Vai al contenuto

Token RSA

L'autenticazione a più fattori (Multi Factor Authentication: MFA) o, nel caso più semplice a due fattori (2FA) è un sistema più sicuro per loggarsi, ad esempio, sulla propria casella email. Si basa sul concetto di dover usare due (o più) sistemi diversi di autenticazione: una cosa che sai (la classica password) e una cosa che hai (una sim telefonica sulla quale ricevi un sms, un telefono con un app che ti fornisce una chiave usa e getta, un "cosino" con numeri che ogni tot secondi cambiano, o addirittura una cosa che sei come impronta digitale o dell'iride).

Qualche giorno fa mi è arrivata l'email di Google che mi invitava ad attivare MFA su un mio storico indirizzo gmail che praticamente non uso più avvisandomi che entro il 14 dicembre sarebbe diventata obbligatoria. Ottimo reminder che mi è stato utile per attivare subito questo importante meccanismo di sicurezza.

Se avete dei dubbi riguardo alle difficoltà che potreste incontrare non posso dirvi che non ce ne saranno ma sicuramente posso affermare che Google si è impegnata molto per ridurle al minimo. Vi faccio un paio di esempi: se avete un app di posta che supporta MFA sarà sufficiente attivarla e mettere il "secondo fattore" (esempio un codice) la prima volta e poi, per sempre, quell'app funzionerà come prima, senza chiedere password o altro. Secondo esempio un app che non supporta MFA: in questo caso Google vi fornisce una password generata automaticamente da inserire nell'app (che la salva) e, da quel momento, continuerà a funzionare come prima senza chiedere password o altro e, questa password, sarà valida solo per quell'app.

Spero di avervi convito ad attivare MFA quantomeno sugli accessi più importanti come email, siti di e-commerce che salvano i dati della vostra carta di credito o altro che riguarda soldi o dati critici.

In UK, ci segnala Bruce Schneier, c'è una proposta di legge per bannare le password di default sui dispositivi IoT.

Si tratta di un interessante passo avanti per migliorare la sicurezza di oggetti connessi ad internet: non necessariamente si tratta di una buona soluzione ma è meglio di niente.

L'ideale sarebbe un sistema per invogliare ad avere password sicure e uniche. Fino ad ora, la soluzione che più mi è piaciuta, che va in questa direzione è quella che ho visto su un router: una password preimpostata composta da un paio di parole e qualche numero. Viene scritta sull'etichetta del router, il fabbricante non la conosce perché è generata a caso in automatico ed è abbastanza facile da ricordare.

In questo campo le soluzioni devo necessariamente essere un compromesso tra facilità d'uso e sicurezza: se sono estremamente sicure quasi sicuramente sono troppo difficili da usare e si rischia che l'utente medio si stufi e cambi la password con 12345. Se sono troppo facili da usare sicuramente la sicurezza è troppo bassa e prima o poi qualcuno entra abusivamente nel tuo dispositivo.