Che cos’è l’autenticazione a più fattori (MFA)?

L’autenticazione a più fattori (MFA) utilizza due o più tipi diversi di autenticazione per verificare l’identità di un utente. È stata originariamente creata per rendere più difficile per un attaccante accedere a un account se ha indovinato la password dell’utente o se è stata esposta in una violazione.

Oggi, la MFA è onnipresente, utilizzata per proteggere sia gli account aziendali che quelli personali. La combinazione di una password e di una password usa e getta (OTP) inviata a uno smartphone o generata da un’app di autenticazione è l’approccio più comune per implementare la MFA. Tuttavia, esistono molte opzioni, spesso offrendo una sicurezza più forte. Ad esempio, i biometria sono considerati il tipo più forte di fattore di autenticazione.

L’importanza della MFA

La MFA è stata inventata per affrontare le carenze dell’autenticazione tradizionale basata su password. In teoria, gli utenti dovrebbero avere una password unica e forte per ogni account. In pratica, molte password sono facili da indovinare, rendendo facile per gli attaccanti compromettere account importanti.

La MFA aiuta a rendere più difficili gli attacchi di takeover degli account richiedendo all’attaccante di compromettere più livelli di autenticazione. Riduce l’efficacia dell’indovinare le password e può diminuire la vulnerabilità di un utente agli attacchi di phishing. Il miglioramento risultante nella sicurezza degli account è il motivo per cui la MFA è richiesta da molte normative di sicurezza e per account ad alto rischio, come quelli con istituzioni bancarie.

Quali sono i fattori di autenticazione MFA?

La MFA prende il suo nome dal fatto che richiede a un utente di fornire più fattori di autenticazione per accedere al proprio account. Questi fattori di autenticazione provengono da due o più categorie.

Qualcosa che conosci

I fattori di autenticazione basati sulla conoscenza includono password, frasi di accesso, PIN e domande di sicurezza. Idealmente, questi dovrebbero essere unici e generati casualmente o essere qualcosa conosciuto solo dall’utente legittimo.

Tuttavia, gli utenti tendono a riutilizzare le password o a scegliere quelle facilmente memorizzabili a causa del numero elevato di account online. Questo ha innescato una tendenza verso l’autenticazione senza password, che evita questi fattori basati sulla conoscenza per migliorare la sicurezza e l’usabilità.

Qualcosa che possiedi

I fattori di autenticazione basati sulla possesso convalidano l’identità di un utente in base al possesso di un particolare dispositivo, come uno smartphone, un laptop, una smart card o un token hardware. L’esempio più comune di questo è un’app di autenticazione che genera OTP. Un’altra opzione sono i certificati digitali memorizzati su un dispositivo, una smart card o un token hardware.

Qualcosa che sei

I fattori di autenticazione biometrica utilizzano le caratteristiche uniche di un utente per identificarlo. Esempi comuni includono il riconoscimento delle impronte digitali, facciale o vocale.

Sebbene le caratteristiche fisiche siano più comunemente utilizzate, è anche possibile utilizzare tratti comportamentali unici per l’autenticazione. Alcuni esempi includono la modellazione della andatura dell’utente, i modelli di digitazione o come utilizzano uno smartphone.

Le biometrie sono i più sicuri dei tre tipi più comuni di fattori di autenticazione. Tuttavia, affrontano anche significative preoccupazioni relative alla privacy e alla sicurezza poiché richiedono la memorizzazione di informazioni personali identificabili (PII) e non possono essere cambiate se violate.

Altri fattori di autenticazione

Sebbene questi tre tipi di fattori di autenticazione siano le scelte più comuni per implementare l’MFA, non sono le uniche opzioni. Un sistema di autenticazione può utilizzare qualsiasi cosa di unico per un utente per identificarlo. Ad esempio, alcuni sistemi possono utilizzare “qualcosa che sei” come fattore, utilizzando la geolocalizzazione o gli indirizzi IP come parte del processo di verifica dell’identità.

Meccanismi di autenticazione comuni dell’MFA

Alcuni fattori di autenticazione sono più comuni di altri, specialmente per gli account online.

Password

Le password sono il metodo più comune che le persone utilizzano per dimostrare la propria identità online. Questo dovrebbe comportare una lunga password casuale che è unica per un particolare account. Tuttavia, molti utenti selezionano password deboli, minando la sicurezza del loro account. Questa è una delle principali ragioni per cui è stata inventata la MFA e il motore dietro l’autenticazione senza password.

Password Monouso (OTP)

Le OTP sono codici monouso che vengono utilizzati come parte di un fattore di autenticazione “qualcosa che possiedi”. Tipicamente, questi codici vengono generati da un’app di autenticazione o inviati a un dispositivo tramite messaggio di testo (anche se questo è insicuro).

Le app di autenticazione utilizzano un paio di schemi diversi per generare OTP in sincronia con un server di autenticazione. In entrambi i casi, l’app e il server si sincronizzano durante la creazione dell’account, spesso facendo scansionare all’utente un codice QR. Da lì, le OTP basate sul tempo (TOTP) generano una nuova OTP a intervalli fissi, mentre le OTP basate su HMAC (HOTP) generano un nuovo codice solo dopo un’autenticazione riuscita.

Notifiche Push

Le notifiche push sono un altro metodo comune per implementare l’autenticazione “qualcosa che possiedi” utilizzando uno smartphone o un tablet. Questi sistemi inviano una notifica al dispositivo, e l’utente può aprire la notifica e verificare di essere stato l’individuo che ha effettuato il tentativo di accesso. Le notifiche push possono anche essere utilizzate per consegnare un OTP a un dispositivo.

Token Hardware

I token hardware come i Yubikey sono un’altra forma di autenticazione “qualcosa che possiedi”. Questi dispositivi possono generare OTP o firme digitali per provare l’identità di un utente. Poiché sono dispositivi autonomi con difese anti-manomissione integrate, sono considerati più sicuri delle app di autenticazione e di sistemi simili.

Scanner Biometrici

Gli scanner biometrici includono vari sistemi per riconoscere impronte digitali, volti, voci o altre caratteristiche uniche. I biometria sono la forma di autenticazione più sicura e sono diventati più comuni con la crescita degli smartphone dotati di fotocamere integrate e scanner di impronte digitali.

Come funziona l’MFA?

L’MFA utilizza più fattori di autenticazione per controllare l’accesso a un sistema. Questo può essere suddiviso in quattro fasi principali:

1. Identificazione dell’utente: L’identificazione determina quale account l’utente sta cercando di accedere. Questo avviene tramite un nome utente o un indirizzo email.
2. Autenticazione primaria: I sistemi MFA richiedono comunemente fattori di autenticazione in più fasi. La maggior parte dei sistemi richiederà una password come fattore di autenticazione primaria.
3. Autenticazione secondaria: Successivamente, all’utente verrà chiesto un secondo fattore di autenticazione, come un OTP. Questo potrebbe essere generato da un’app o inviato all’utente su richiesta.
4. Verifica e accesso: Il server di autenticazione verifica che i fattori forniti siano corretti. Se sì, controlla che l’utente sia autorizzato a fare la richiesta e concede o nega l’accesso di conseguenza.

Sfide e considerazioni per l’uso dell’MFA

L’MFA può migliorare notevolmente la sicurezza dell’account riducendo il rischio di attacchi di takeover dell’account. Tuttavia, comporta anche sfide e considerazioni importanti, tra cui:

• Esperienza utente L’MFA introduce passaggi aggiuntivi nel processo di autenticazione dell’utente, il che può creare attrito e degradare l’esperienza dell’utente. Un’alternativa è utilizzare l’autenticazione step-up, che richiede solo fattori di autenticazione aggiuntivi per azioni ad alto rischio.
• Sovraccarico di Implementazione: Alcuni software esistenti potrebbero avere funzionalità di autenticazione integrate che presumono l’uso di un’autenticazione tradizionale basata su password. Implementare l’MFA potrebbe richiedere significativi riscritture del software.
• Requisiti di Infrastruttura: Alcune forme di MFA potrebbero richiedere l’accesso a determinati hardware, come smartphone, scanner di impronte digitali o lettori di smart card. Inoltre, l’azienda potrebbe aver bisogno di un’infrastruttura per inviare OTP agli utenti.

Migliori Pratiche per Implementare l’MFA

Alcune migliori pratiche per un’implementazione dell’MFA includono:

• Implementare l’MFA per tutte le applicazioni aziendali.
• Scegliere fattori di autenticazione più sicuri quando possibile.
• Educare gli utenti sull’MFA e sui suoi benefici.
• Progettare l’MFA per soddisfare i requisiti di conformità.
• Utilizzare l’autenticazione step-up o adattativa per bilanciare usabilità e sicurezza.
• Distribuire l’MFA in fasi per semplificare la risoluzione dei problemi e ridurre i tempi di inattività.
• Utilizzare implementazioni e protocolli standard dove disponibili.

FAQ

Qual è l’opzione MFA più sicura?

L’autenticazione biometrica è l’opzione più sicura per l’autenticazione poiché è la più difficile da duplicare. Tuttavia, può anche essere difficile da implementare a causa di preoccupazioni relative alla privacy e alla sicurezza.

Quali sono alcune tecnologie che guidano l’MFA?

L’Autenticazione Multi-Fattore (MFA) è alimentata da diverse tecnologie avanzate che migliorano la sicurezza mantenendo un equilibrio con l’esperienza dell’utente. Alcuni esempi sono:

• Riconoscimento delle impronte digitali: Utilizzato su smartphone, laptop e dispositivi di sicurezza per la verifica dell’identità.
• Riconoscimento facciale: Il Face ID di Apple, Windows Hello e soluzioni simili utilizzano la mappatura facciale guidata dall’IA.
• App di autenticazione (TOTP): Google Authenticator, Microsoft Authenticator e Authy generano codici sensibili al tempo.
• Passkey (Standard FIDO2): Consente agli utenti di accedere utilizzando biometria o PIN invece delle password.
• Link magici: Invia un link a tempo limitato via email o SMS per l’autenticazione senza password.
• Autenticazione basata su codice QR: Gli utenti scansionano un codice QR con la loro app mobile per verificare l’identità.

Ci sono diversi altri, ma tutti puntano a varie opzioni MFA disponibili per un’autenticazione e sicurezza migliorate.

Qual è un esempio di autenticazione a 3 fattori?

L’autenticazione a tre fattori di solito utilizza uno di ciascuno dei principali tipi di fattori di autenticazione. Questo potrebbe includere una password (“qualcosa che conosci”), OTP (“qualcosa che hai”) e riconoscimento facciale (“qualcosa che sei”).

Qual è la differenza tra autenticazione e MFA?

Essenzialmente sono simili in quanto richiedono un nome utente e una password per l’autenticazione. L’MFA fa un passo ulteriore richiedendo una verifica aggiuntiva dell’identità di un utente. Ciò richiede un secondo o terzo tipo di autenticazione, come OTP generato da uno smartphone o un’app di autenticazione, codice QR o biometria, per citarne alcuni.

Sfrutta l’MFA con Cato Networks

Una gestione robusta degli accessi è essenziale per un forte programma di cybersecurity. Senza la possibilità di dimostrare in modo conclusivo l’identità di un utente, è impossibile differenziare tra tentativi e azioni di accesso legittimi e non autorizzati. L’MFA può migliorare la capacità di un’organizzazione di autenticare clienti e dipendenti riducendo il rischio di attacchi di takeover degli account.

Cato aiuta le organizzazioni a garantire l’accesso remoto ai propri sistemi e applicazioni offrendo l’MFA per impostazione predefinita per soluzioni di accesso remoto sicure. Per saperne di più su come migliorare la sicurezza della rete della tua organizzazione con Cato SASE Cloud e su come l’implementazione dell’MFA può aiutare la tua organizzazione a raggiungere la conformità e gli obiettivi di Zero Trust, iscriviti per una demo gratuita.