate in alcuni gestori di password generano codici TOTP o visualizzano notifiche push per approvare l'accesso.

Nel caso delle notifiche push, quando si tenta di accedere, si riceve una notifica sul proprio dispositivo mobile con un pulsante per approvarla o rifiutarla . È comodo, ma ha anche portato ad attacchi di "affaticamento da autenticazione a più fattori" (MFA): l'aggressore ripete i tentativi di accesso finché la vittima, stufa di ricevere pop-up, ne accetta uno per errore.

Token e chiavi di sicurezza hardware (FIDO U2F / FIDO2)

I token fisici sono dispositivi specializzati il ​​cui unico scopo è verificare la tua identità con il servizio con un livello di sicurezza molto elevato . Alcuni sono dotati di schermo e generano codici, mentre altri si connettono tramite USB, NFC o Bluetooth e funzionano senza problemi.

Le chiavi basate su FIDO U2F o FIDO2 (come YubiKey o Google Titan) fanno un ulteriore passo avanti: non solo autenticano l'utente, ma verificano anche la legittimità del servizio . Grazie alla crittografia a chiave pubblica, la tua chiave risponde solo alle richieste generate dal sito reale, eliminando virtualmente il rischio di phishing tradizionale.

Dal punto di vista dell'utente, il processo è molto semplice: si inserisce la chiave o la si avvicina al telefono e si tocca il sensore . In background, avviene uno scambio crittografico che un malintenzionato non può riprodurre nemmeno se è in possesso della password.

Autenticazione biometrica (impronta digitale, viso, iride, voce)

La biometria si è diffusa grazie a smartphone e computer portatili, dove viene utilizzata sia per sbloccare il dispositivo che per autorizzare pagamenti o accedere ad applicazioni sensibili . In molti casi, viene impiegata come fattore locale che consente l'accesso a chiavi memorizzate sul dispositivo stesso.

Un grande vantaggio è la facilità d'uso: basta appoggiare il dito sullo schermo, guardare la fotocamera o parlare nel microfono, e il gioco è fatto . Non c'è bisogno di ricordare codici o di portarsi dietro dispositivi aggiuntivi. Le implementazioni moderne includono il rilevamento della vitalità per impedire che una foto, uno stampo in silicone o una registrazione vocale vengano scambiati per un utente reale.

Il problema principale è che i dati biometrici non possono essere "resettati" se vengono divulgati . Se qualcuno ruba la tua impronta digitale o il modello facciale, non puoi cambiare le tue impronte digitali o il tuo viso. Ecco perché molti sistemi memorizzano queste informazioni in forma crittografata e solo sul dispositivo, senza inviarle a un server.

Autenticazione tramite posizione e comportamento

Molti servizi utilizzano già silenziosamente elementi relativi alla tua posizione e al tuo comportamento come segnali di autenticazione aggiuntivi . Se un tentativo di accesso proviene da un Paese in cui non sei mai stato, nel cuore della notte e da un browser nuovo, è probabile che venga attivato un ulteriore controllo.

Queste soluzioni si basano sull'intelligenza artificiale e sull'apprendimento automatico per apprendere i modelli tipici di ciascun utente e assegnare punteggi di rischio ai tentativi di accesso . Se il rischio è basso, saranno sufficienti nome utente e password; se è medio, sarà richiesto un secondo fattore di autenticazione; e se è alto, l'accesso verrà negato immediatamente.

Differenze tra 2FA, MFA, SSO e altri termini correlati

Nel mondo dell'autenticazione, è facile confondersi con tanti acronimi. È importante capire cosa significa ognuno di essi per scegliere l'approccio giusto in base al livello di protezione necessario.

L'autenticazione a due fattori (2FA) è un tipo specifico di autenticazione a più fattori (MFA) che richiede esattamente due diversi tipi di verifica . Un esempio classico è una password più un codice TOTP, oppure una password più una conferma via SMS.

L'autenticazione a più fattori (MFA) è un termine più ampio che include qualsiasi combinazione di due o più fattori appartenenti a categorie diverse . In altre parole, tutta l'autenticazione a due fattori (2FA) è MFA, ma non tutta l'MFA si limita a due passaggi.

Il Single Sign-On (SSO) è un altro tassello fondamentale: consente l'accesso a più applicazioni con un unico login centralizzato . Spesso viene combinato con l'autenticazione a più fattori (MFA) per proteggere l'accesso principale; una volta effettuato l'accesso, l'utente può passare da un servizio all'altro senza dover reinserire le credenziali ogni volta.

L'autenticazione si divide anche in in-band (quando il secondo fattore viene verificato sullo stesso canale della password) e out-of-band (quando viene utilizzato un secondo canale, come ad esempio una rete mobile). In genere, i canali separati sono considerati più sicuri , a condizione che il secondo canale non sia facilmente vulnerabile.

Autenticazione adattiva e basata sul rischio

L'autenticazione a più fattori (MFA) tradizionale tratta tutti i tentativi di accesso allo stesso modo, ma in pratica non tutti gli accessi comportano lo stesso livello di rischio . Accedere dal proprio laptop abituale per leggere la posta elettronica non è la stessa cosa che tentare di modificare i dati di pagamento da un nuovo browser in un altro continente.

L'autenticazione adattiva o basata sul rischio introduce un ulteriore livello di intelligenza: analizza il contesto e il comportamento per decidere quali fattori richiedere in un dato momento . Ciò tiene conto di variabili come l'indirizzo IP di origine, la geolocalizzazione, il dispositivo, il sistema operativo, l'ora del giorno, la cronologia dei tentativi di accesso non riusciti e il ruolo dell'utente.

Le soluzioni più avanzate utilizzano algoritmi di apprendimento automatico per creare un profilo di ciascun account e rilevare schemi sospetti . A ogni evento viene assegnato un punteggio di rischio e, in base a tale punteggio, viene concesso l'accesso, viene richiesta un'autenticazione a più fattori (MFA) aggiuntiva oppure l'account viene bloccato.

In questo modo si raggiunge un buon equilibrio tra sicurezza ed esperienza utente : il sistema diventa "pesante" solo in presenza di chiari segnali di pericolo, riducendo l'affaticamento da autenticazione a più fattori e migliorando l'adozione.

Biometria comportamentale e autenticazione continua

Oltre alla verifica dell'identità al momento dell'accesso, l'autenticazione continua durante l'intera sessione sta diventando sempre più importante . È qui che entra in gioco la biometria comportamentale: analizzando il modo in cui si digita, si muove il mouse o si interagisce con il dispositivo.

Se, nel bel mezzo di una sessione, il sistema rileva che il modo in cui digiti o scorri lo schermo si discosta significativamente dal tuo schema abituale , potrebbe interpretarlo come un tentativo di accesso non autorizzato al computer e attivare meccanismi di difesa, oltre a controllare l'accesso e le modifiche ai file.

Questo approccio presenta un interessante vantaggio: aumenta la sicurezza senza richiedere nulla di aggiuntivo all'utente nella maggior parte dei casi . Solo quando il comportamento cambia in modo significativo, la sessione viene interrotta o vengono richieste misure aggiuntive.

Regolamentazione e autenticazione forte: il caso PSD2 e SCA

Nei settori regolamentati, come quello finanziario o sanitario, l'autenticazione a più fattori ( MFA) non è solo una buona idea, ma un requisito legale o di conformità . Un chiaro esempio in Europa è la direttiva PSD2, che ha introdotto l'autenticazione forte del cliente (SCA) per i pagamenti elettronici.

L'autenticazione forte del cliente (SCA) richiede che le transazioni sensibili siano validate con almeno due fattori appartenenti a categorie diverse (conoscenza, possesso e identità) . Ciò ha portato milioni di utenti europei ad abituarsi a ricevere codici sui propri telefoni cellulari o a confermare i pagamenti con dati biometrici quando effettuano acquisti online.

Oltre alla PSD2, normative come il GDPR, l'HIPAA e il PCI DSS valorizzano o richiedono esplicitamente l'utilizzo dell'autenticazione a più fattori (MFA) per proteggere i dati personali, sanitari e delle carte di credito . Per le aziende, l'implementazione dell'MFA contribuisce a ridurre il rischio di sanzioni e a dimostrare la dovuta diligenza in caso di incidente.

Vantaggi e svantaggi dell'autenticazione a più fattori

Il Master of First Aid (MFA) è diventato uno standard a tutti gli effetti, ma non è una soluzione miracolosa e presenta dei limiti . È importante essere consapevoli sia dei suoi punti di forza che delle sue restrizioni.

Tra i vantaggi vi è la drastica riduzione del rischio di accesso non autorizzato: anche se una password viene divulgata a seguito di una violazione o rubata tramite phishing , l'attaccante deve superare ulteriori ostacoli. Ciò scoraggia molti attacchi automatizzati e aumenta il costo di quelli mirati.

Contribuisce inoltre a mitigare l'impatto del furto di credenziali riutilizzate: gli attacchi di credential stuffing, che tentano di utilizzare password rubate su più servizi, falliscono se tali servizi richiedono l'autenticazione a più fattori (MFA) . Inoltre, rafforza la fiducia di clienti e dipendenti dimostrando che i loro dati vengono trattati con cura.

Tra gli svantaggi, l'autenticazione a più fattori (MFA) introduce alcune complicazioni: più passaggi, una maggiore probabilità che qualcuno si confonda, perda il token o venga temporaneamente bloccato . Richiede investimenti in licenze, integrazione e supporto, e non tutti i sistemi legacy sono compatibili con i metodi più recenti.

D'altro canto, non tutti i fattori sono ugualmente resistenti al phishing o all'ingegneria sociale . I codici SMS o e-mail possono comunque essere intercettati tramite siti web falsi, malware o tecniche ingannevoli. Solo metodi come le chiavi FIDO2 o le password ben implementate offrono una solida protezione contro questo tipo di attacchi.

Le migliori pratiche per l'implementazione dell'MFA nelle aziende e per gli utenti

Affinché l'autenticazione a più fattori faccia davvero la differenza, è importante progettare una strategia ben studiata e non limitarsi ad "attivare la prima opzione disponibile ". Alcuni consigli di base possono aiutarti a sfruttarla al meglio senza compromettere l'esperienza utente.

In un'organizzazione, è consigliabile iniziare identificando gli account e le applicazioni più critici (amministratori, accesso remoto sicuro , sistemi di pagamento, dati sensibili) e rendere obbligatoria l'autenticazione a più fattori (MFA) per questi casi. Da lì, si può estendere gradualmente a tutti gli altri utenti.

È consigliabile offrire diversi metodi di autenticazione a due fattori, in modo che ogni persona possa scegliere quello più adatto alle proprie esigenze : app di autenticazione, chiave di sicurezza, dati biometrici, ecc. Ove possibile, è preferibile dare la priorità ai metodi resistenti al phishing rispetto a SMS o e-mail.

È inoltre fondamentale definire procedure sicure per il recupero dell'account . Un'autenticazione a più fattori (MFA) robusta è di scarsa utilità se, in caso di smarrimento del telefono, l'utente può aggirarla rispondendo a domande banali o utilizzando un link non sicuro.

Infine, la formazione fa una grande differenza: spiegare chiaramente perché si adotta l'autenticazione a più fattori (MFA), come funziona ciascun metodo e quali segnali indicano una potenziale frode aumenta l'accettazione e riduce gli errori che i malintenzionati cercano di sfruttare.

Tenendo conto di tutto quanto sopra, risulta più chiaro perché l'autenticazione a più fattori sia diventata una componente centrale della moderna sicurezza informatica: combinando qualcosa che si conosce, qualcosa che si possiede, qualcosa che si è e il contesto in cui ci si connette, alza notevolmente il livello di difficoltà per qualsiasi attaccante , offre la possibilità di conformarsi a normative rigorose e, se ben progettata, consente un ragionevole equilibrio tra protezione e praticità sia per i singoli utenti che per le aziende.