MFA (Autenticazione Multi-Fattore): Fattori di Conoscenza, Possesso, Inerenza e Standard FIDO2

Per oltre mezzo secolo, le chiavi del nostro regno digitale sono state racchiuse in una semplice combinazione di due elementi: un nome utente pubblico e una password segreta. Questo modello classico, tecnicamente definito Autenticazione a Singolo Fattore (SFA – Single-Factor Authentication), ha mostrato ormai tutte le sue insormontabili debolezze strutturali.

Gli esseri umani non sono progettati per memorizzare centinaia di stringhe casuali di trenta caratteri: tendiamo a scegliere parole corte, nomi di animali domestici o date di compleanno, riutilizzando pigramente la stessa identica password su decine di siti diversi. Quando uno di questi servizi subisce una violazione (data breach) o quando cadiamo nel tranello di un’email di phishing, i criminali informatici ottengono istantaneamente il controllo totale dei nostri account bancari, social ed email.

Per porre fine a questa ecatombe di credenziali rubate, l’informatica moderna ha adottato universalmente l’Autenticazione Multi-Fattore (MFA – Multi-Factor Authentication), nota al grande pubblico soprattutto nella sua declinazione a due fattori (2FA). In questa guida didattica analizzeremo i tre pilastri dell’identità secondo il NIST, capiremo la genialità matematica che permette a Google Authenticator di generare codici temporanei (TOTP) anche senza connessione a Internet, scopriremo perché gli SMS sono considerati obsoleti e pericolosi e faremo luce sul futuro delle Passkey e dello standard FIDO2.

L’Analogia dello Sportello Bancomat e del Caveau Bancario

Per visualizzare con immediatezza cosa differenzia una semplice password dall’autenticazione multi-fattore, possiamo osservare un’azione quotidiana che compiamo da decenni: prelevare contanti al bancomat.

I Tre Pilastri Fondamentali dell’Identità (Standard NIST SP 800-63B)

Nelle linee guida internazionali sull’identità digitale formulate dal prestigioso NIST (National Institute of Standards and Technology), un fattore di autenticazione valido deve appartenere a una delle tre categorie ontologiche indipendenti:

L’Errore Concettuale Frequente: La "Falsa" Doppia Autenticazione

Attenzione a un equivoco didattico molto comune tra gli studenti: richiedere due elementi della stessa categoria NON è autenticazione multi-fattore!
Se un sito web ti chiede di inserire la tua password abituale e poi ti chiede "Qual è il cognome da nubile di tua madre?" o un secondo PIN, non sta applicando la 2FA: sta chiedendo due fattori di conoscenza. Se un hacker compromette la tua mente o il tuo computer con un keylogger, intercetterà entrambe le risposte con la medesima facilità.

Per essere vera MFA, le prove richieste devono appartenere a almeno due categorie differenti (es. Conoscenza + Possesso, oppure Possesso + Inerenza).

La Scala di Sicurezza dei Metodi MFA: Dai Più Deboli agli Inviolabili

Non tutte le implementazioni di autenticazione a due fattori sono create uguali. Negli anni si sono sviluppate diverse tecnologie, caratterizzate da livelli di robustezza e resistenza al phishing diametralmente opposti:

Perché gli SMS Sono Pericolosi: La Minaccia del SIM Swapping

Fino a pochi anni fa, ricevere un codice a 6 cifre via SMS era il metodo 2FA più celebrato dalle banche. Oggi, sia il NIST che l’Agenzia per la Cybersicurezza Nazionale ne sconsigliano caldamente l’impiego per profili di rischio medio-alti. Per quali motivi?

1. Il SIM Swapping (Scambio di SIM): Un malintenzionato scopre nome, cognome e codice fiscale della vittima. Si reca in un negozio di telefonia (o corrompe un dipendente infedele del call center) fingendo di aver smarrito lo smartphone e chiedendo una nuova SIM con lo stesso numero. Da quel momento, la SIM della vittima si spegne e tutti gli SMS di recupero bancario e 2FA arrivano direttamente sul telefono del criminale!
2. Vulnerabilità delle Reti di Telecomunicazione (SS7): Il protocollo SS7 (Signaling System No. 7), che gestisce l’instradamento globale degli SMS tra operatori telefonici, risale agli anni ’70 ed è privo di crittografia moderna. Agenzie di intelligence o criminali specializzati possono intercettare gli SMS in transito nell’aria senza che l’utente se ne accorga minimamente.
3. Mancanza di Crittografia End-to-End: Gli SMS viaggiano in chiaro attraverso i server dei gestori telefonici e compaiono spesso come notifiche a schermo bloccato sui display dei telefoni, visibili a chiunque si trovi nelle vicinanze.

Come Funzionano le App Authenticator: L’Algoritmo TOTP (RFC 6238)

Quando usi app come Google Authenticator, Microsoft Authenticator o Bitwarden, accade qualcosa di straordinario: sullo schermo compare un codice a 6 cifre che cambia ogni 30 secondi, anche se il tuo smartphone è in modalità aereo e privo di qualsiasi connessione a Internet o Wi-Fi! Come fa il server del sito web a sapere quale numero compare sul tuo display in quel preciso istante?

La risposta è l’algoritmo TOTP (Time-based One-Time Password), standardizzato dall’IETF nella RFC 6238:

Poiché l’orologio interno dello smartphone e l’orologio del server web scorrono all’unisono sincronizzati con i server NTP mondiali, entrambi eseguono la stessa operazione matematica con gli stessi dati e ottengono lo stesso identico codice a 6 cifre. Non c’è alcun bisogno di trasmettere il codice attraverso la rete; la sicurezza riposa sul fatto che solo chi possiede fisicamente lo smartphone registrato possiede la chiave segreta K.

Il Pericolo del "MFA Fatigue" (Bombardamento di Notifiche)

Con la diffusione delle notifiche push su smartphone (del tipo "Stai tentando di accedere? Tocca SI per approvare"), i criminali informatici hanno sviluppato una nuova tattica psicologica devastante: il MFA Fatigue Attack (o Prompt Bombing).

Un attaccante che è riuscito a rubare la password della vittima lancia uno script automatizzato che tenta l’accesso decine di volte consecutive nel cuore della notte (es. alle 3:30 del mattino). Lo smartphone della vittima comincia a vibrare e squillare incessantemente con decine di notifiche di autorizzazione. Disorientata dal sonno, esasperata dall’incessante trillo o credendo che si tratti di un malfunzionamento del telefono, la vittima alla fine preme distrattamente "Approva" pur di far smettere le notifiche, spalancando le porte della rete aziendale all’hacker (è esattamente la tecnica usata nella celebre violazione dei server di Uber nel 2022).

La contromisura moderna: I sistemi di autenticazione avanzati non mostrano più un semplice pulsante "Sì/No", ma implementano il Number Matching: sullo schermo del computer compare un numero casuale a due cifre (es. 47) e l’utente deve digitarlo manualmente all’interno dell’app sullo smartphone per dimostrare di essere effettivamente davanti alla schermata di accesso legittima.

La Rivoluzione Finale: Lo Standard FIDO2, WebAuthn e le Passkey

Anche l’MFA con codici TOTP ha un punto debole insidioso: un attacco di Phishing Reverse Proxy in tempo reale (come Evilginx). Se un utente cade su un sito civetta identico a quello della banca, digita la password e poi inserisce il codice a 6 cifre dell’Authenticator, il server truffaldino cattura il codice al volo e lo inserisce nel vero sito della banca prima che scadano i 30 secondi, rubando il cookie di sessione.

Per eliminare alla radice il phishing una volta per tutte, l’alleanza mondiale FIDO (Fast IDentity Online) e il consorzio W3C hanno creato lo standard FIDO2 / WebAuthn, da cui discendono le moderne Passkey.

sequenceDiagram

autonumber

actor Utente as 👤 Utente Vittima

participant Browser as 🌐 Browser Web

participant Key as 🔑 Chiave FIDO2 / Passkey Hardware

participant FakeSite as 🦹 Sito Clone (banca-truffa.com)
Utente->>Browser: 1. Apre inavvertitamente il sito clone truffaldino
FakeSite->>Browser: 2. Invia sfida di autenticazione WebAuthn
Browser->>Key: 3. Richiede firma passando l'Origine certificata dal browser: 'banca-truffa.com'
Key-->>Key: 4. Il chip verifica il dominio: la chiave è vincolata a 'banca.it' e NON a 'banca-truffa.com'!
Key--xBrowser: 5. 🚨 FIRMA RIFIUTATA! Origine non autorizzata dal token crittografico
Browser--xFakeSite: 6. Nessun codice o token trasmesso all'attaccante: Phishing neutralizzato!

Le Passkey sfruttano la crittografia asimmetrica a livello hardware:

• La chiave privata non esce mai dal chip di sicurezza isolato del tuo dispositivo (TPM del PC, Secure Enclave dell’iPhone, Titan Chip di Google o chiavetta hardware YubiKey).
• Per autorizzare l’accesso basta un tocco dell’impronta digitale o la scansione del volto.
• La password scompare completamente: non c’è nessuna parola segreta da ricordare o da digitare, e nessun database remoto contiene credenziali rubabili.

Domande Frequenti (FAQ)

1. Cosa succede se perdo lo smartphone dove ho installato l’app con i codici 2FA?

Se perdi il telefono senza aver preso precauzioni, rischi di rimanere bloccato fuori dai tuoi account. Per prevenire questa situazione, i servizi rilasciano durante l’attivazione della 2FA una serie di Codici di Recupero di Emergenza (Backup Codes): stringhe monouso da stampare su carta o salvare in una cassaforte protetta. Inoltre, le app di autenticazione moderne (come Microsoft Authenticator o Google Authenticator collegato al proprio account Google) permettono oggi il backup cifrato su cloud, consentendo di ripristinare tutti i token su un nuovo smartphone in pochi secondi.

2. Le impronte digitali o la scansione del volto usate per l’MFA vengono inviate ai server dei siti web?

No, mai. Questo è uno dei timori più diffusi e infondati. Il riconoscimento biometrico (Touch ID, Face ID, Windows Hello) avviene esclusivamente in locale all’interno di un coprocessore di sicurezza hardware fisicamente isolato (Secure Enclave o TPM). Il sito web riceve soltanto una conferma crittografica asimmetrica firmata dal chip che attesta: "L’utente legittimo ha sbloccato il dispositivo con successo". Nessuna immagine della tua retina o delle tue impronte viaggia mai su Internet.

3. Posso usare una chiavetta hardware FIDO2 (es. YubiKey) sia su PC che su smartphone?

Sì. Le chiavi di sicurezza fisiche FIDO2 moderne dispongono di connettori universali USB-C (compatibili direttamente con computer, tablet e smartphone moderni) e incorporano l’antenna NFC (Near Field Communication): per autenticarsi su uno smartphone basta semplicemente avvicinare la chiavetta al retro del telefono, esattamente come quando paghi alla cassa con una carta contactless.

4. L’autenticazione biometrica può essere ingannata da una fotografia o da una copia dell’impronta?

I vecchi sensori ottici bidimensionali dei primi smartphone potevano talvolta essere raggirati con foto ad alta risoluzione. I sistemi biometrici moderni utilizzano tecnologie anti-spoofing avanzate: i sensori facciali proiettano decine di migliaia di punti a infrarossi invisibili per mappare la profondità tridimensionale del viso e verificano che gli occhi siano aperti e vivi (liveness detection); i sensori di impronte ultrasonici scansionano la micro-struttura 3D della pelle sottostante rilevando persino il flusso sanguigno.

Glossario Tecnico dei Termini Chiave

• MFA (Multi-Factor Authentication): Sistema di controllo degli accessi che richiede la presentazione verificata di almeno due prove indipendenti appartenenti a categorie concettuali diverse.
• 2FA (Two-Factor Authentication): Sottoinsieme specifico della MFA in cui vengono impiegati esattamente due distinti fattori di convalida.
• Fattore di Conoscenza: Categoria di autenticazione basata su dati mentali conosciuti dall’utente (password, PIN, risposte segrete).
• Fattore di Possesso: Categoria di autenticazione fondata sulla disponibilità fisica di un oggetto esclusivo (token hardware, smartphone, chiave FIDO2).
• Fattore di Inerenza: Categoria di autenticazione che convalida tratti biometrici unici e non trasferibili dell’essere umano (impronte, volto, voce).
• TOTP (Time-based One-Time Password): Algoritmo crittografico standardizzato (RFC 6238) che calcola codici numerici monouso temporanei combinando una chiave segreta con l’orario corrente.
• SIM Swapping: Truffa informatica che consiste nel duplicare fraudolentemente la scheda telefonica della vittima per intercettare i suoi codici di sicurezza via SMS.
• FIDO2 / WebAuthn: Standard architetturale globale per l’autenticazione web senza password resistente al phishing, basato su crittografia asimmetrica hardware e binding di dominio.
• Passkey: Credenziale crittografica FIDO2 a chiave pubblica sincronizzata in modo sicuro tra i dispositivi dell’utente attraverso il proprio portachiavi cloud di fiducia.

Fonti Ufficiali e Riferimenti Accademici

• NIST SP 800-63B (2020): Digital Identity Guidelines: Authentication and Lifecycle Management, Grassi, P. A. et al., National Institute of Standards and Technology. https://pages.nist.gov/800-63-3/sp800-63b.html
• RFC 6238 (2011): TOTP: Time-Based One-Time Password Algorithm, Krawczyk, H. et al., Internet Engineering Task Force. https://www.rfc-editor.org/rfc/rfc6238
• RFC 4226 (2005): HOTP: An HMAC-Based One-Time Password Algorithm, M’Raihi, D. et al., IETF. https://www.rfc-editor.org/rfc/rfc4226
• W3C Recommendation (2021): Web Authentication: An API for accessing Public Key Credentials Level 2 (WebAuthn), World Wide Web Consortium. https://www.w3.org/TR/webauthn-2/
• FIDO Alliance: FIDO2: Moving the World Beyond Passwords – Architecture and Specifications, FIDO Alliance. https://fidoalliance.org/fido2/
• CISA (Cybersecurity and Infrastructure Security Agency): Implementing Phishing-Resistant MFA, Cybersecurity Advisory. https://www.cisa.gov