L’autenticazione a due fattori (2FA) ha preso una batosta ultimamente per essere una misura di sicurezza meno che ideale. Parte del problema è che alcuni codici 2FA sono inviati via SMS, che possono essere intercettati.
In alcuni casi (come molti istituti bancari), il sistema 2FA non permette l’interazione con app come Authy o Google Authenticator. Invece, insistono sull’invio di codici 2FA via SMS. Per i più attenti alla sicurezza, questa non è proprio un’opzione. In effetti, per alcune persone anche usare le app mobili non è la migliore idea. Soprattutto quando si ha a che fare con un account associato al proprio business.
Per fortuna, alcuni servizi offrono codici di backup 2FA che possono essere utilizzati come opzione analogica. Google è uno di questi servizi. Quando si imposta 2FA per Google si ha la possibilità di stampare sette codici di backup che possono essere utilizzati in caso di emergenza. Questi codici funzionano e, quando si esauriscono, è sempre possibile generarne altri.
Si può già vedere dove sto andando con questo.
SEE: Password Management Policy (Tech Pro Research)
In alcuni casi, ho Google impostato il mio browser come sicuro, quindi non devo inserire un codice 2FA ogni volta che accedo. È solo quando sono lontano dal mio ufficio o sto impostando una nuova macchina che ho bisogno di un codice. Se mi sento piuttosto paranoico, uso uno di quei codici di emergenza 2FA. Quando li esaurisco, ne creo altri. È così semplice.
Ma come fare? Semplice. Scopriamolo.
Come recuperare quei codici
Se non hai stampato quei codici, dopo aver impostato 2FA, la prima cosa da fare è recuperarli. Per farlo, devi accedere al tuo account Google, e poi andare sul sito di Google 2FA, dove ti verrà richiesto di accedere ancora una volta. Dopo un’autenticazione riuscita, vedrai una voce per i codici di backup. Clicca sul pulsante MOSTRA CODICI (Figura A).
Figura A
Ricerca dei tuoi codici Google 2FA.
Apparirà un pop-up che elenca i tuoi codici di emergenza 2FA. È quindi possibile scaricarli (come file .txt) o stamparli direttamente. L’elenco vi mostrerà anche solo i codici che non avete usato (poiché il resto sarà elencato come ALREADY USED). Pratico.
Parola di cautela
Per coloro che scelgono di scaricare il file .txt, vi suggerisco di farlo, e poi crittografare quel file. Non lasciatelo in giro, non protetto, sul vostro disco locale in modo che occhi indiscreti possano sbirciare. Inoltre, incluso in quel file c’è il tuo indirizzo Gmail associato all’account. Ti consiglio vivamente di cancellare quella linea nel file (nella remota possibilità che qualcuno si imbatta nel file e riesca ad aprirlo). L’ultima cosa che volete è rendere facile per un cattivo attore fare due più due e capire che quei codici sono associati a quell’indirizzo. C’è anche una linea che assomiglia a questa:
Need more? Visit https://g.co/2sv
Consiglio di cancellare quella linea, perché potrebbe rivelare il segreto di cosa sono quei codici. Una volta cancellate queste linee, salvate e chiudete il file. Crittografatelo, e i vostri codici avranno meno probabilità di essere visti da occhi indiscreti.
Come generare nuovi codici
Sorpresa! In quello stesso pop-up, vedrai un pulsante etichettato GET NEW CODES (Figura B). Fai clic su quel pulsante e verranno generati sette nuovi codici.
Figura B
La finestra pop-up dei codici di backup di Google.
Ecco un consiglio. Usa solo sei di questi codici, e considera il settimo la tua chiave per ottenere più codici. Questo è particolarmente vero se si sceglie di non utilizzare un’app mobile per Google 2FA. Non volete trovarvi senza quell’ultima chiave, in modo da poter accedere e generarne altre.
Non è una soluzione perfetta
2FA non è una soluzione perfetta. Ma se potete evitare di usare siti e servizi che inviano i codici 2FA via SMS (e se quei siti in questione iniziassero a supportare le app 2FA mobili), avrete meno probabilità di farvi rubare i codici e usarli contro di voi. Anche così, potreste considerare di usare solo questi codici Google per l’autenticazione 2FA. Usateli saggiamente e capite che, quando si tratta di sicurezza, niente è mai al 100%.
Vedete anche
- Spostare Google Authenticator da un dispositivo Android ad un altro (TechRepublic)
- Firefox Accounts ottiene sicurezza 2FA: È possibile utilizzare i codici monouso di Google Authenticator (ZDNet)
- Come impostare l’autenticazione a due fattori in Linux (TechRepublic)
- Ricerca sulla strategia di cybersecurity: Common tactics, issues with implementation, and effectiveness (Tech Pro Research)
- How to set up two-factor authentication on CentOS 7 (TechRepublic)
- How to get users on board with two-factor authentication (TechRepublic)