Autenticazione a due fattori: SMS, app o chiave fisica? Quale scegliere
Non tutti i metodi sono uguali, e uno di questi non è nemmeno un secondo fattore. Confronto tra SMS, app, notifiche push, passkey e chiavi fisiche, con un consiglio per ogni account.
- Livello
- principiante
- Tempo
- 5 minuti
- Cosa serve
- Niente, solo curiosità
L’autenticazione a due fattori (2FA) aggiunge un secondo controllo dopo la password, qualcosa che possiedi oltre a qualcosa che sai. Attivare un secondo fattore è una delle difese più efficaci contro il furto di account. Però il metodo che scegli fa una grande differenza, perché non proteggono tutti dalle stesse cose. E uno dei cinque che confrontiamo qui, la passkey, in senso stretto non rientra nella categoria. Funziona come un modo diverso di entrare, e può prendere il posto della password invece di rinforzarla. Ci arriviamo.
Autenticazione a due fattori (in inglese two-factor authentication, da cui la sigla 2FA che trovi in quasi tutte le impostazioni): dopo la password il servizio chiede una seconda prova, qualcosa che possiedi. Secondo fattore (second factor): quella prova, cioè il codice, la notifica o la chiavetta. Chiave fisica (in inglese security key): una chiavetta grande come quelle di casa che si infila nel telefono o nel computer al posto del codice. Passkey (in italiano "chiave d'accesso"): non è un codice e non è un secondo fattore. È un modo diverso di dimostrare chi sei, basato su una coppia di chiavi crittografiche, e può prendere il posto della password invece di aggiungersi a essa.
SMS: meglio di niente, ma il più debole
Il codice via SMS è comodo e funziona ovunque, ma ha due punti deboli. Può essere intercettato con la tecnica del SIM swap, cioè un truffatore che convince l’operatore a trasferire il tuo numero su una nuova SIM. E può essere carpito da un sito di phishing che ti chiede di inserirlo. Usalo solo se il servizio non offre altro.
App di autenticazione: il buon compromesso
App come Google Authenticator, Microsoft Authenticator, Aegis (Android) o 2FAS generano un codice a sei cifre che cambia ogni 30 secondi, senza bisogno di rete. Al SIM swap non sono vulnerabili. Restano esposte al phishing in tempo reale, perché se inserisci il codice su un sito falso il truffatore lo usa subito, quindi controlla sempre l’indirizzo del sito. Scegli un’app che permetta il backup cifrato dei codici, altrimenti perdere il telefono significa perdere l’accesso.
Notifica push: comoda, con un’avvertenza
Alcuni servizi (Google, Microsoft, molte banche) inviano una notifica “Stai accedendo?” con un tasto Sì o No. È più comoda di un codice da copiare e toglie di mezzo i rischi legati agli SMS, ma ha un punto debole tutto suo, la MFA fatigue (in italiano “stanchezza da richieste”): i truffatori inviano decine di richieste sperando che tu prema Sì per farle smettere. Se ricevi una notifica che non hai richiesto, premi No e cambia la password.
Passkey e chiavi hardware: un’altra categoria
Qui il confronto cambia natura, e conviene fermarsi un attimo prima di mettere le passkey in fila con gli altri tre.
Una passkey sta al posto della password. SMS, app e notifica sono tutti secondi fattori, arrivano dopo la password e servono a rinforzarla; la passkey invece è un metodo di autenticazione a sé, basato sulla crittografia a chiave pubblica, e quando il sito la supporta del tutto la password sparisce dalla procedura.
Il meccanismo, in due righe. Il tuo dispositivo crea una coppia di chiavi, una privata che resta protetta dal sistema e non viene mai mostrata al sito, e una pubblica che il sito conserva. Quando accedi, il sito manda una richiesta e il dispositivo la firma con la chiave privata, dopo averti chiesto impronta, volto o codice di sblocco. Non viaggia nessun segreto da copiare, quindi un sito civetta non ha niente da farsi consegnare. Negli altri tre metodi invece qualcosa di segreto passa comunque dalle tue mani, e quando passa può essere dirottato.
Le chiavi fisiche come YubiKey o Google Titan funzionano sullo stesso principio, con la chiave privata dentro un oggetto che tieni in tasca invece che dentro il telefono. Possono fare da passkey vera e propria, oppure, sui servizi che ancora pretendono la password, da secondo fattore. Stesso pezzo di hardware, due ruoli diversi.
Entrambe sono progettate per resistere al phishing, e contro i siti civetta sono la protezione più solida che puoi avere. Restano fuori dalla loro portata le altre strade per entrare in un account, dal raggiro telefonico al recupero della password via posta elettronica. Mettono al sicuro l’accesso e si fermano lì. E finché sul tuo account la password resta attiva come riserva, chi ti vuole imbrogliare punterà su quella.
La chiave fisica parte da qualche decina di euro per i modelli base e si collega via USB o NFC; i modelli più completi costano di più, quindi conviene guardare il listino del produttore prima di comprare. È la scelta giusta per l’account email principale, per chi gestisce soldi o dati altrui e per chiunque sia un bersaglio interessante.
Cosa consiglio, account per account
Per l’email principale e la banca, usa la passkey dove c’è, o una chiave fisica, con un’app di autenticazione come riserva. Dove il servizio te lo permette, una volta che la passkey funziona su due dispositivi, disattiva la password, perché è il passaggio che rende la protezione davvero effettiva. Per social e shopping un’app di autenticazione è più che sufficiente. Lascia l’SMS solo dove non c’è alternativa.
E in tutti i casi, salva i codici di recupero in un posto sicuro fuori dal telefono. Sono la tua via d’uscita se perdi il dispositivo.