Una password da sola è una serratura debole: può essere divulgata, indovinata o rubata con il phishing. L'autenticazione a più fattori (MFA) risolve il problema chiedendo più di una prova che sei davvero tu. È il passo più efficace che puoi fare per proteggere un account. Questa guida spiega cos'è l'MFA, quali sono i fattori e in cosa differisce dalla 2FA.
La risposta breve
L'autenticazione a più fattori significa che per accedere servono due o più prove separate, non solo una password. Un esempio classico è la password più un codice monouso ricevuto sul telefono. Il punto è semplice: anche se un attaccante ruba un fattore, non può entrare senza gli altri. Questo da solo blocca quasi tutti gli attacchi agli account.
I tre tipi di fattori
Un vero secondo fattore deve appartenere a una categoria diversa da quella della tua password. Le categorie sono tre:
- Qualcosa che sai - una password, un PIN o una domanda di sicurezza.
- Qualcosa che hai - il telefono, un'app di autenticazione o una chiave di sicurezza hardware.
- Qualcosa che sei - un dato biometrico, come l'impronta digitale o la scansione del volto.
La forza nasce dal combinare due categorie. Due password non sono autenticazione a più fattori; una password più un codice dal telefono lo sono.
MFA vs 2FA
Si usano questi termini come sinonimi, ma c'è una piccola differenza. L'autenticazione a due fattori (2FA) usa esattamente due fattori. L'autenticazione a più fattori è il termine generale per due o più. Quindi ogni configurazione 2FA è MFA, ma l'MFA può anche indicare tre fattori. Il principio è identico: mescolare le categorie, così che una sola prova rubata non basti mai.
Come viene davvero calcolato il codice a sei cifre
È la parte che quasi tutte le guide saltano, ed è proprio quella che spiega i comportamenti strani in cui sei già incappato.
L'app di autenticazione segue uno standard pubblico, l'RFC 6238, che descrive TOTP. L'RFC lo definisce come la variante temporale di un algoritmo precedente, HOTP: un valore T, derivato da un riferimento temporale e da un passo di tempo, sostituisce il contatore C nel calcolo di HOTP.
La formula sta in una riga: TOTP = HOTP(K, T), dove T = (ora Unix corrente - T0) / X.
Due ingredienti, quindi. K è il segreto condiviso, quello che il codice QR consegna al momento dell'attivazione. T non è altro che l'orologio, tagliato in fette di X secondi. L'RFC raccomanda un passo predefinito di 30 secondi, presentato esplicitamente come un equilibrio tra sicurezza e usabilità.
Conseguenza diretta: il tuo telefono non parla mai con il server. Le due parti custodiscono lo stesso segreto e leggono lo stesso orologio, quindi ciascuna calcola lo stesso codice per conto proprio. Ecco perché i codici continuano a comparire in modalità aereo, ed ecco la vera differenza rispetto a un SMS, che invece deve viaggiare in rete.
Spiega anche il guasto più frequente. Se l'orologio del telefono va fuori sincrono, i tuoi codici diventano sbagliati, senza che sia cambiato nient'altro. L'RFC lo prevede e raccomanda che il validatore ammetta solo un numero limitato di passi di scarto, più al massimo un passo per il ritardo di rete. Oltre, rifiuta. Rimettere l'ora in automatico risolve quasi tutti i casi.
Perché l'MFA è importante
Le password falliscono di continuo. Vengono divulgate nelle violazioni, riutilizzate su più siti e consegnate nelle truffe di phishing ogni giorno. Una password da sola è un singolo punto di guasto. L'MFA elimina questa debolezza: una password rubata è inutile senza il secondo fattore, ed è per questo che ferma la stragrande maggioranza degli attacchi automatici di furto degli account. I fattori più forti sono le chiavi hardware e le passkey, che resistono al phishing molto meglio dei codici via SMS.
Come attivarla
Attiva l'MFA prima di tutto sui tuoi account più importanti: email, banca e gestore di password, perché sbloccano tutto il resto. Nelle impostazioni di sicurezza di ogni account, cerca la verifica "a due fattori" o "in due passaggi" e preferisci un'app di autenticazione o una chiave hardware all'SMS. Un gestore di password rende tutto più facile: conserva password uniche per ogni account e può tenere i tuoi codici di autenticazione in un unico posto.
Password uniche + codici di autenticazione - BitwardenGestore di password open-source e verificato che memorizza una password forte e unica e i codici a due fattori TOTP per ogni account - e protegge la tua cassaforte con l'MFA→I tipi di fattore MFA ordinati per sicurezza (e perché l'SMS è debole)
Non tutti i secondi fattori sono uguali. Formano una gerarchia chiara, dal più debole al più forte. Qualsiasi di essi batte una password da sola - ma se puoi scegliere, punta in alto nella lista.
| Secondo fattore | Robustezza | Il limite onesto |
|---|---|---|
| Codice monouso via SMS | Il più debole (ma meglio di niente) | Vulnerabile al SIM-swap e all'intercettazione |
| Codice via email | Debole | Forte solo quanto la sicurezza del tuo account email |
| Codice via app (TOTP) | Buono | Soggetto a phishing se digiti il codice su un sito falso |
| Approvazione via notifica («autorizzare questo accesso?») | Buono | Rischio di «affaticamento MFA» - approvare per sbaglio |
| Chiave di sicurezza hardware / passkey | Il più forte | Costa / richiede un dispositivo compatibile |
Perché l'SMS è l'anello debole: il SIM-swapping. Un attaccante convince il tuo operatore mobile a trasferire il tuo numero su una SIM che controlla - spesso usando dati personali raccolti da violazioni e ingegneria sociale. Una volta che il tuo numero è suo, ogni codice SMS gli viene consegnato direttamente, e il tuo «secondo fattore» protegge lui anziché te. I codici SMS possono anche essere intercettati in rete. È un attacco documentato e reale, ed è per questo che le raccomandazioni di sicurezza si sono progressivamente allontanate dall'SMS come secondo fattore principale.
Perché le chiavi hardware e le passkey vincono. Una chiave di sicurezza hardware o una passkey è legata all'indirizzo del sito web autentico. Se un sito di phishing prova a usarla, la chiave semplicemente rifiuta - non ha nulla da digitare e nulla da rubare. È questo legame crittografico a renderle resistenti al phishing come i codici non potranno mai essere. Usa l'SMS solo quando non viene offerto niente di meglio; affidati a un'app di autenticazione o a una chiave ogni volta che puoi.
Come attivare l'MFA sui tuoi account importanti (in pratica)
Non devi proteggere tutto in una volta. Segui una lista di priorità, perché alcuni account sbloccano tutti gli altri.
- Inizia dalla tua email. È la chiave maestra della tua vita digitale - i reimposta password di quasi ogni altro account arrivano lì. Mettila in sicurezza per prima.
- Poi il gestore di password e la banca. Conservano o custodiscono i tuoi dati più sensibili, quindi un secondo fattore conta di più qui.
- Poi social, archiviazione cloud e account di acquisto che salvano dati di pagamento.
Per ogni account, i passaggi sono in linea di massima gli stessi:
- Apri Impostazioni → Sicurezza (a volte «Accesso e sicurezza»).
- Trova la verifica a due fattori, in due passaggi o a più fattori e avvia la configurazione.
- Scegli il metodo più forte offerto - una chiave hardware o una passkey se disponibile, altrimenti un'app di autenticazione invece dell'SMS.
- Se usi un'app di autenticazione, scansiona il QR code; l'app inizia a generare codici a sei cifre.
- Salva i codici di backup o di recupero che il servizio ti fornisce, in un luogo sicuro e offline. Ti riportano dentro se perdi il telefono o la chiave - senza di essi, puoi restare bloccato in modo permanente.
Un gestore di password rende tutto il processo più fluido: può conservare insieme una password unica e i codici TOTP di ogni account, così l'accesso è un passaggio invece di due. Valuta di registrare una seconda chiave hardware come backup per i tuoi account più critici, custodita in un altro luogo sicuro.
Domande frequenti
L'MFA è la stessa cosa della 2FA?
Quasi. L'autenticazione a due fattori usa esattamente due fattori; l'autenticazione a più fattori ne indica due o più. Ogni 2FA è MFA, ma l'MFA può anche coinvolgere tre fattori. Nel parlato quotidiano i termini si usano come sinonimi.
Perché l'MFA via SMS è considerata debole?
A causa del SIM-swapping: un attaccante può ingannare il tuo operatore facendogli trasferire il tuo numero su una SIM che controlla, dopodiché i tuoi codici via SMS vengono consegnati a lui. L'SMS può anche essere intercettato. È comunque meglio di nessun secondo fattore, ma un'app di autenticazione o una chiave hardware è molto più sicura.
Cosa succede se perdo il telefono o la chiave di sicurezza?
È esattamente a questo che servono i codici di recupero di backup. Quando attivi l'MFA, il servizio ti fornisce codici monouso - conservali al sicuro e offline. Anche registrare una seconda chiave hardware, o tenere i codici in un gestore di password, ti protegge. Senza alcun backup, puoi restare bloccato.
Ho bisogno dell'MFA se ho già una password forte e unica?
Sì. Una password forte è la tua prima linea di difesa, ma una password può comunque essere oggetto di phishing, finire in una violazione o essere catturata da malware. L'MFA aggiunge una seconda barriera indipendente, così che una password compromessa da sola non basti per entrare.
In conclusione
L'autenticazione a più fattori significa dimostrare chi sei con due o più fattori di categorie diverse, così che una password rubata da sola non possa aprire il tuo account. È l'abitudine di sicurezza con l'impatto più alto che esista. I fattori formano una classifica chiara - l'SMS è il più debole a causa del SIM-swapping, mentre le chiavi hardware e le passkey sono le più forti perché resistono del tutto al phishing. Attivala ovunque sia offerta, preferisci un'app di autenticazione, una chiave hardware o una passkey all'SMS, salva i tuoi codici di backup, e inizia dagli account che proteggono tutti gli altri.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Blinda i tuoi account → NordPassPassword forti e uniche · scanner di violazioni · piano gratuito→Domande frequenti
Cos'è l'autenticazione a più fattori in parole semplici?
L'autenticazione a più fattori, o MFA, significa che per accedere servono due o più prove separate, non solo una password. Un esempio tipico è inserire la password e poi un codice monouso ricevuto sul telefono. Anche se qualcuno ruba la tua password, non può entrare senza la seconda prova: per questo l'MFA blocca la grande maggioranza dei tentativi di furto degli account.
Quali sono i tre fattori dell'autenticazione?
Sono qualcosa che sai, qualcosa che hai e qualcosa che sei. Qualcosa che sai è una password o un PIN. Qualcosa che hai è un dispositivo come il telefono, un'app di autenticazione o una chiave di sicurezza hardware. Qualcosa che sei è un dato biometrico, come l'impronta digitale o la scansione del volto. La vera autenticazione a più fattori combina fattori di almeno due di queste categorie diverse.
Qual è la differenza tra MFA e 2FA?
L'autenticazione a due fattori (2FA) usa esattamente due fattori. L'autenticazione a più fattori (MFA) è il termine più ampio per due o più fattori. Quindi la 2FA è un tipo di MFA. Nell'uso quotidiano le parole si scambiano spesso, ma il principio è lo stesso: combinare fattori di categorie diverse, così che una sola credenziale rubata non basti per accedere.
L'MFA è davvero necessaria?
Per ogni account che conta, sì. Le password vengono divulgate nelle violazioni, indovinate e rubate con il phishing di continuo, e una password da sola è un singolo punto di guasto. Aggiungere un secondo fattore chiude quella falla e ferma la stragrande maggioranza degli attacchi automatici. Dai la priorità all'email, alla banca e al gestore di password, perché sbloccano tutto il resto.
