Passkey e verifica in due passaggi: proteggere gli account dell’attività
Un’attività di oggi vive su una manciata di account: la casella email, la scheda Google, l’hosting
del sito, il dominio, i profili social, a volte il gestionale. Se qualcuno entra in uno di questi,
il danno non è teorico: email mandate a nome tuo ai clienti, una scheda Google modificata, un sito
che non risponde più.
La difesa di base esiste da anni, è gratuita e si attiva in dieci minuti per account. Molte piccole
attività non l’hanno ancora fatto, di solito perché nessuno ha spiegato bene cosa cambia.
La password da sola non basta
Una password si può indovinare, rubare con un sito falso o trovare in un elenco di credenziali
finite online dopo l’attacco a un altro servizio. Se usi la stessa password in più posti, basta
che ne cada uno.
La verifica in due passaggi (si chiama anche autenticazione a due fattori, o 2FA) aggiunge un
secondo controllo dopo la password. Google la descrive così: serve ad aggiungere «an extra layer of
security to your account in case your password is stolen», un livello di sicurezza in più nel caso
in cui la password venga rubata. Chi ha la tua password, senza il secondo passaggio, resta fuori.
L’agenzia americana per la cybersicurezza, CISA, dice che chi attiva l’autenticazione a più fattori
è «significantly less likely» a subire un’intrusione, cioè molto meno esposto.
Non tutti i secondi passaggi valgono uguale
Il secondo passaggio può essere di diversi tipi. Prendo l’elenco di Google come riferimento, perché
è quello che quasi tutti hanno davanti:
- un codice via SMS o chiamata, di sei cifre, mandato al tuo numero;
- un’app di autenticazione, che genera codici anche senza connessione;
- una notifica sul telefono, che approvi o blocchi con un tocco;
- una chiave di sicurezza fisica, un piccolo dispositivo da collegare;
- una passkey, di cui parlo sotto.
L’SMS è il più diffuso ed è il più debole. Google scrive che i codici via SMS o chiamata «can be
vulnerable to phone number-based hacks»: possono essere aggirati con attacchi che prendono il
controllo del tuo numero di telefono. Le notifiche, invece, secondo la stessa pagina aiutano a
proteggersi «against SIM swap and other phone number-based hacks».
Detto questo: un SMS è comunque molto meglio di niente. Se un servizio offre solo quello,
attivalo. Se offre altro, scegli altro.
Le passkey: niente da digitare, niente da rubare
Una passkey sostituisce la password. Invece di scrivere qualcosa, sblocchi il telefono o il
computer come fai sempre: impronta, volto o PIN. Google la presenta come «a simple and secure
alternative to passwords».
Dietro c’è uno standard aperto, FIDO. La FIDO Alliance lo spiega in una riga: «Passkeys replace
passwords with cryptographic key pairs», le passkey sostituiscono le password con coppie di chiavi
crittografiche. In pratica, sul server del servizio non c’è più un segreto che si possa rubare e
riusare.
Per chi gestisce un’attività il punto importante è un altro: una passkey non si può consegnare
a un truffatore. Google scrive che le passkey «can’t be shared, copied, written down, or
accidentally given to someone else». E sono legate al sito per cui sono state create: un sito falso
che imita quello della banca o dell’hosting non può usarle.
È per questo che CISA scrive che «the only widely available phishing-resistant authentication is
FIDO/WebAuthn authentication»: l’unica autenticazione diffusa che resiste al phishing è quella
basata su FIDO. Un codice, anche se arriva da un’app, si può ancora dettare al telefono a qualcuno
che finge di essere l’assistenza. Una passkey no.
Un’ultima cosa sull’impronta o sul volto: secondo Google quei dati restano sul dispositivo e non
vengono mai condivisi con Google.
Da dove cominciare
Non serve fare tutto oggi. Serve l’ordine giusto.
- La casella email principale. È quella su cui arrivano i link per reimpostare tutte le altre
password. Chi entra lì può entrare ovunque. - L’account Google dell’attività, che spesso è la stessa cosa del punto 1 e in più gestisce la
scheda su Maps. - Il pannello dell’hosting e del dominio. Da lì si spegne il sito o si spostano le email.
- I social e il resto.
Per ognuno: apri le impostazioni di sicurezza dell’account, attiva la verifica in due passaggi e,
se il servizio lo permette, crea una passkey.
Gli errori da evitare
Non salvare i codici di recupero. Quando attivi la verifica in due passaggi, molti servizi ti
danno una serie di codici di riserva. Google li chiama backup code: sono di otto cifre e servono
quando perdi il telefono. Stampali o salvali in un posto sicuro, e non darli a nessuno. Senza, un
telefono perso può diventare un account perso.
Legare tutto al telefono di una persona sola. Se l’unico secondo passaggio è sul telefono del
titolare e il titolare è in ferie, nessuno entra. Prevedi un secondo metodo: un’altra passkey su un
altro dispositivo, una chiave fisica in cassaforte, i codici di recupero.
Dettare un codice a chi lo chiede. Nessuna assistenza seria ti chiede il codice che ti è appena
arrivato. Google lo dice senza giri di parole: «never share your verification codes with anyone».
Dimenticarsi del dispositivo perso. Se perdi un telefono con una passkey, entra nell’account
da un altro dispositivo e rimuovi la passkey di quello perso. Lo dice la stessa guida di Google.
In sintesi
La password è il minimo, non la protezione. La verifica in due passaggi chiude la porta a chi ha
solo la password. La passkey toglie di mezzo anche il trucco più comune, il sito falso. Sono dieci
minuti per account, e i primi da proteggere sono l’email e il dominio.
Se vuoi una mano a mettere in ordine gli accessi della tua attività, a partire da sito, dominio ed
email, scrivici.
Fonti: Google, verifica in due passaggi ·
Google, passkey ·
FIDO Alliance, passkeys ·
CISA, autenticazione a più fattori.