Autenticazione a due fattori (2FA)

Definizione

💡 Autenticazione a due fattori (2FA): Un livello di sicurezza che ti fa dimostrare due volte chi sei prima di accedere alla tua email. Pensa a nome utente e password (qualcosa che conosci), più un codice dal telefono (qualcosa che possiedi). In pratica è come un buttafuori che controlla sia il tuo documento sia il tuo invito prima di farti entrare nel locale.

A cosa serve la 2FA?

Il punto è questo: le password sono pessime per proteggere la tua email. Qualcuno può indovinarle, rubarle in una violazione dei dati o convincerti a consegnarle con una truffa di phishing. E una volta che hanno la tua password, sono dentro.

L'autenticazione a due fattori risolve questo problema richiedendo una seconda prova d'identità. Anche se gli hacker rubano la tua password, non possono comunque accedere al tuo account senza quel secondo fattore (di solito un codice inviato al telefono o generato da un'app di autenticazione). Secondo la ricerca di Google, abilitare la 2FA blocca il 100% degli attacchi automatizzati dei bot e il 96% degli attacchi di phishing su larga scala. Non è un miglioramento da poco.

Per l'email in particolare, questo conta ancora più del solito. La tua casella di posta è la chiave universale per tutto il resto. Reimpostazioni della password, estratti finanziari, documenti di lavoro, conversazioni private. Se qualcuno entra nella tua email, può praticamente prendere il controllo della tua vita digitale. A cosa serve una password robusta se basta un link di phishing per mandare tutto all'aria? La 2FA è il lucchetto che funziona davvero.

Tipi di 2FA

Hai diverse opzioni per quel secondo fattore, e non sono tutte sicure allo stesso modo:

I codici SMS sono i più comuni. Inserisci la password, poi il servizio invia via SMS un codice di 6 cifre al tuo telefono. Semplice, funziona ovunque, ma non è l'opzione più sicura. Nemmeno lontanamente. Gli hacker possono intercettare i messaggi SMS tramite SIM swapping o attacchi di social engineering contro il tuo operatore.

Le app di autenticazione generano codici temporanei che cambiano ogni 30 secondi (per questo si chiamano codici TOTP, ma sorvoliamo). App come Google Authenticator, Authy o Microsoft Authenticator creano questi codici offline, il che le rende molto più difficili da rubare. È quello che la maggior parte degli esperti di sicurezza consiglia per proteggere il tuo account email.

Le chiavi hardware sono dispositivi fisici (come YubiKey, circa 25-50 dollari) che colleghi al computer o tocchi sul telefono. Ti serve l'opzione più sicura? È questa. Sono le più sicure perché letteralmente non c'è nulla che gli hacker possano intercettare. Però devi portarti dietro l'aggeggio, e se lo perdi resti fuori finché non usi il metodo di backup.

L'autenticazione biometrica usa la tua impronta digitale o il tuo volto per verificare che sia proprio tu. Molto comoda sui telefoni, anche se tecnicamente di solito viene usata insieme a un altro fattore invece di sostituirlo del tutto.

La maggior parte delle persone inizia con i codici SMS perché sono facili, poi passa alle app di autenticazione quando capisce che gli SMS non sono un granché. Le chiavi hardware sono pensate soprattutto per chi ha esigenze di sicurezza elevate (giornalisti, attivisti, dirigenti).

Come abilitare la 2FA

Configurarla richiede circa cinque minuti e varia leggermente a seconda del provider.

In Gmail:

• Vai alle impostazioni del tuo Account Google su myaccount.google.com
• Fai clic su Sicurezza nella barra laterale sinistra
• Scorri fino a Come accedi a Google e fai clic su Verifica in 2 passaggi
• Fai clic su Inizia e segui le istruzioni
• Scegli il secondo fattore (numero di telefono per SMS oppure app di autenticazione)
• Salva i codici di backup in un posto sicuro nel caso in cui perdessi l'accesso al telefono

In Outlook:

• Accedi a account.microsoft.com
• Fai clic su Sicurezza in alto
• Seleziona le opzioni di Sicurezza avanzata
• In Verifica in due passaggi, fai clic su Attiva
• Segui la procedura guidata di configurazione (di solito inizia con il tuo numero di telefono)
• Scarica l'app Microsoft Authenticator se invece vuoi usare codici generati dall'app

In Yahoo Mail:

• Vai alla pagina Sicurezza dell'Account Yahoo
• Fai clic su Verifica in due passaggi
• Attivala
• Inserisci il tuo numero di telefono per i codici SMS
• Verifica il codice che ti inviano
• Genera metodi di backup nel caso in cui il telefono si scarichi o smetta di funzionare

Proton Mail in realtà ti fa seguire una procedura leggermente diversa, dato che punta tutto sulla sicurezza. Supporta app di autenticazione TOTP e chiavi hardware, ma deliberatamente non offre gli SMS (perché sono meno sicuri).

Buone pratiche

Usa un'app di autenticazione, non gli SMS. Sì, gli SMS sono più facili da configurare. Ma sono anche più facili da dirottare. Le app di autenticazione sono davvero più sicure e, una volta configurate, quasi altrettanto comode.

Salva subito i tuoi codici di backup. Ogni servizio ti fornisce un set di codici monouso quando abiliti l'autenticazione a due fattori. Fai uno screenshot, stampali, conservali in un gestore di password. Qualunque metodo vada bene. Non saltare questo passaggio, perché quando il telefono si rompe alle 11pm, ti serviranno.

Abilita la 2FA anche sulla tua email di recupero. Se il tuo account email di backup non è protetto, gli hacker possono usarlo per reimpostare la password e aggirare completamente la 2FA. Il che vanifica un po' tutto.

Registra più dispositivi, se possibile. La maggior parte dei servizi ti permette di configurare la 2FA sul telefono e sul tablet. Fallo. Avere una soluzione di riserva ti salva quando un dispositivo non è disponibile.

Non usare ovunque lo stesso secondo fattore. Se usi gli SMS per tutto e qualcuno fa SIM swapping sulla tua linea, può accedere a tutti i tuoi account in una volta sola. Varia un po'. Usa un'app di autenticazione per gli account importanti, gli SMS per quelli meno critici.

Controlla regolarmente i tuoi dispositivi attendibili. Quel portatile aziendale che hai restituito due anni fa? È ancora nell'elenco dei tuoi dispositivi attendibili. Fai un po' di pulizia ogni pochi mesi.

Contenuti correlati

• Privacy di Spark Email: tutto quello che devi sapere
• Spark introduce le Caselle condivise per i team

Termini correlati

• Autenticazione email
• Email di phishing
• Certificato email
• Account email