Verifica in due passaggi: come essere certi che chi entra sia davvero lui

Una password dimostra una cosa sola: che chi la scrive la conosce. Non dice se è davvero la persona a cui appartiene l'account. Basta un'email di phishing ben fatta, una password riusata su un sito che ha subito un furto di dati, un collega a cui l'abbiamo dettata "solo per questa volta". Da quel momento qualcun altro entra al nostro posto, e per la piattaforma è indistinguibile da noi.

Su una piattaforma di formazione questo ha due conseguenze. La prima riguarda i dati: chi amministra un ente vede anagrafiche, codici fiscali, registri, pagamenti. La seconda riguarda la fiducia negli attestati: se non sappiamo chi c'è dietro un account, non sappiamo nemmeno chi ha seguito il corso.

Per questo in Zorvio abbiamo introdotto la verifica in due passaggi.

Perché la password da sola non basta

I numeri sono noti da anni. Nel 2019 Microsoft ha scritto che l'autenticazione a più fattori blocca oltre il 99,9% degli attacchi agli account. Nello stesso anno Google ha pubblicato una ricerca con la New York University e la University of California, San Diego: aggiungere un secondo fattore, anche un semplice codice via SMS, ha fermato il 100% dei tentativi automatici, il 96% del phishing di massa e il 76% degli attacchi mirati. Con una notifica sul telefono le percentuali salivano ancora.

Il motivo è semplice: chi ruba una password da lontano, quasi sempre, non ha in mano il telefono della vittima.

Come funziona la verifica in due passaggi

L'idea è chiedere due prove diverse: qualcosa che sai (la password) e qualcosa che hai (il telefono). In Zorvio il secondo passaggio usa un'app di autenticazione, come Google Authenticator, Microsoft Authenticator, 1Password o Bitwarden.

Quando la attivi inquadri un codice QR con l'app. Da quel momento l'app genera un codice di 6 cifre che cambia ogni 30 secondi, calcolato con lo standard aperto TOTP (RFC 6238 dell'IETF). All'accesso, dopo la password, Zorvio chiede quel codice. Il telefono non deve nemmeno essere connesso a internet.

Abbiamo scelto l'app e non l'SMS per una ragione precisa: le linee guida del NIST americano sull'identità digitale (SP 800-63B) considerano l'SMS un canale "con restrizioni", perché i messaggi si possono intercettare o dirottare con il trasferimento fraudolento del numero su un'altra SIM.

Essere certi che chi entra sia davvero lui

Nella formazione obbligatoria e finanziata non basta che il corso sia stato seguito: bisogna poter dimostrare chi l'ha seguito. Un attestato vale quanto la certezza su chi c'era dietro lo schermo.

La verifica in due passaggi è il primo mattone: rende molto più difficile che qualcuno entri al posto di un altro, anche conoscendo la sua password. In Zorvio si somma agli altri strumenti che già ci sono:

• il registro della fruizione, che annota da solo ogni sessione con orari, durata e indirizzo IP;
• le verifiche d'identità durante il corso, nei corsi che le prevedono;
• l'avviso agli amministratori quando un account entra in poco tempo da reti diverse, il segnale tipico di un account condiviso.

Un livello di sicurezza più alto per chi amministra

Gli account più delicati sono quelli degli amministratori: un accesso abusivo al pannello espone i dati di tutti i partecipanti. Il GDPR, all'articolo 32, chiede misure di sicurezza adeguate al rischio, e proteggere questi account è una delle più efficaci e meno costose.

Per questo in Zorvio:

• agli amministratori la verifica in due passaggi viene proposta al primo accesso, con la scelta tra "Attiva ora" e "Più tardi";
• ogni ente può renderla obbligatoria per i propri amministratori e per i manager delle aziende clienti: chi non l'ha ancora attivata, al prossimo accesso può fare solo quello;
• chiunque, anche un partecipante, può attivarla quando vuole dal proprio profilo;
• per chi gestisce l'intera piattaforma è sempre obbligatoria.

Cosa succede dietro le quinte

Qualche dettaglio, per chi deve rispondere a un responsabile della sicurezza:

• quando la attivi, le sessioni aperte su altri dispositivi si chiudono: chi era entrato prima con la sola password deve rientrare con il codice;
• lo stesso codice non vale due volte, anche se viene riutilizzato entro i 30 secondi;
• dopo 5 codici sbagliati l'accesso si ferma per 15 minuti;
• la chiave segreta è conservata cifrata e i 10 codici di recupero sono salvati solo in forma non leggibile: nemmeno noi possiamo vederli.

E se il telefono si perde? Ognuno riceve 10 codici di recupero da stampare o salvare nel gestore di password, e ciascuno vale una volta. Se mancano anche quelli, l'amministratore dell'ente può azzerare la verifica dalla scheda dell'utente, che rientra con la password e la riattiva.

Cosa non fa

Diciamolo con onestà. La verifica in due passaggi non impedisce a una persona di consegnare volontariamente telefono e password a qualcun altro: per questo restano il registro, le verifiche durante il corso e gli avvisi sugli accessi sospetti. E un sito di phishing molto sofisticato può farsi dare in tempo reale anche il codice dell'app: è un attacco raro e costoso, ma esiste. Resta il fatto che il salto rispetto alla sola password è enorme.

In sintesi

Con la verifica in due passaggi una password rubata non basta più per entrare. Per un ente di formazione significa dati dei partecipanti più protetti, amministratori al riparo dagli accessi abusivi e una ragione in più per fidarsi di chi risulta aver seguito un corso.

Vuoi vedere come funziona su un caso reale? Richiedi una demo.

Fonti

• Microsoft Security, One simple action you can take to prevent 99.9 percent of attacks on your accounts, 20 agosto 2019.
• Google Security Blog, New research: How effective is basic account hygiene at preventing hijacking, 17 maggio 2019.
• IETF, RFC 6238: TOTP, Time-Based One-Time Password Algorithm, maggio 2011.
• NIST, Special Publication 800-63B, Digital Identity Guidelines: Authentication and Lifecycle Management, giugno 2017.
• Regolamento (UE) 2016/679, articolo 32, Sicurezza del trattamento.