Che cos'è l'autenticazione a due fattori o 2FA?

Che cos'è l'autenticazione a due fattori o 2FA?

Quando si tratta della sicurezza online della tua organizzazione, la prudenza non è mai troppa. Il volume e la natura sofisticata delle minacce alla sicurezza informatica sono in rapido aumento; Malwarebytes riporta che gli attacchi ai danni delle aziende sono aumentati del 13% nel 2019. Di conseguenza, molte aziende stanno analizzando le proprie pratiche di sicurezza informatica con un occhio più critico. Dopotutto, una quantità significativa di informazioni personali, finanziarie e riservate è registrata in account aziendali online ed eventuali violazioni di dati spesso causano perdite di fatturato. Per la maggior parte delle organizzazioni, c'è un semplice passaggio che può contribuire a disciplinare meglio i dipendenti di tutta l'azienda per quanto riguarda la sicurezza informatica: l'autenticazione a due fattori o 2FA, dall'inglese "two-factor authentication".

L'autenticazione a due fattori

Che cos'è l'autenticazione a due fattori? L'autenticazione è il processo di verifica dell'identità di un utente che si effettua prima di accedere a un sistema informatico o a un account online. Ci sono tre principali "fattori" per l'autenticazione: un fattore di conoscenza (qualcosa che si conosce, come una password o un PIN), un fattore di possesso (qualcosa che si possiede, come un dispositivo mobile o una carta d'identità) e un fattore intrinseco (qualcosa che si è, come un'impronta digitale o la voce). Esistono anche "fattori di posizione" e "fattori temporali", tuttavia sono molto meno comuni. Con autenticazione a due fattori si intende quindi che il sistema di sicurezza utilizza due dei fattori citati.

In altre parole, l'autenticazione a due fattori costituisce un secondo livello di sicurezza in aggiunta alla password o al codice PIN. Se, dopo aver effettuato l'accesso con la password, ti è mai stato chiesto di inserire un codice numerico che ti è stato inviato su un dispositivo mobile per dimostrare la tua identità, hai già familiarità con l'autenticazione a due fattori. Tuttavia, la ricezione di un codice SMS non è l'unico metodo di autenticazione a due fattori. Esiste un'ampia gamma di opzioni, tra cui app di autenticazione, notifiche push, token software, autenticazione vocale e così via. Nella maggior parte dei casi, tuttavia, è probabile che il livello supplementare di sicurezza sia un codice SMS.

Che cos'è un'applicazione di autenticazione?

Mentre probabilmente hai già familiarità con la maggior parte dei tipi di autenticazione a due fattori come SMS, messaggi vocali e notifiche push, potresti non averne altrettanta con le applicazioni di autenticazione. In realtà il loro funzionamento è molto semplice. Ma che cosa fanno concretamente? Si tratta di applicazioni per telefono che generano codici di verifica che puoi utilizzare per dimostrare la tua identità quando accedi a un sito web o a un'applicazione. Ci sono diverse app di autenticazione tra cui scegliere, ad esempio Google Authenticator, Duo Mobile e Authenticator, le quali utilizzano più o meno la stessa procedura.

Le applicazioni di autenticazione sono generalmente considerate una soluzione di 2FA leggermente più sicura rispetto al codice SMS. Questo perché, tecnicamente, gli SMS non sono elementi che possiedi fisicamente, ma messaggi che ti vengono inviati e, in quanto tali, lasciano spazio a una piccola probabilità che gli hacker inducano il tuo operatore telefonico a portare il tuo numero su un altro dispositivo (questo tipo di frode viene chiamato "SIM swap"). Supponendo che disponga già della tua password, un utente malintenzionato potrebbe avere in questo modo libero accesso al tuo account. I codici di verifica delle applicazioni di autenticazione invece scadono molto in fretta (in genere dopo 20 o 30 secondi) e rimangono interamente all'interno dell'app.

Come funziona la 2FA? Una volta configurata l'autenticazione a due fattori sul tuo sistema, che si tratti di un'app di autenticazione, notifiche push o SMS, è piuttosto semplice da usare. Ecco le istruzioni dettagliate per configurare la 2FA:

1. L'utente si trova davanti alla schermata di login del sito web o dell'applicazione a cui vuole accedere.
   
2. L'utente inserisce username e password, soddisfacendo il primo fattore di sicurezza.
   
3. Una volta che il sito ha riconosciuto l'utente, è necessario completare il secondo passaggio del processo di login. In questa fase, l'utente deve dimostrare di essere in possesso di un elemento, come una carta di identità o uno smartphone, che soddisfi il secondo fattore di sicurezza (ad es. "possesso"). Nella maggior parte dei casi, all'utente verrà inviato un codice di sicurezza monouso da utilizzare per confermare la propria identità.
   
4. Infine, l'utente inserisce la chiave di sicurezza. Una volta che questa è stata autenticata dal sito, all'utente viene concesso l'accesso.

Perché usare l'autenticazione a due fattori?

Quando si tratta di sicurezza online, il fattore di autenticazione più comune è decisamente la combinazione nome utente/password. Ciò significa che la maggior parte dei sistemi utilizza solo l'autenticazione a fattore singolo. Sebbene le password siano da decenni il principale standard di sicurezza informatica, ci sono svariati motivi per cui potremmo ritenerle superate. Innanzitutto, le password sono relativamente semplici da indovinare. Gli esseri umani tendono ad avere una scarsa memoria e, in molti casi, le password che scegliamo sono così facili da indovinare da risultare comiche: "password", "12345", "querty" e così via.

È importante ricordare, inoltre, che oggi le persone hanno più account online rispetto a quando sono state introdotte le password e perciò abbiamo troppe password da tenere a mente. Di conseguenza, gli utenti "riciclano" le password riutilizzandole per più account, semplificando l'accesso agli hacker. Quando si pensa all'aumento dei crimini informatici, come ad esempio il furto di dati di Yahoo nel 2013, in cui furono hackerati 3 miliardi di account, è facile capire perché le password potrebbero non rappresentare più la forma di protezione più sicura.

Anziché una vera e propria 2FA, alcuni siti web utilizzano una domanda di sicurezza come secondo fattore. Ad esempio, potrebbe venirti richiesto di rispondere a una domanda come "Qual è il cognome da nubile di tua madre?" o "Qual è il nome del tuo primo animale domestico?" Tuttavia, questa pratica presenta una lunga serie di punti deboli. Avendo accesso a una tale abbondanza di informazioni personali sul web, gli hacker sono spesso in grado di indovinare le risposte a queste domande piuttosto basilari. Inoltre, è importante notare che questa pratica non rappresenta una vera e propria 2FA, in quanto le domande di sicurezza non sono altro che un secondo fattore di conoscenza. Fondamentalmente, stai rafforzando una password con una seconda password. In tal senso, si avvicina molto di più all'autenticazione a due passaggi (2SV, dall'inglese "two-step verification"), la quale non richiede diversi fattori, bensì diversi passaggi.

Per concludere, le password sono la forma più bassa di sicurezza e perciò si sta diffondendo sempre di più l'autenticazione a due fattori come standard di sicurezza basilare per le aziende.

Oltre l'autenticazione a due fattori

Come puoi vedere, i vantaggi relativi alla 2FA sono significativi. Tuttavia, l'autenticazione a due fattori non è la soluzione definitiva per la sicurezza informatica. Tutt'altro. In fondo, non si tratta di un metodo infallibile. Se un utente malintenzionato volesse ottenere l'accesso ai tuoi sistemi informatici, gli basterebbe effettuare una ricerca fisica della tua sede per trovare, con molta probabilità, un dispositivo di identificazione di un dipendente o un dispositivo di archiviazione non più in uso in cui sono ancora salvate delle password. Inoltre, gli hacker possono intercettare i messaggi tramite e-mail di phishing, aggirando in questo modo il secondo fattore di autenticazione. In definitiva, la 2FA è tanto efficace quanto l'elemento più debole del processo di sicurezza.

Dunque, che alternative ci sono? Innanzitutto, la 2FA non è altro che il sottoinsieme di un concetto più ampio, ossia l'autenticazione a più fattori (MFA, dall'inglese "multi-factor authentication"). Teoricamente, è possibile effettuare un'autenticazione a tre fattori, a quattro fattori, a cinque fattori e così via fino all'infinito. Sebbene gli utenti comuni non sarebbero disposti a usare un metodo di autenticazione che vada oltre i due fattori, le persone che lavorano in ambienti ad alta sicurezza potrebbero utilizzare un'autenticazione a tre fattori (3FA), che solitamente prevede un fattore fisico, come un'impronta o una scansione oculare.

Proteggere i file con l'autenticazione a due fattori

L'importanza di proteggere i file e i contenuti della tua azienda non può mai essere sovrastimata. Si stima che i danni provocati dai crimini informatici a livello mondiale ammonteranno a circa 6 trilioni di dollari all'anno nel 2021. I costi associati ai crimini informatici includono la distruzione o l'uso improprio dei dati, il furto di denaro, l'interruzione delle attività in seguito all'attacco, il furto di proprietà intellettuale e la perdita di produttività. Tuttavia, è necessario considerare anche le potenziali spese per il ripristino dei dati/sistemi hackerati, le indagini investigative e i danni di immagine. Man mano che le minacce diventano sempre più sofisticate e il resto del mondo implementa l'autenticazione a due fattori come standard, le aziende che non si adeguano rimangono vulnerabili agli attacchi hacker. È come scegliere di non indossare la cintura di sicurezza perché l'auto ha gli airbag. Tecnicamente si è protetti, ma il grado di protezione non è lontanamente paragonabile a quello che si potrebbe ottenere.

Come implementare la 2FA con Dropbox

È chiaro che l'attivazione dell'autenticazione a due fattori può offrire notevoli vantaggi alla tua azienda, tuttavia il processo di implementazione dell'autenticazione a due fattori nell'intera organizzazione può essere un po' scoraggiante. Fortunatamente, non deve essere per forza un'operazione complicata. Dropbox offre l'autenticazione a due fattori. Quando abiliti la 2FA, Dropbox chiederà a te e al tuo team di fornire una seconda forma di autenticazione (ad es. un codice a sei cifre o una chiave di sicurezza) ogni volta che accedi al tuo account o colleghi un nuovo tablet, computer o telefono. Inoltre, Dropbox offre una serie di funzionalità di protezione con password che ti aiutano a proteggere e a mantenere il controllo sui dati sensibili della tua azienda, consentendoti di impostare date di scadenza per i link condivisi e di proteggere con password i file PDF e le cartelle.

Vi sono anche altre misure di sicurezza informatica che puoi integrare a Dropbox per proteggere i file in modo ancora più efficace. La sicurezza cloud di Dropbox è un ottimo complemento per l'autenticazione a due fattori. In poche parole, la protezione dei dati ospitati nel cloud è la massima priorità per Dropbox. Con più livelli di protezione in un'infrastruttura cloud distribuita, puoi fare in modo che tutti i tuoi file online godano dello stesso livello di protezione. Inoltre, lo spazio di archiviazione cloud con crittografia di livello enterprise di Dropbox è conforme alla maggior parte degli standard normativi globali.

Conclusioni

L'autenticazione a due fattori offre un ulteriore livello di sicurezza per i file della tua azienda archiviati online, mantenendo i dati sensibili al sicuro da potenziali minacce informatiche.