Autenticazione a due fattori

L'autenticazione a due fattori (o anche autenticazione a più fattori) è un metodo che si basa sull'utilizzo congiunto di due o più metodi di autenticazione, ma in modo individuale.

Un'autenticazione a due fattori viene detta "autenticazione forte" (strong authentication) mentre l'uso di un solo fattore, come una password, viene considerato un'autenticazione debole.

L'identità di un utente remoto è generalmente verificata attraverso due funzionalità di sicurezza principali: l'identificazione e l'autenticazione.

La prima è la fase in cui l'utente dichiara la propria identità al sistema, mentre la seconda si riferisce alla tecnica con cui tale identità viene verificata. La sicurezza dell'asset a cui l'utente accede dipende fortemente dalla tecnica utilizzata per autenticarlo. L'utilizzo di sistemi deboli o non sufficienti a garantire l'identità dell'utente remoto possono esporre il target a numerosi rischi. Il sistema di autenticazione più diffuso è la password. La combinazione tra identificativo e password autentica l'utente al sistema.

Tuttavia questa tecnica fornisce una sicurezza molto limitata, essendo caratterizzata da diverse problematiche. La password, infatti, può essere trascritta e sottratta, smarrita, dedotta, condivisa o dimenticata e non è, pertanto, adatta nei sistemi in cui è necessario avere una ragionevole certezza sull'effettiva identità del soggetto che accede. Per superare tali limitazione ed innalzare i livelli di sicurezza sono nate le tecniche di Strong Authentication o autenticazione a più fattori.

Una autenticazione a due fattori si contrappone dunque ad una comune autenticazione basata sulla sola password. Una autenticazione basata su password richiede infatti un solo fattore di autenticazione per concedere l'accesso ad un sistema. Molto spesso è legato al concetto di out of band authentication: l’uso di più canali per autenticarsi verso un asset. Per fare un esempio di autenticazione a due fattori basti pensare al metodo di accesso al conto corrente: vengono sfruttati un ID, una password e una one-time password o OTP, cioè un codice usabile una volta sola generatosi attraverso un token.

Le più comuni forme di autenticazione a due fattori usano "una cosa che conosci" (una password)^[1] come primo dei due fattori, mentre come secondo fattore viene utilizzato o "una cosa che hai" (un oggetto fisico) o "una cosa che sei" (una caratteristica biometrica come una impronta digitale). Un esempio comune di autenticazione a due fattori è la carta di debito: il tesserino è l'oggetto fisico, mentre il PIN la conoscenza. Il fattore di possesso viene spesso verificato con l'invio di un OTP via SMS, al numero di cellulare registrato nell'account, da inserire per completare l'accesso.

Per autenticarsi a sistemi digitali, come in un computer o a uno sportello, vengono distinti tre diversi metodi:

• "Una cosa che conosci", per esempio una password o un codice PIN.
• "Una cosa che hai", come un telefono cellulare, una carta di credito o un oggetto fisico come un token o un'applicazione certificata.
• "Una cosa che sei", come l'impronta digitale, il timbro vocale, la retina o l'iride, o altre caratteristiche di riconoscimento attraverso caratteristiche uniche del corpo umano (biometria).

• Autenticazione
• Strong customer authentication
• Token (sicurezza)
• Codice PIN
• YubiKey

• Autenticazione a due fattori per l’ID Apple, su support.apple.com. URL consultato il 26 aprile 2022.
• Istruzioni per utilizzare la verifica in due passaggi con il tuo account Microsoft, su support.microsoft.com. URL consultato il 26 aprile 2022.
• Guida di Google per la verifica in due passaggi - Guida di Account Google, su support.google.com. URL consultato il 26 aprile 2022.
• App di messaggistica che possono ricevere codici di verifica gratuitamente, Google require a phone number for verification.

Portale Sicurezza informatica: accedi alle voci di Wikipedia che trattano di sicurezza informatica