Autenticazione a due fattori: resta al sicuro con la 2FA di SwissBorg

Molti dei nostri utenti ci hanno chiesto di introdurre l'autenticazione a due fattori. In realtà, fin dall'inizio il processo di autenticazione di SwissBorg è protetto con la 2FA, e forse non lo sapevi nemmeno! Questo articolo approfondisce il processo di accesso all'app SwissBorg e spiega come sia già protetto con la 2FA.

Cos'è la 2FA?

L'autenticazione a due fattori (2FA) è il processo con cui presenti due forme di identificazione distinte per accedere a una risorsa protetta (come un account online o un'applicazione). Se l'autenticazione non si basa solo su nome utente e password, vettori di attacco come i tentativi di phishing possono essere mitigati facilmente. La 2FA verifica una seconda volta la tua identità e, se entrambi i controlli vanno a buon fine, puoi accedere al servizio protetto.

Negli ultimi anni l'uso della 2FA è cresciuto in modo significativo. Perché? Per molto tempo i servizi online si sono affidati solo alle password per proteggere gli account degli utenti. Con un numero sempre crescente di siti web e applicazioni, le persone devono ricordare sempre più password, e si finisce per riutilizzare la stessa password per accessi diversi oppure per sceglierne di più semplici, così da ricordarle meglio. Inoltre, anche usando password complesse e diverse per ogni servizio, queste potrebbero comunque essere esposte o trapelare in una violazione di dati. Infine, ma non meno importante, i tentativi di phishing sono aumentati in modo drastico, ancora di più nel mondo crypto, e sono diventati anche più sofisticati.

Fattori di autenticazione

Abbiamo visto che l'uso della 2FA è molto importante e fortemente consigliato nel nostro mondo iperconnesso, ma cosa possiamo usare per presentare due forme di identificazione a un servizio online? Li chiamiamo fattori di autenticazione e, per servizi online e applicazioni, rientrano in genere in una delle seguenti categorie:

• Qualcosa che conosci: può essere una password, un PIN o anche la risposta a una domanda specifica.
• Qualcosa che possiedi: una smart card, il tuo cellulare per generare password monouso o una chiave di sicurezza fisica.
• Qualcosa che sei: qualsiasi dato biometrico collegabile specificamente a te, come l'impronta digitale, la retina, il volto, le vene delle dita ecc.

Dovendo presentare due fattori di categorie distinte per accedere a un account online, anche se un malintenzionato ottiene illegittimamente uno dei due, non potrà spacciarsi per te. E non finisce qui. Per servizi molto critici potrebbero esserti chiesti molti più di due fattori. È quella che si chiama autenticazione a più fattori (MFA).

Come funziona in pratica la 2FA?

Dopo aver visto come la 2FA ti protegge e quali tipi di fattori possono identificare una persona, vediamo come la 2FA viene per lo più usata nel mondo reale. Un processo tipico è il seguente:

1. Vai alla pagina di accesso del servizio online. Ti viene chiesto di inserire nome utente e password negli appositi campi.
2. Il server verifica queste informazioni e risponde di conseguenza.
3. Ti viene poi chiesto un secondo fattore di autenticazione. La forma più comune è una password monouso, ma potrebbe essere uno qualsiasi dei fattori visti sopra.
4. Il server verifica questo secondo fattore di autenticazione e ti concede l'accesso al servizio.

Per quanto sicuro, questo processo è più adatto alle applicazioni web, a cui ti connetti direttamente dal browser, che alle app mobili come la nostra app SwissBorg. Esistono modi più efficaci di sfruttare la 2FA per i nostri utenti, ed è quello che spieghiamo nella prossima parte di questo articolo.

La 2FA nell'app SwissBorg

SwissBorg usa diversi tipi di credenziali e informazioni per verificare gli utenti in momenti diversi del ciclo di vita del loro account. Vediamo prima i diversi fattori di autenticazione che usiamo, poi come agiscono insieme per formare un metodo di accesso 2FA forte e sicuro.

La chiave del dispositivo

La chiave del dispositivo è il principale meccanismo di autenticazione per i nostri utenti ed è presente fin dall'inizio. Quando un utente installa l'app SwissBorg e si registra per la prima volta, viene generata una chiave crittografica all'interno del Trusted Platform Module (TPM) del dispositivo mobile. Questo permette all'applicazione di sfruttare le proprietà intrinseche dei Trusted Platform Module, che garantiscono che la coppia di chiavi venga generata in modo sicuro, che la chiave privata sia conservata in modo sicuro e che mai , e poi mai, lasci il tuo dispositivo.

Quando accedi all'app o esegui operazioni importanti, come trasferire fondi o fare uno scambio, questa chiave viene usata per firmare la richiesta, dimostrando che proviene dal dispositivo mobile che possiedi. Questa firma viene poi verificata dal sistema SwissBorg per assicurarsi di non aver ricevuto una richiesta fraudolenta. La chiave del dispositivo è il tuo “qualcosa che possiedi” come fattore di autenticazione.

Il PIN

Il PIN o la passphrase che usi nell'app SwissBorg è un codice da quattro a sei cifre oppure una frase che può contenere qualsiasi carattere. Dietro le quinte, questo codice viene convertito all'istante in una chiave crittografica, che viene poi usata insieme alla chiave del dispositivo per aggiungere una seconda firma ad alcune richieste, come gli accessi e i prelievi, aggiungendo un ulteriore livello di sicurezza. Proprio come la chiave del dispositivo, anche il PIN non lascia mai il tuo dispositivo.

Se il codice è errato, il sistema SwissBorg rifiuta la richiesta, perché la chiave derivata dal codice errato non corrisponde a quella registrata e genera quindi una firma errata. Questa verifica è combinata con un limite al numero di tentativi errati e con un intervallo di attesa tra un tentativo e l'altro, per prevenire gli attacchi brute-force. Una volta raggiunto il limite, l'account viene bloccato e saranno necessarie verifiche aggiuntive.

Per comodità, al posto del codice puoi usare la verifica biometrica. Dietro le quinte, la chiave crittografica derivata dal codice viene conservata nel portachiavi (keychain) del tuo dispositivo e cifrata dal sistema operativo tramite i dati biometrici. La chiave del dispositivo funge da fattore “qualcosa che conosci” o da fattore “qualcosa che sei”.

Aggiungere le password monouso aumenterebbe la sicurezza?

Come abbiamo visto nelle sezioni precedenti, l'app SwissBorg è effettivamente protetta dall'autenticazione a due fattori, dove i fattori sono la chiave del dispositivo e il PIN/passphrase. Aggiungere un ulteriore fattore di autenticazione manterrà sempre almeno lo stesso livello di sicurezza complessiva. Ma la aumenterebbe? Approfondiamo alcuni scenari.

• Supponiamo che un malintenzionato non abbia accesso al dispositivo su cui è installata l'app SwissBorg. In questo scenario, è impossibile per lui spacciarsi per te. Ricorda che la chiave del dispositivo è conservata nella secure enclave del tuo dispositivo e non la lascia mai. Senza il tuo dispositivo mobile su cui hai installato l'app SwissBorg, nessuno può accedere al tuo account.
• Supponiamo ora che il malintenzionato abbia accesso al tuo dispositivo. Questo scenario ha due varianti:

1. Il malintenzionato non riesce a sbloccare il tuo dispositivo. Il tuo account SwissBorg resta al sicuro perché non può raggiungere l'applicazione.
2. Il malintenzionato riesce a sbloccare il tuo dispositivo. Può quindi aprire l'app SwissBorg. Per accedere al tuo account ora deve inserire il PIN/passphrase corretto.

Usi un PIN robusto (non la tua data di nascita, né quella del partner, dei figli o dei genitori). In questo caso il malintenzionato ha 1 possibilità su 1.000.000 di sbloccare il tuo account SwissBorg, in 9 tentativi.

Usi una passphrase robusta (una stringa casuale di almeno 16 caratteri che combina lettere, numeri e caratteri speciali). In questo caso al malintenzionato servirebbero secoli per decifrare la tua passphrase.

Il malintenzionato riesce a indovinare il tuo PIN/passphrase con alta probabilità. In questo caso aggiungere una password monouso per accedere al tuo account non aumenterebbe la sicurezza perché il malintenzionato avrebbe accesso anche a quella, avendo in mano il tuo telefono sbloccato su cui è installata la tua app di autenticazione o su cui ricevi SMS ed email.

Dallo scenario precedente si capisce facilmente perché aggiungere un fattore a codice variabile non aumenterebbe la sicurezza dell'app SwissBorg.

Come puoi migliorare la tua sicurezza

Ci sono diversi accorgimenti che puoi adottare per aumentare la sicurezza del tuo patrimonio e dei tuoi dati. Eccone alcuni:

1. Proteggi l'app con una passphrase robusta e unica. Ti consigliamo di usare un password manager, come Proton Pass o Bitwarden.
2. Registra una passkey nel caso in cui dovessi recuperare il tuo account SwissBorg. Ti consigliamo di preferire le passkey ai metodi di recupero tradizionali, come la frase di recupero o una procedura di recupero manuale.
3. Evita di cliccare sui link nelle email di persone di cui non ti fidi. Controlla anche l'indirizzo email del mittente per assicurarti che il messaggio provenga davvero da chi dice di essere.
4. Non condividere mai le tue informazioni personali. Se qualcuno ti contatta, per telefono, email o sui social media, non fornirgli il tuo PIN/passphrase, la frase di recupero, la chiave privata, i dati bancari e della carta di credito, la data di nascita o il numero di previdenza sociale.

SwissBorg si impegna a offrire ai propri utenti il massimo livello di sicurezza grazie al sistema di autenticazione a due fattori (2FA) integrato. Usando sia la chiave del dispositivo sia il PIN o la passphrase che hai scelto, ci assicuriamo che il tuo account sia ben protetto dagli accessi non autorizzati. Anche se molti potrebbero pensare che fattori aggiuntivi, come le password monouso, possano aumentare la sicurezza, il nostro sistema attuale è già progettato per essere robusto e si basa su chiavi crittografiche che non lasciano mai il tuo dispositivo. Invitiamo i nostri utenti ad adottare passphrase robuste, usare le passkey e restare attenti ai tentativi di phishing per proteggere ancora meglio i propri asset. In SwissBorg la tua sicurezza è la nostra priorità, così puoi concentrarti su ciò che conta davvero: far crescere il tuo patrimonio nel mondo delle criptovalute.