Cos'è l'autenticazione multifattoriale (AMF)?

• Glossario IAM
• Cos'è l'autenticazione multifattoriale (AMF)?

L'autenticazione multifattoriale (AMF) è una misura di sicurezza che richiede agli utenti di fornire più di una forma di autenticazione per accedere a un servizio o a un'applicazione.

Definizione di autenticazione multifattoriale

L'idea che sta alla base dell'AMF è quella di fornire un ulteriore livello di sicurezza oltre ai tradizionali nome utente e password, richiedendo agli utenti di fornire una prova aggiuntiva della loro identità. Questa prova aggiuntiva è chiamata fattore di autenticazione. Ne esistono quattro tipi diversi:

• Qualcosa che l'utente conosce: Potrebbe trattarsi di una password, di un PIN o della risposta a una domanda di sicurezza.

• Qualcosa che l'utente possiede: Potrebbe trattarsi di un token fisico, come una smart card o una chiave di sicurezza USB oppure un token virtuale generato da un'app di autenticazione presente sullo smartphone dell'utente. Questi token virtuali sono chiamati password monouso (One-Time Password, OTP) o password monouso a tempo (Time-Based One-Time Password, TOTP).

• Qualcosa che l'utente è: Informazioni biometriche, quali le impronte digitali, il riconoscimento facciale o la scansione dell'iride.

• Un punto qualunque in cui l'utente si trova: La vostra posizione geografica. Alcune applicazioni e servizi sono accessibili solo agli utenti che si trovano in una determinata località geografica. Questo particolare fattore di autenticazione è spesso utilizzato in ambienti di sicurezza zero-trust.

I sistemi AMF richiedono agli utenti di fornire almeno due fattori diversi appartenenti a due categorie diverse. Spieghiamolo con un esempio:

• Un sistema che richiede agli utenti di inserire sia una password che un PIN non si qualifica come dotato di AMF, perché entrambi questi fattori rientrano nella categoria "qualcosa che l'utente conosce".
• I bancomat utilizzano la AMF da decenni. Richiedono agli utenti di inserire una carta bancomat (qualcosa che possiedono) e di digitare un PIN (qualcosa che conoscono).

Oltre agli sportelli bancomat, la AMF è ampiamente utilizzata per proteggere gli account online, come la posta elettronica, l'online banking e il cloud storage, nonché l'accesso fisico agli edifici e ad altre aree sicure.

Non tutti i fattori di autenticazione sono creati uguali

Alcuni sistemi AMF utilizzano per l'autenticazione i TOTP inviati tramite una chiamata, un messaggio di testo o un'e-mail. Sebbene questi metodi siano tecnicamente fattori AMF "validi", molti esperti di sicurezza ne sconsigliano l'uso perché possono essere facilmente compromessi.

Per questo motivo, è consigliabile evitare di utilizzare e-mail, chiamate o messaggi di testo per l'AMF, a meno che non siano disponibili altri metodi. Tra le opzioni più efficaci vi sono la biometria, un token di sicurezza fisico o un'applicazione di autenticazione indipendente.

Qual è la differenza tra AMF e A2F?

A2F sta per autenticazione a due fattori. L'unica differenza tra A2F e AMF è che A2F si riferisce a un metodo di autenticazione che richiede solo due fattori di autenticazione, mentre AMF è un termine generico che si riferisce a un sistema che richiede due o più fattori di autenticazione.

Pertanto, il bancomat di cui sopra è un esempio di A2F, ma anche chiamarlo AMF è corretto. Al contrario, un sistema che richiede all'utente di inserire una carta o una chiave di sicurezza, inserire un PIN e scansionare la propria impronta digitale sarebbe AMF, ma non A2F.

Quale protezione offre la AMF?

Le password compromesse sono la maggiore causa singola delle violazioni dei dati e degli attacchi ransomware. La AMF impedisce gli attacchi informatici legati alle password rendendo esponenzialmente più difficile per gli aggressori compromettere un account. Anche se un malintenzionato riesce a ottenere una password funzionante, questa è inutile senza i fattori di autenticazione aggiuntivi. Una statistica di Microsoft ha rivelato che la AMF può bloccare oltre il 99,9 per cento degli attacchi che vogliono compromettere un account.

Per questo motivo, la AMF svolge un ruolo importante nella conformità informatica. Molti quadri normativi e di settore richiedono alle organizzazioni di implementare la AMF per proteggere i propri sistemi interni. La AMF è anche essenziale per implementare una framework di sicurezza zero-trust, la quale richiede esplicitamente la verifica degli utenti.

L'implementazione della AMF può anche contribuire ad aumentare la fiducia degli utenti in un sistema, in quanto dimostra che l'organizzazione prende sul serio la sicurezza e si impegna a proteggere le informazioni degli utenti.

Posso implementare l'autenticazione multifattoriale?

Per utenti privati

Gli utenti privati dovrebbero attivare la A2F/AMF su tutti i siti web e le app che la supportano per proteggere i loro account personali dalle minacce informatiche. Molti siti e app guidano gli utenti in questa procedura al momento della configurazione dell'account. In alternativa, si possono consultare i documenti di assistenza e guida del sito o dell'app.

Ricordate di evitare l'uso di e-mail, messaggi di testo o chiamate come fattore di autenticazione, a meno che il sito o l'app non supportino altri metodi.

Per utenti aziendali e professionisti

Le fasi di implementazione della AMF variano a seconda delle esigenze e delle risorse specifiche dell'organizzazione. Si consiglia di chiedere l'assistenza di un esperto di sicurezza o di un professionista IT se non siete sicuri di come procedere. Tuttavia, ecco una panoramica generale delle fasi da seguire:

1. Stabilire i tipi di fattori di autenticazione da utilizzare: Decidete quali fattori di autenticazione utilizzare in base alle vostre esigenze di sicurezza e alle risorse disponibili. Ricordate di scegliere almeno due fattori di due categorie diverse ed evitate di usare chiamate, e-mail o messaggi di testo come fattore di autenticazione.

2. Scegliere una soluzione AMF: Esistono molte soluzioni commerciali e open-source per implementare la AMF. Scegliete una soluzione che supporti i fattori di autenticazione selezionati e che rientri nel vostro budget e nelle vostre capacità tecniche.

3. Integrare la soluzione AMF nei propri sistemi: Ciò può comportare l'integrazione della soluzione AMF nel sistema di autenticazione esistente o la sostituzione del sistema di autenticazione esistente con una soluzione abilitata alla AMF. Potrebbe essere necessario modificare il codice dell'applicazione o apportare modifiche alla vostra infrastruttura di rete.

4. Iscrivere gli utenti: Una volta integrata la soluzione AMF nei vostri sistemi, iscrivete gli utenti chiedendo loro di fornire i fattori di autenticazione aggiuntivi richiesti dalla soluzione AMF.

5. Monitorare e mantenere la soluzione AMF: Monitorate regolarmente la soluzione AMF in termini di prestazioni e sicurezza e aggiornatela, se necessario, per mantenerne l'efficacia.