Coralie LemassonMentre alcune cose nel mondo stanno (finalmente!) migliorando, il panorama delle minacce informatiche sta decisamente peggiorando. Il terzo sondaggio annuale Devolutions State of IT Security in SMBs in 2022/23 Survey ha rilevato che:
- il 67% delle PMI è più preoccupato per la sicurezza IT rispetto a un anno fa;
- il 60% delle PMI ha subito almeno un attacco informatico nell’ultimo anno;
- l’aumento dei lavoratori da remoto/ibridi sta generando un’ampia gamma di preoccupazioni in materia di sicurezza per le PMI.
La buona notizia, tuttavia, è che le PMI (insieme a tutti gli altri tipi di organizzazioni, comprese le imprese più grandi) non devono limitarsi a sperare per il meglio mentre si preparano al peggio. Possono – e considerando i costi elevati di una violazione dei dati, a dire il vero, devono — essere proattive e ridurre rischi e vulnerabilità, specialmente per quanto riguarda gli utenti finali. Ed è qui che entrano in gioco due metodi di sicurezza per la gestione delle identità e degli accessi estremamente importanti: l’autenticazione a due fattori (2FA) e l’autenticazione a più fattori (MFA).
Che cos’è la 2FA?
La 2FA consente l’identificazione univoca degli utenti finali attraverso una combinazione di credenziali assegnate (combinazione di nome utente e password) e un altro elemento. Questo fattore aggiuntivo può essere:
- credenziali di accesso aggiuntive note solo all’utente finale, come la risposta a una domanda di sicurezza o un PIN;
- un codice inviato a un dispositivo fisicamente in possesso dell’utente finale, come il suo smartphone;
- credenziali di accesso biometriche uniche per l’utente finale, come la scansione della retina o l’impronta digitale.
Che cos’è l’MFA?
L’MFA porta la 2FA oltre, richiedendo agli utenti finali di autenticare la propria identità attraverso tre o più fattori. Ad esempio, per accedere a un account, un dispositivo o una rete, a un utente finale può essere richiesto di:
- inserire un PIN;
- inserire un codice inviato al proprio smartphone;
- inserire la scansione di un’impronta digitale.
A differenza della 2FA, l’utente finale ottiene l’accesso solo se tutti i fattori vengono verificati. Se un fattore non supera la convalida — ad esempio, se un utente finale inserisce correttamente il PIN e la scansione dell’impronta digitale, ma il codice sbagliato — l’accesso non verrà concesso.
Inoltre, alcune organizzazioni implementano l’MFA senza password, che esclude il fattore “qualcosa che l’utente finale conosce” e si basa invece su qualcosa che l’utente finale possiede e/o su credenziali di accesso biometriche.
La sovrapposizione tra 2FA e MFA
Su vari siti web e articoli, è comune vedere i termini 2FA e MFA usati in modo intercambiabile. Si tratta di un errore? Non necessariamente. Tecnicamente, tutti i metodi 2FA sono anche metodi MFA — poiché, come accennato in precedenza, la “M” di MFA sta per “multi” (e due = multi). Tuttavia, non tutti i metodi MFA sono metodi 2FA.
Perché la differenza tra 2FA e MFA è importante?
L’MFA è generalmente più robusta della 2FA, poiché aggiunge almeno un ulteriore livello di verifica. Tuttavia, la maggiore sicurezza può peggiorare l’esperienza utente, che gli utenti finali possono trovare frustrante, specialmente se devono accedere e disconnettersi da account e dispositivi più volte al giorno. Può inoltre generare una certa confusione negli utenti finali meno esperti dal punto di vista tecnico, o che hanno lavorato per anni in un ambiente privo di MFA (e forse anche privo di 2FA). Questo non significa che la curva di apprendimento dell’MFA sia ripida, perché in realtà non lo è. Ma come si suol dire: “il vizio è come una seconda natura”!
Quando la 2FA è più forte dell’MFA
Perché diciamo che l’MFA è “generalmente” più robusta della 2FA, invece di dire “sempre” più robusta? Perché la solidità e la funzionalità della sicurezza per la gestione delle identità e degli accessi non è determinata automaticamente dal metodo, bensì dai fattori utilizzati.
Si consideri questo: due fattori di autenticazione dell’identità particolarmente solidi sono la posizione (applicata tramite geofencing) e i dati biometrici (scansione della retina o impronta digitale). Al contrario, gli SMS, le risposte “segrete” e i PIN sono fattori relativamente deboli (questo non significa che siano privi di valore, ma solo che si collocano nella fascia più debole dello spettro).
Un’organizzazione che implementa la 2FA basata su posizione + dati biometrici ha probabilmente un sistema di autenticazione dell’identità più robusto di un’organizzazione che implementa l’MFA basata su SMS, risposte “segrete” e PIN. Il messaggio da trarre è che avere più fattori è di solito — ma non automaticamente — meglio.
In conclusione
Sia la 2FA che l’MFA sono categoricamente superiori all’uso di un singolo fattore, che di solito è una password. Ben l’81% delle violazioni dei dati è dovuto a password deboli. E nonostante i ripetuti avvertimenti, molti utenti finali riutilizzano le password su più account di lavoro e personali, e le condividono tramite metodi altamente insicuri (ad esempio, e-mail, messaggi di testo, ecc.).
Naturalmente, password forti e uniche — o meglio ancora, passphrase — restano importanti. Ma le organizzazioni dovrebbero considerare la 2FA/MFA non solo come una best practice, bensì come un requisito obbligatorio per ridurre la vulnerabilità in un panorama delle minacce informatiche sempre più preoccupante.
Siamo lieti di segnalare che la suite di prodotti Devolutions, tra cui Remote Desktop Manager, Devolutions Server e Devolutions Cloud, supporta la 2FA (si noti che la 2FA per Devolutions Cloud è gestita tramite Devolutions Account, che governa anche altri servizi come Devolutions Force, l’accesso al Forum e altro ancora). Sono disponibili prove gratuite di tutti i prodotti; per maggiori informazioni, contattaci.