What is Multi-Factor Authentication (MFA)?

By requiring people to confirm identity in more than one-way, multi-factor authentication provides greater assurance that they really are who they claim to be—which reduces the risk of unauthorized access to sensitive data. After all, it’s one thing to enter a stolen password to gain access; it’s quite another to enter a stolen password and then also be required to enter an OTP that was texted to the legitimate user’s smartphone.

Qualsiasi combinazione di due o più fattori si qualifica come autenticazione a più fattori. L'uso di due soli fattori può anche essere definito come autenticazione a due fattori.

Fase 1 – Nome utente e password inseriti

La prima fase del processo di autenticazione a più fattori prevede solitamente che l'utente inserisca il proprio nome utente e la propria password. Questo metodo tradizionale di autenticazione è spesso la prima linea di difesa contro gli accessi non autorizzati. Agli utenti viene richiesto di fornire le proprie credenziali in una pagina di login sicura. Tuttavia, affidarsi esclusivamente a un nome utente e a una password può essere inadeguato a causa di varie minacce, come gli attacchi di phishing, l'ingegneria sociale, gli attacchi "adversary-in-the-middle" o le violazioni di dati di terze parti che hanno reso le credenziali degli utenti disponibili agli attori delle minacce.

Pertanto, sia che si tratti di completare il processo MFA tradizionale o di andare oltre le password, sono necessari ulteriori metodi di verifica per migliorare la sicurezza di un'organizzazione.

Fase due – Inserimento del token o del PIN

Dopo aver inserito con successo il nome utente e la password, la maggior parte dei processi MFA chiede agli utenti di inserire un numero di identificazione personale (PIN) temporaneo o un codice di accesso unico (OTP). La caratteristica principale di questa fase è che il token è sensibile al tempo e spesso cambia a intervalli regolari. Ciò significa che anche se un malintenzionato ha ottenuto la password dell'utente, deve comunque accedere al token per completare il processo di login. Questo requisito di doppia verifica aumenta in modo significativo la sicurezza dell'account dell'utente, rendendo molto più difficile l'accesso ai malintenzionati.

Sebbene l'utilizzo di OTP come secondo fattore sia molto più sicuro del semplice utilizzo di una password, non è altrettanto sicuro di altri protocolli. Inoltre, anche il modo in cui le organizzazioni condividono gli OTP è un fattore importante per determinare la sicurezza complessiva del processo di autenticazione: gli SMS e le e-mail sono in genere considerati meno sicuri.

Fase tre – Verifica tramite impronta digitale o altro dato biometrico

La fase finale del processo di autenticazione a più fattori spesso prevede una verifica biometrica, come la scansione delle impronte digitali, il riconoscimento facciale o la scansione dell'iride, oppure un'autenticazione basata su qualcosa di cui si dispone, come una chiave di accesso legata a un dispositivo. La biometria si basa su caratteristiche fisiche uniche, estremamente difficili da replicare o falsificare. Richiedendo una verifica biometrica oltre al nome utente, alla password e al token, l'MFA garantisce che l'individuo che tenta di accedere all'account sia effettivamente l'utente autorizzato. Questa fase è particolarmente preziosa negli ambienti mobili, dove molti dispositivi sono dotati di tecnologia di riconoscimento delle impronte digitali o del volto. L'implementazione dell'autenticazione biometrica non solo migliora la sicurezza, ma offre anche un'esperienza semplice e continua, in quanto gli utenti possono verificare la propria identità in modo rapido e semplice senza dover ricordare codici complessi.

Anche le passkey legate al dispositivo e altri autenticatori o token hardware offrono una maggiore sicurezza. I passepartout legati al dispositivo sono generalmente ospitati su specifici dispositivi "chiave di sicurezza", con coppie di chiavi generate e memorizzate su un unico dispositivo. Inoltre, il materiale della chiave stessa non lascia mai il dispositivo, rendendo il flusso di autenticazione più sicuro.

Un metodo di autenticazione a più fattori viene tipicamente classificato in uno dei tre modi seguenti:

1. Qualcosa che si conosce: PIN, password o risposta a una domanda di sicurezza.

Le password e i PIN sono un esempio di fattori di conoscenza. Sono segreti conosciuti dall'utente e fungono da prima linea di difesa. Come parte dell'MFA, ancorano la sicurezza a informazioni che si presume siano memorizzate dall'utente e inaccessibili ad altri.

2. Qualcosa di cui si dispone: OTP, token, dispositivo fidato, smart card o badge, chiavi di accesso legate al dispositivo.

Il possesso di dispositivi fisici, come token hardware, chiavi di accesso legate a dispositivi o telefoni cellulari, costituisce un fattore di possesso. Questi oggetti spesso contengono chiavi crittografiche o sono in grado di ricevere codici di verifica, aggiungendo un'ulteriore barriera all'accesso non autorizzato. Con i fattori di possesso, la semplice conoscenza di una password è insufficiente; l'accesso richiede qualcosa che l'utente possiede fisicamente.

3. Qualcosa di voi - volto, impronte digitali, scansione della retina o altri dati biometrici - è un'immagine che non è mai stata utilizzata.

I fattori di inerenza si riferiscono alle caratteristiche biometriche di un individuo. Ne sono un esempio le impronte digitali, il riconoscimento facciale, i modelli vocali e persino le scansioni della retina. Questi fattori sfruttano l'unicità dei tratti biologici umani, rappresentando un ostacolo sostanziale per i potenziali intrusi.

Per ottenere l'autenticazione a più fattori, oltre alla password è possibile utilizzare uno dei seguenti metodi.

• Biometria—a form of authentication that relies on a device or application recognizing a biometric, such as a person’s fingerprint, facial features or the retina or iris of the eye
• Spingere per approvare—a notification on someone’s device that asks the user to approve a request for access by tapping their device screen
• One-time password (OTP)—an automatically generated set of characters that authenticates a user for one login session or transaction only
• Token hardware or hard tokens or device-bound passkeys—a small, portable OTP-generating device, sometimes referred to as a key fob like the Serie RSA iShield Key 2 o l'autenticatore hardware RSA DS100
• Gettone software or soft tokens or software authenticators—a token that exists as a software app on a smartphone or other device rather than as a physical token, like RSA’s Authenticator App available on iOS and Android

Migliorare la sicurezza

L'autenticazione a più fattori migliora la sicurezza. Dopo tutto, quando c'è un solo meccanismo a guardia di un punto di accesso, come una password, l'unica cosa che un malintenzionato deve fare per entrare è trovare un modo per indovinare o rubare quella password. È per questo che la maggior parte delle violazioni dei dati inizia con credenziali compromesse o con il phishing, che porta alla compromissione delle credenziali.

Ma se l'ingresso richiede anche un secondo (o addirittura un secondo e un terzo) fattore di autenticazione, l'ingresso diventa ancora più difficile, soprattutto se il requisito è qualcosa di più difficile da indovinare o rubare, come una caratteristica biometrica.

L'MFA migliora inoltre l'organizzazione Fiducia zero maturity and stops phishing with phishing-resistant authentication.

Promuovere le iniziative digitali

Con un numero sempre maggiore di organizzazioni desiderose di implementare un forza lavoro a distanza oggi, sempre più consumatori scelgono di negozio online invece che nei negozi, e un numero maggiore di organizzazioni che spostano app e altre risorse su la nuvola, L'autenticazione a più fattori è un potente strumento. La sicurezza delle risorse organizzative e di e-commerce è una sfida nell'era digitale e l'autenticazione a più fattori può essere preziosa per contribuire a mantenere sicure le interazioni e le transazioni online.

Nel processo di creazione di un ambiente di accesso più sicuro, è possibile crearne uno meno comodo, e questo può essere uno svantaggio. (Questo è particolarmente vero quando Fiducia zero, che considera tutto come una potenziale minaccia, compresa la rete e qualsiasi applicazione o servizio in esecuzione sulla rete, continua a guadagnare terreno come base per l'accesso sicuro). Nessun dipendente vuole spendere del tempo in più ogni giorno per affrontare molteplici ostacoli al login e all'accesso alle risorse, e nessun consumatore che ha fretta di fare acquisti o operazioni bancarie vuole essere ostacolato da molteplici requisiti di autenticazione. La chiave è trovare un equilibrio tra sicurezza e convenienza, in modo che l'accesso sia sicuro, ma che i requisiti di accesso non siano così onerosi da creare eccessivi disagi a chi ne ha legittimamente bisogno.

Un modo per trovare un equilibrio tra sicurezza e convenienza è aumentare o diminuire i requisiti di autenticazione in base alla posta in gioco, cioè al rischio associato a una richiesta di accesso. Questo è il significato di autenticazione basata sul rischio. Il rischio può riguardare l'oggetto dell'accesso, chi lo richiede o entrambi.

• Rischio rappresentato da ciò a cui si accede: For example, if someone requests digital access to a bank account, is it to initiate a funds transfer, or just to check the status of a transfer that’s already been initiated? Or if someone interacts with an online shopping website or app, is it to order something, or just to check the delivery status of an existing order?  A username and password may suffice for the latter, but multi-factor authentication makes sense when there’s a high-value asset at risk.
• Rischio rappresentato da chi richiede l'accesso: Quando un dipendente o un appaltatore remoto richiede l'accesso alla rete aziendale dalla stessa città giorno dopo giorno, utilizzando sempre lo stesso computer portatile, ci sono poche ragioni per sospettare che non si tratti di quella persona. Ma cosa succede quando una richiesta di Mary a Minneapolis arriva improvvisamente da Mosca una mattina? Il rischio potenziale (è davvero lei?) giustifica la richiesta di un'ulteriore autenticazione.

L'autenticazione a più fattori è in continua evoluzione per fornire un accesso più sicuro per le organizzazioni e meno scomodo per gli utenti. La biometria è un ottimo esempio di questa idea. È sia più sicura, perché è difficile rubare un'impronta digitale o un volto, sia più comoda, perché l'utente non deve ricordare nulla (come una password) o fare altri sforzi importanti. Di seguito sono elencati alcuni dei progressi che oggi caratterizzano l'autenticazione a più fattori.

• Artificial intelligence (AI) and machine learning (ML): AI and ML can be used to recognize behaviors that indicate whether a given access request is “normal” and therefore does not require additional authentication (or, conversely, to recognize anomalous behavior that does warrant it).
• Fast Identity Online (FIDO): FIDO authentication is based on a set of free and open standards from the FIDO Alliance. It enables password logins to be replaced with secure and fast login experiences across websites and apps.
• Passwordless authentication: Rather than using a password as the main method of verifying identity and supplementing it with other non-password methods, passwordless authentication eliminates passwords as a form of authentication.

Siate certi che l'autenticazione a più fattori continuerà a cambiare e a migliorare nella ricerca di modi in cui le persone possano dimostrare di essere chi dicono di essere, in modo affidabile e senza dover fare salti mortali.

Prova Soluzione di autenticazione a più fattori (MFA) in cloud ID Plus—one of the most secure products on the market, and the world’s most deployed MFA.

Find out why: sign up for our free 45-day trial: Iniziare una prova gratuita