La storia del 2FA: dai token hardware alle passkey

Perché le sole password hanno smesso di bastare

Per decenni, un nome utente e una password erano tutto ciò che stava tra un attaccante e il tuo account. Era accettabile quando gli account vivevano su un singolo server d'ufficio. Ha smesso di esserlo quando quasi tutto — banche, email, lavoro, acquisti — si è spostato online.

Due problemi si sono sommati. Primo, le persone riutilizzano le password: una violazione di un sito minore consegna agli attaccanti credenziali che potrebbero aprire anche una casella email o un conto in banca. Secondo, le violazioni hanno raggiunto una scala industriale, producendo enormi quantità di coppie nome utente-password rubate che i criminali testano automaticamente contro altri servizi.

L'autenticazione a singolo fattore ha un difetto strutturale: l'unico fattore su cui si basa — un segreto — può essere indovinato, rubato, riutilizzato o oggetto di phishing.

I ricercatori della sicurezza descrivono l'autenticazione in termini di tre tipi di fattore:

• Qualcosa che conosci — una password o un PIN
• Qualcosa che possiedi — un telefono, un token hardware o una chiave di sicurezza
• Qualcosa che sei — un'impronta digitale o un volto

Combinare due fattori diversi alza notevolmente l'asticella: una password rubata da sola non apre più la porta. Gli attaccanti devono rubare anche un dispositivo o un dato biometrico. Questa semplice idea guida tutto ciò che segue.

L'era dei token hardware (1980–2000)

I primi secondi fattori ampiamente utilizzati erano piccoli token hardware: portachiavi elettronici o dispositivi delle dimensioni di una carta con un piccolo schermo che mostrava un codice numerico. Le banche li fornivano ai clienti aziendali e le imprese li consegnavano ai dipendenti per l'accesso alla VPN e alla rete. Il SecurID di RSA, introdotto negli anni 1980, divenne l'esempio più noto.

Come funzionavano i codici offline

I token non richiedevano connettività. Nei progetti basati sul tempo, il token e il server condividevano un seed segreto e un orologio; ogni minuto o mezzo minuto, entrambi derivavano lo stesso codice da quel seed più l'ora corrente. I progetti basati su eventi sostituivano l'orologio con un contatore: premendo il pulsante questo veniva incrementato, ed entrambe le parti calcolavano il codice dal nuovo conteggio. Poiché token e server seguivano regole identiche, restavano sincronizzati senza mai comunicare.

Perché gli utenti comuni non li vedevano mai

Ogni portachiavi doveva essere prodotto, spedito, registrato e infine sostituito quando la batteria si scaricava o l'oggetto andava perso. Quel costo per utente, più le spese di inventario e di helpdesk, confinò i token hardware a banche e grandi imprese.

I codici SMS portano il 2FA al grande pubblico

A metà anni 2000, i telefoni cellulari erano ovunque. Le banche capirono di poter inviare via SMS un codice monouso per confermare un accesso o un bonifico, e all'improvviso il secondo fattore raggiunse milioni di persone da un giorno all'altro. Nessun dongle da comprare, nessun software da installare — il telefono già in tasca divenne il secondo fattore.

I servizi web seguirono. I provider di posta elettronica, i social network e i siti di e-commerce aggiunsero "invia un codice al tuo telefono" come opzione, e il 2FA smise di essere uno strumento di sicurezza aziendale per diventare qualcosa che gli utenti comuni potevano attivare in pochi tocchi.

L'SMS aveva però reali compromessi:

• SIM swapping: un attaccante che inganna o corrompe un operatore per trasferire il tuo numero su una nuova SIM riceve i tuoi codici.
• Intercettazione: i codici viaggiano sulla rete mobile e possono essere catturati tramite determinati attacchi alle telecomunicazioni.
• Dipendenza dall'operatore: nessun segnale, nessun roaming, nessun codice — e spesso nessun modo di accedere al tuo account.

L'SMS rese il 2FA mainstream, ma espose anche un difetto: il secondo fattore apparteneva al tuo operatore, non a te.

App di autenticazione e approvazioni push

Gli smartphone hanno messo un token hardware in tasca a tutti. Le app TOTP come Google Authenticator e Authy generano codici di 30 secondi offline a partire da un segreto condiviso. Poiché la generazione è locale, i codici funzionano in modalità aereo e non viaggiano mai sulla rete — nessuna dipendenza dall'operatore, nessuna intercettazione del codice stesso.

Registrazione più semplice

All'inizio la configurazione richiedeva di digitare a mano lunghe chiavi base32. La registrazione tramite QR code l'ha sostituita: scansioni, fatto. I segreti venivano trasferiti in pochi secondi, riducendo errori di battitura e richieste di assistenza.

Approvazioni push

L'approvazione push ha eliminato del tutto la digitazione: arriva una notifica, un tocco ti fa accedere. Era più veloce, più difficile da sbagliare e funzionava anche quando gli utenti non vedevano la schermata di accesso. Il number matching — digitare un codice dalla schermata nel prompt — ha poi aggiunto una salvaguardia contro le approvazioni accidentali.

La comodità era un'arma a doppio taglio. Gli aggressori hanno imparato a inviare richieste di approvazione ripetutamente finché un utente stanco non toccava accetta — push fatigue. Il number matching e prompt più chiari riducono quel rischio ma non lo eliminano. E come le password e i codici SMS, i codici TOTP possono semplicemente essere oggetto di phishing quando gli utenti vengono ingannati e li leggono ad alta voce.

Chiavi di sicurezza e il passaggio all'autenticazione a chiave pubblica

All'inizio degli anni 2010, un gruppo chiamato FIDO Alliance si propose di eliminare la debolezza fondamentale di tutti i metodi precedenti: il segreto condiviso. Password, codici SMS e persino i seed TOTP esistono sia sul lato server sia su quello dell'utente, quindi chiunque rubi la copia del server può accedere. FIDO ha sostituito questo modello con la crittografia a chiave pubblica. La chiave privata non lascia mai il tuo dispositivo; il server memorizza solo una chiave pubblica e invia sfide a cui solo la tua chiave privata può rispondere. Nessun segreto attraversa mai la rete.

Chiavi di sicurezza hardware

Le chiavi di sicurezza sono piccoli dispositivi fisici che si collegano tramite USB, NFC o Bluetooth. La loro proprietà distintiva è la resistenza al phishing: la chiave verifica l'origine del sito web prima di firmare qualsiasi cosa, quindi una pagina di login contraffatta su un dominio simile non riceve alcuna firma valida.

Perché il binding all'origine è importante

Poiché ogni firma è vincolata all'origine esatta, una credenziale catturata da un sito non può essere riprodotta su un altro — né sullo stesso sito tramite un dominio contraffatto. Semplicemente non c'è nulla di riutilizzabile da rubare.

Le passkey: il capitolo attuale

Le passkey rappresentano il capitolo più recente di questa storia: si basano sul framework FIDO2 e sul suo protocollo WebAuthn, che consente ai siti web di verificare gli accessi direttamente nel browser. Una passkey sostituisce il segreto condiviso di una password con una coppia di chiavi crittografiche: la chiave privata rimane sul tuo dispositivo o nel tuo account sincronizzato, mentre il sito web conserva solo la metà pubblica.

Cosa cambia per gli accessi di tutti i giorni

• Niente da digitare. Accedere significa confermare con impronta digitale, volto o PIN del dispositivo. Nessun codice da ricevere, riscrivere o intercettare.
• Sincronizzate tra dispositivi. Apple, Google e Microsoft sincronizzano le passkey tramite i loro servizi di account, così perdere un dispositivo non ti esclude dall'accesso.
• Nessun segreto sul server. Poiché i siti conservano solo chiavi pubbliche, una violazione del database non rivela nulla che un aggressore possa usare per accedere.

Le passkey sono inoltre resistenti al phishing per design: il browser vincola crittografamente ogni credenziale all'indirizzo del sito web legittimo, quindi un sito falso convincente non può raccogliere una credenziale che funzioni altrove.

Cosa Insegna la Storia

Ogni generazione di 2FA ha negoziato gli stessi tre fattori in modo diverso. I token hardware erano sicuri ma costosi e facili da perdere. I codici SMS erano gratuiti e familiari ma vulnerabili all'intercettazione e al SIM swapping. Le app di autenticazione hanno migliorato la sicurezza a poco costo, mentre le approvazioni push puntavano sulla comodità, talvolta a scapito di un giudizio attento. Le passkey allineano finalmente sicurezza e usabilità, anche se l'adozione richiede tempo.

Il Ripristino è il Vero Punto Debole

In ogni epoca, gli attaccanti raramente sconfiggono il fattore stesso. Lo reimpostano. I flussi di ripristino basati su email di backup, domande di sicurezza o una telefonata persuasiva al supporto hanno smontato anche le autenticazioni più robuste. Una passkey protegge poco se il ripristino può aggirlarla.

Coesistenza, Non Sostituzione

Token hardware, app di autenticazione, codici SMS e passkey coesisteranno per anni. Servizi, budget e utenti si muovono a velocità diverse.

Conclusione Pratica

Attiva il 2FA ovunque sia offerto. Preferisci una passkey, una chiave di sicurezza o un'app di autenticazione agli SMS. Conserva i codici di backup offline. Poi rivedi le impostazioni di ripristino — è lì che la maggior parte degli account cade davvero.

Errori comuni da evitare

Il 2FA funziona solo se viene configurato e mantenuto bene. Questi errori sono i più frequenti.

Attivare il 2FA solo su alcuni account. Le persone proteggono la banca e dimenticano la casella email. Errore grave: chi controlla la tua email può richiedere il ripristino di quasi tutti gli altri account. Inizia dalla posta elettronica.

Salvare i codici di backup nel posto sbagliato. I codici di backup vanno conservati offline — su carta, in una cassaforte, in un gestore di password fidato — non in un file di testo sul desktop né in una foto nella galleria del telefono sincronizzata sul cloud.

Cancellare l'app di autenticazione prima di disattivare il 2FA. Quando cambi telefono, il segreto TOTP vive solo nel vecchio dispositivo se non è stato esportato. Disattiva il 2FA o trasferisci i codici prima di azzerare il telefono; molte app oggi offrono esportazione o sincronizzazione, ma non tutte.

Usare l'email come unico metodo di ripristino. Se il servizio offre più secondi fattori, registrarne almeno due: una passkey più un codice di backup, ad esempio. Un solo fattore secondario significa un solo punto di rottura.

Ignorare gli avvisi di sicurezza. Molte notifiche di accesso o tentativi di reimpostazione sono veri. Aprono la porta al ripristino, non al fattore stesso. Trattale come segnali, non come rumore.

Confidare nel numero di telefono per sempre. Cambi operatore o numero? Aggiorna subito i metodi 2FA su ogni servizio. Un numero riciclato dall'operatore può finire nelle mani di qualcun altro.

Cinque minuti di manutenzione all'anno valgono più di un secondo fattore dimenticato.