Perché la 2FA dovrebbe essere la tua abitudine n. 1 per la sicurezza dell'email

È stata inventata negli anni ‘90 (ed è ampiamente attribuita ad AT&T) ma è diventata importante solo a metà degli anni 2000. L'autenticazione a due fattori (o 2FA, come è più comunemente nota) ha un principio così semplice da essere quasi bello — combina qualcosa che sai con qualcosa che hai.

Il problema e la soluzione

Il problema:

Un nome utente e una password erano tutto ciò che si frapponeva tra i nostri dati e l'accesso non autorizzato. I nostri account sono essenzialmente una porta non sorvegliata, pronta a essere violata 24/7 senza che ce ne accorgiamo. La situazione non è aiutata dal fatto che i nomi utente sono quasi sempre prevedibili e che anche le password possono essere facili da indovinare perché tutti tendiamo verso le stesse idee.

Per esempio, una singola parola sarebbe difficile da indovinare per un altro essere umano, ma a causa del numero limitato di parole nella lingua inglese, è sorprendentemente facile per un computer. Ecco perché molti siti ci chiedono di rafforzare le nostre password con lettere e caratteri speciali. Ma con software di hacking sempre più sofisticati e ora con l'avvento dell'IA, nemmeno questo basta. Ricorda che quella “porta” verso il tuo account è individuabile nell'etere 24/7.

La soluzione:

Convalidare che sia davvero tu ad accedere usando qualcosa che può essere (logicamente) solo in tuo possesso. Potrebbe trattarsi di uno smartphone, un account email, una chiave o persino dati biometrici. Qualunque sia il metodo utilizzato, la 2FA garantisce che i tentativi di accesso non autorizzati possano essere bloccati e che tu possa intervenire per mitigare ulteriori violazioni.

Certo, è un controllo dell'identità un po' più sofisticato — l'equivalente di guardare dallo spioncino prima di togliere il chiavistello alla porta d'ingresso — ma l'implementazione è piuttosto ingegnosa, se ci pensi. Il livello di sicurezza e consapevolezza che la 2FA aggiunge a un account la eleva oltre la somma delle sue parti.

Quindi, perché ci ha messo così tanto a diffondersi? Probabilmente è stata solo una combinazione del graduale aumento del cybercrime nel corso degli anni, della frequenza con cui le persone possiedono dispositivi secondari e della maggiore potenza di calcolo a disposizione dei criminali informatici, che ha fatto sì che dovesse aspettare il suo momento per brillare. È anche possibile che ci fossero preoccupazioni riguardo alla perdita del dispositivo secondario.

Dove abbiamo visto la 2FA eccellere per anni

Le app bancarie e finanziarie la utilizzano già da diversi anni. Ma se non hai ancora notato che si sta diffondendo anche ai tuoi account più “quotidiani”, probabilmente lo farai presto. L'implementazione è in corso man mano che la tecnologia di hacking diventa più sofisticata e le aziende che gestiscono dati hanno una responsabilità sempre maggiore nel proteggere i nostri dati.

Diamo un'occhiata alla 2FA nel contesto degli account email, per esempio. Finora potresti aver pensato che attivare la 2FA per i tuoi account email fosse un po' una seccatura o eccessivamente prudente — ma ti spiegheremo perché ne vale davvero la pena, soprattutto se lavori nel mondo degli affari.

Perché aggiungere la 2FA per proteggere il tuo account email?

Beh, innanzitutto, considera che un secondo livello di protezione oltre alla password non è mai davvero una cattiva idea. Ora fermati a pensare al tipo di dati sensibili contenuti nel tuo account email:

• Informazioni bancarie — il tipo di dati che proteggi con la 2FA altrove già da anni.

• Allegati personali — foto, documenti o persino creazioni di cui vuoi mantenere la proprietà intellettuale.

• Cronologia degli acquisti — e altri dati che potrebbero essere preziosi per gli inserzionisti.

• Dati medici — registri di appuntamenti, farmaci o persino condizioni mediche.

• Dati immobiliari — l'acquisto di case e altri processi importanti simili avvengono spesso senza documenti cartacei.

E, come abbiamo detto, se lavori nel mondo degli affari, questi dati quasi certamente includono anche quelli dei tuoi clienti. Mantenere questi dati al sicuro è un obbligo legale nei paesi con normative come il GDPR. Quindi proteggere l'email comincia già a sembrare una scelta ovvia, e non abbiamo ancora finito!

Forse il motivo più cruciale per mantenere sicura la tua email è che rappresenta una porta d'accesso a molti dei tuoi altri account. Da anni è un metodo comune per reimpostare le password. Tutto ciò che una persona con accesso alla tua email deve fare è leggere i tuoi messaggi per capire su quali siti hai account, e poi seguire la procedura di ‘password dimenticata’ su di essi.

Per quasi tutti i siti più piccoli, l'account email registrato è tutto ciò che si frappone tra qualcuno e l'accesso al tuo account. Questo potrebbe significare che molti dei tuoi account vengono compromessi prima ancora che tu ti renda conto che il tuo account è stato violato.

Aggiungi facilmente la 2FA al tuo account

La buona notizia è che è davvero facile aggiungere la 2FA alla maggior parte degli account email. Gli account email aziendali o professionali hanno particolarmente probabilità di offrire questa funzione. Il processo di attivazione è di solito semplice e molto rapido da configurare, soprattutto se hai già un'app di autenticazione per altre app.

Vedremo Spacemail (di Spaceship come buon esempio), dove la 2FA può essere attivata in pochi clic.

1. Accedi al tuo account

2. Fai clic sull'icona a forma di ingranaggio delle impostazioni in alto a destra sullo schermo.

3. Fai clic su ‘Avvia centro sicurezza’ nel secondo riquadro.

4. Fai clic su TWO FACTOR AUTHENTICATION nella scheda.

5. Scegli uno dei due tipi di 2FA supportati.

Non dimenticare di chiudere anche gli altri punti di accesso

Aggiungere la 2FA all'accesso principale va benissimo, ma c'è una buona probabilità che tu abbia un'altra porta sul retro verso il tuo account email se lo hai collegato a un'app (come Outlook o Gmail) sul tuo telefono.

I protocolli utilizzati per abilitare questa funzione includono IMAP, SMTP e POP3. Se abilitati, l'accesso al tuo account potrebbe essere configurato tramite un'app, aggirando la 2FA che hai impostato. Per garantire la sicurezza, disabilita questi protocolli se possibile.

Nel caso di Spacemail, un'app è attualmente in fase di sviluppo, con rilascio previsto più avanti nel corso dell'anno. Questo ti consentirà di accedere facilmente alla tua posta da un dispositivo come uno smartphone, senza compromettere la sicurezza.

Tipi di 2FA

A proposito di “tipi di 2FA”, diamo un'occhiata più da vicino a cosa sono e a come funzionano nel contesto di Spacemail. In linea generale, esistono tre tipi di 2FA. Tutti utilizzano un elemento diverso per l'autenticazione.

“Qualcosa che sai”

Questo include elementi come numeri PIN aggiuntivi o domande di sicurezza. Si tratta di informazioni che solo tu dovresti conoscere — ma per molti aspetti non sono così diverse da una password. È una forma di 2FA più antiquata, che viene gradualmente abbandonata a favore dei metodi qui sotto.

Potresti aver sentito, diversi anni fa, il consiglio di scegliere un falso ‘cognome da nubile della madre’ o un ‘primo animale domestico’ per evitare che le persone indovinassero o ricercassero la tua risposta.

A causa della sua relativa insicurezza, questo metodo non è supportato da Spacemail.

“Qualcosa che sei”

Ne abbiamo già parlato brevemente. Questo tipo di 2FA si basa su dati biometrici come impronte digitali, riconoscimento facciale e riconoscimento vocale. È utile quando un dispositivo secondario potrebbe non essere l'opzione migliore, per esempio quando in molti casi stiamo usando uno smartphone che è esso stesso il dispositivo secondario.

I dati biometrici consentono una convalida secondaria usando la persona stessa. Anche se questo richiede sensori aggiuntivi che di solito si trovano solo su dispositivi recenti e sofisticati.

“Qualcosa che hai”

La maggior parte delle 2FA rientra in questa categoria, e questo vale per entrambe le opzioni che troverai su Spacemail. Richiedono il possesso di un dispositivo o oggetto specifico. Esistono diversi modi per implementare questo metodo.

TOTP (Time-Based One-Time Password)

Un codice generato da un'app di autenticazione fornisce un accesso sicuro. Puoi usare app di autenticazione oppure inviare codici monouso tramite SMS/email. Nel caso di Spaceship, TOTP è consentito solo tramite un'app di autenticazione perché è molto più sicuro.

U2F (Universal 2nd Factor)

U2F utilizza la crittografia a chiave pubblica, rendendolo più sicuro e resistente al phishing. Non richiede di digitare manualmente dei codici. Basta inserire una chiave hardware (come una YubiKey) nel tuo dispositivo. Questo offre anche il vantaggio aggiuntivo che, se qualcuno ruba il tuo smartphone, è necessario un dispositivo aggiuntivo (la chiave) per accedere agli account protetti da 2FA.

Quale metodo scegliere

U2F è generalmente considerato più sicuro perché i dispositivi sono resistenti alle manomissioni e il processo crittografico è legato al sito web o all'app specifici. Questo garantisce che, anche se un utente viene indotto con l'inganno a visitare un sito falso, l'autenticazione fallirà, poiché il sito falso non può replicare la connessione sicura richiesta.

Naturalmente, l'acquisto di una chiave U2F comporta un costo, ma potrebbe valerne la pena quando si tratta della tua sicurezza.

La 2FA come parte di una dieta di sicurezza equilibrata…

L'uomo non può vivere di sola 2FA. Non sostituisce buone pratiche di sicurezza a tutto tondo. I nostri account email sono particolarmente soggetti ad attacchi di phishing e malware. L'ironia è che nessuno deve entrare nel tuo account per rappresentare una minaccia in questo modo. Basta semplicemente inviare un'email.

Ecco perché gli account che offrono altre protezioni contro le minacce email, in particolare i filtri antispam, sono anch'essi un investimento saggio. Impedendoti di vedere email che contengono trappole di ingegneria sociale o malware, non vedrai nemmeno il rischio più grande per la tua sicurezza.Attiva oggi stesso la 2FA sul tuo account e, se scopri che non la offre, valuta di passare a uno che la offre.