Autenticazione a due fattori

Diversi token di sicurezza hardware: a sinistra e al centro due varianti della YubiKey, a destra un token FIDO prodotto da Feitian Technologies

L'autenticazione a due fattori (2FA, dall'inglese two-factor authentication), nota anche come autenticazione a più fattori (MFA, multi-factor authentication), è un metodo di autenticazione elettronica in cui un utente ottiene l'accesso a un sito web o a un'applicazione soltanto dopo aver presentato con successo a un meccanismo di autenticazione due o più tipi distinti di prove (o fattori). L'MFA protegge i dati personali, che possono comprendere dati identificativi o attività finanziarie, dall'accesso da parte di terzi non autorizzati che potrebbero essere riusciti a scoprire, per esempio, una singola password.

L'uso dell'MFA è aumentato negli ultimi anni. Tra i problemi di sicurezza che possono consentire di aggirarla ci sono gli attacchi di tipo MFA fatigue, il phishing e il SIM swap.

Gli account in cui è attivata l'MFA hanno una probabilità significativamente minore di essere compromessi.

Fattori di autenticazione

L'autenticazione avviene quando qualcuno tenta di accedere a una risorsa informatica (come una rete informatica, un dispositivo o un'applicazione). La risorsa chiede all'utente di dichiarare l'identità con cui lo conosce e di dimostrare che quell'identità gli appartiene davvero. L'autenticazione semplice richiede una sola prova di questo tipo (fattore), di solito una password, oppure, in alcuni casi, più prove tutte dello stesso tipo, come il numero di una carta di credito e il relativo codice di verifica (CVC). Per una maggiore sicurezza, la risorsa può richiedere più di un fattore: si parla allora di autenticazione a più fattori, o di autenticazione a due fattori quando i tipi di prova da fornire sono esattamente due.

L'impiego di più fattori di autenticazione per dimostrare la propria identità si basa sul presupposto che difficilmente un soggetto non autorizzato sia in grado di fornire tutti i fattori richiesti per l'accesso. Se, in un tentativo di autenticazione, almeno uno dei componenti manca o viene fornito in modo errato, l'identità dell'utente non è accertata con sufficiente certezza e l'accesso al bene (per esempio un edificio o dei dati) protetto dall'autenticazione a più fattori resta bloccato. I fattori di autenticazione di uno schema a più fattori possono comprendere:

Un esempio di autenticazione a due fattori è il prelievo di denaro da uno sportello automatico: solo la corretta combinazione di una carta bancaria fisicamente presente (qualcosa che l'utente possiede) e di un PIN (qualcosa che l'utente conosce) consente di portare a termine l'operazione. Altri due esempi consistono nell'affiancare a una password scelta dall'utente una one-time password (OTP) oppure un codice generato o ricevuto da un autenticatore (per esempio un token di sicurezza o uno smartphone) che solo l'utente possiede.

Un'app di autenticazione consente l'autenticazione a due fattori in modo diverso, mostrando un codice generato casualmente e aggiornato di continuo, anziché inviare un SMS o ricorrere a un altro metodo. Questo codice è una password monouso basata sul tempo (TOTP), e l'app di autenticazione contiene il materiale crittografico (key material) che permette di generare tali codici.

Conoscenza

I fattori di conoscenza («qualcosa che solo l'utente conosce») sono una forma di autenticazione in cui l'utente deve dimostrare di conoscere un segreto.

Una password è una parola o una stringa di caratteri segreta utilizzata per l'autenticazione dell'utente ed è il meccanismo di autenticazione più usato. Molte tecniche di autenticazione a più fattori si basano sulla password come uno dei fattori. Tra le sue varianti figurano sia password più lunghe composte da più parole (una passphrase) sia il PIN, più breve e puramente numerico, comunemente usato per accedere agli sportelli automatici. Tradizionalmente ci si aspetta che le password vengano memorizzate, ma possono anche essere annotate su un foglio nascosto o in un file di testo.

Possesso

Token RSA SecurID, esempio di generatore di token non connesso

I fattori di possesso («qualcosa che solo l'utente ha») sono utilizzati per l'autenticazione da secoli, sotto forma di chiave per una serratura. Il principio di base è che la chiave incorpora un segreto condiviso tra la serratura e la chiave stessa; lo stesso principio è alla base dell'autenticazione mediante fattore di possesso nei sistemi informatici. Un token di sicurezza è un esempio di fattore di possesso.

I token non connessi (disconnected token) non hanno alcun collegamento con il computer client. In genere usano uno schermo integrato per mostrare i dati di autenticazione generati, che l'utente digita manualmente. Questo tipo di token utilizza per lo più una one-time password valida soltanto per quella specifica sessione.

Un token di sicurezza USB

I token connessi (connected token) sono dispositivi collegati fisicamente al computer da utilizzare, ai quali trasmettono automaticamente i dati. Ne esistono diversi tipi, tra cui token USB, smart card e tag wireless. Si sono diffusi sempre più i token compatibili con FIDO2, standard sostenuto dalla FIDO Alliance e dal World Wide Web Consortium (W3C), che i principali browser supportano dal 2015.

Un token software (soft token) è un tipo di dispositivo di sicurezza per l'autenticazione a due fattori che può essere usato per autorizzare l'utilizzo di servizi informatici. I token software sono memorizzati su un dispositivo elettronico di uso generale, come un computer desktop, un computer portatile, un palmare o un telefono cellulare, e possono essere duplicati; al contrario, nei token hardware le credenziali sono conservate su un dispositivo hardware dedicato e non possono quindi essere duplicate, salvo un'intrusione fisica nel dispositivo. Un token software può anche non essere un dispositivo con cui l'utente interagisce: di norma, a questo scopo, sul dispositivo viene caricato e conservato in modo sicuro un certificato X.509v3.

L'autenticazione a più fattori può essere applicata anche ai sistemi di sicurezza fisica, dove di solito si realizza tramite, in primo luogo, un oggetto fisico posseduto (come un portachiavi elettronico, una tessera elettronica o un codice QR mostrato su un dispositivo) che funge da credenziale identificativa e, in secondo luogo, una convalida dell'identità, come la biometria facciale o la scansione della retina (verifica o autenticazione facciale), oppure un PIN.

Inerenza

I fattori inerenti («qualcosa che l'utente è») sono fattori associati all'utente e consistono di solito in metodi biometrici, tra cui il riconoscimento dell'impronta digitale, del volto, della voce o dell'iride. Possono essere utilizzati anche sistemi di biometria comportamentale, come la dinamica della digitazione (keystroke dynamics).

Posizione

Sempre più spesso entra in gioco un quarto fattore, legato alla posizione fisica dell'utente. Quando è collegato via cavo alla rete aziendale, un utente potrebbe essere autorizzato ad accedere con il solo codice PIN, mentre, se lavora da remoto, potrebbe essergli richiesto un metodo MFA più sicuro, come l'inserimento aggiuntivo di un codice generato da un token software. Adattare il tipo e la frequenza del metodo MFA alla posizione dell'utente consente di evitare rischi comuni nel lavoro da remoto.

I sistemi di controllo dell'ammissione alla rete (network admission control) funzionano in modo simile: il livello di accesso alla rete può dipendere dalla specifica rete a cui è connesso un dispositivo, per esempio Wi-Fi o connessione cablata.

Autenticazione tramite telefono cellulare

L'autenticazione a due fattori tramite messaggi di testo fu sviluppata già nel 1996, quando AT&T descrisse un sistema per autorizzare transazioni basato sullo scambio di codici tramite cercapersone bidirezionali.

Molti fornitori di soluzioni di autenticazione a più fattori offrono l'autenticazione tramite telefono cellulare. Tra i metodi figurano l'autenticazione basata su notifiche push, quella basata su codice QR, quella tramite one-time password (basata su eventi o sul tempo) e la verifica tramite SMS. La verifica tramite SMS presenta alcuni problemi di sicurezza: i telefoni possono essere clonati, le app possono funzionare su più telefoni e il personale addetto alla manutenzione dei cellulari può leggere gli SMS. I telefoni cellulari possono in generale essere compromessi, il che significa che il telefono non è più qualcosa che soltanto l'utente possiede.

Il principale svantaggio dell'autenticazione che comprende qualcosa che l'utente possiede è che l'utente deve portare con sé il token fisico (la chiavetta USB, la carta bancaria, la chiave o simili) praticamente in ogni momento, con il rischio di perderlo o di vederselo rubare. Molte organizzazioni vietano di introdurre o portare fuori dai propri locali dispositivi USB ed elettronici a causa dei rischi legati ai malware e al furto di dati, e le macchine più importanti sono prive di porte USB per lo stesso motivo. I token fisici di solito non sono scalabili e richiedono in genere un nuovo token per ogni nuovo account e sistema. L'acquisto e la successiva sostituzione di token di questo tipo comportano dei costi. Esistono inoltre conflitti intrinseci e compromessi inevitabili tra usabilità e sicurezza.

L'autenticazione in due passaggi che coinvolge telefoni cellulari e smartphone è un'alternativa ai dispositivi fisici dedicati. Per autenticarsi, le persone possono usare il proprio codice di accesso personale al dispositivo (cioè qualcosa che solo il singolo utente conosce) insieme a un codice dinamico valido una sola volta, composto in genere da 4 a 6 cifre. Il codice può essere inviato al dispositivo mobile tramite SMS oppure generato da un'app che produce codici monouso. In entrambi i casi il vantaggio dell'uso di un telefono cellulare è che non serve un token dedicato aggiuntivo, poiché gli utenti tendono a portare sempre con sé i propri dispositivi mobili.

Nonostante la diffusione della verifica tramite SMS, alcuni esperti di sicurezza l'hanno criticata pubblicamente e nel luglio 2016 una bozza di linee guida del NIST statunitense ne propose la dismissione come forma di autenticazione. Un anno dopo il NIST reintrodusse la verifica tramite SMS come canale di autenticazione valido nella versione definitiva delle linee guida.

Già nel 2011 Duo Security offriva notifiche push per l'MFA tramite un'app per dispositivi mobili. Rispettivamente nel 2016 e nel 2017, Google e Apple iniziarono a offrire agli utenti l'autenticazione in due passaggi tramite notifiche push come metodo alternativo.

La sicurezza dei token inviati via SMS dipende interamente dalla sicurezza operativa dell'operatore di telefonia mobile e può essere facilmente violata dalle agenzie di sicurezza nazionali tramite intercettazioni o clonazione della SIM.

Vantaggi

Svantaggi

Legislazione e regolamentazione

Il requisito 8.3 del Payment Card Industry Data Security Standard (PCI DSS) impone l'uso dell'MFA per tutti gli accessi remoti alla rete che provengono dall'esterno della rete stessa verso un ambiente dei dati dei titolari di carta (Card Data Environment, CDE). A partire dalla versione 3.2 del PCI DSS, l'uso dell'MFA è richiesto per tutti gli accessi amministrativi al CDE, anche se l'utente si trova all'interno di una rete attendibile.

Unione europea

La seconda direttiva sui servizi di pagamento richiede dal 14 settembre 2019 l'«autenticazione forte del cliente» (strong customer authentication) per la maggior parte dei pagamenti elettronici nello Spazio economico europeo.

India

In India la Banca di riserva dell'India ha reso obbligatoria l'autenticazione a due fattori per tutte le transazioni online effettuate con carta di debito o di credito, tramite una password o una one-time password inviata via SMS. Nel 2016 questo obbligo è stato eliminato per le transazioni fino a 2.000 rupie, previa adesione presso la banca emittente. Fornitori come Uber sono stati obbligati dalla banca a modificare i propri sistemi di elaborazione dei pagamenti per conformarsi all'introduzione dell'autenticazione a due fattori.

Stati Uniti

Negli Stati Uniti i requisiti di autenticazione per i dipendenti e i collaboratori esterni del governo federale sono definiti dalla Homeland Security Presidential Directive 12 (HSPD-12).

Le norme di regolamentazione informatica per l'accesso ai sistemi del governo federale richiedono l'uso dell'autenticazione a più fattori per accedere a risorse informatiche sensibili, per esempio quando si accede a dispositivi di rete per svolgere attività amministrative e quando si accede a un qualsiasi computer con credenziali privilegiate.

La Special Publication 800-63-3 del NIST tratta varie forme di autenticazione a due fattori e fornisce indicazioni sul loro utilizzo nei processi aziendali che richiedono diversi livelli di garanzia.

Nel 2005 il Federal Financial Institutions Examination Council (FFIEC) statunitense emanò linee guida per le istituzioni finanziarie, invitandole a condurre valutazioni basate sul rischio, a valutare i programmi di sensibilizzazione della clientela e a sviluppare misure di sicurezza per autenticare in modo affidabile i clienti che accedono da remoto ai servizi finanziari online. Le linee guida raccomandavano ufficialmente di determinare l'identità dell'utente con metodi di autenticazione basati su più di un fattore (nello specifico, ciò che l'utente conosce, possiede ed è). In risposta alla pubblicazione, numerosi fornitori di soluzioni di autenticazione iniziarono a promuovere impropriamente domande di sicurezza, immagini segrete e altri metodi basati sulla conoscenza come autenticazione «a più fattori». A causa della confusione che ne derivò e dell'ampia adozione di tali metodi, il 15 agosto 2006 il FFIEC pubblicò delle linee guida integrative, secondo le quali, per definizione, un «vero» sistema di autenticazione a più fattori deve utilizzare istanze distinte dei tre fattori di autenticazione da esso definiti, e non semplicemente più istanze di un unico fattore.

Vulnerabilità

Lo stesso argomento in dettaglio: SIM swap.

Secondo i suoi sostenitori, l'autenticazione a più fattori potrebbe ridurre drasticamente l'incidenza dei furti d'identità e di altre frodi online, poiché la password della vittima non basterebbe più a garantire a un malintenzionato l'accesso permanente alle sue informazioni. Tuttavia, molti approcci all'autenticazione a più fattori restano vulnerabili al phishing, agli attacchi man in the browser e agli attacchi man in the middle. Per contrastare gli attacchi di phishing, gli utenti non dovrebbero condividere con nessuno i propri codici di verifica, e molti fornitori di applicazioni web inseriscono un avviso in un'email o in un SMS contenente un codice.

Nel maggio 2017 O2 Telefónica, operatore di telefonia mobile tedesco, confermò che alcuni criminali informatici avevano sfruttato le vulnerabilità del protocollo SS7 per aggirare l'autenticazione in due passaggi basata su SMS ed effettuare prelievi non autorizzati dai conti bancari degli utenti. I criminali avevano prima infettato i computer dei titolari dei conti nel tentativo di sottrarre le loro credenziali bancarie e i loro numeri di telefono. Gli aggressori avevano poi acquistato l'accesso a un falso operatore di telecomunicazioni e impostato un reindirizzamento del numero di telefono della vittima verso un apparecchio da loro controllato. Infine, avevano effettuato l'accesso ai conti bancari online delle vittime e disposto il trasferimento del denaro presente sui conti verso conti di loro proprietà. I codici inviati via SMS venivano instradati verso numeri di telefono controllati dagli aggressori, che così trasferivano il denaro.

MFA fatigue

Un metodo sempre più comune per aggirare l'MFA consiste nel bombardare l'utente con numerose richieste di approvazione di un accesso, finché l'utente, sopraffatto dal volume delle richieste, finisce per accettarne una per errore. Questa forma di ingegneria sociale è chiamata multi-factor authentication fatigue attack (anche MFA fatigue attack o MFA bombing) e può comprendere altri elementi, come telefonate da parte di chi si spaccia per il supporto informatico. Quando le applicazioni MFA sono configurate per inviare notifiche push agli utenti finali, un aggressore può inviare una raffica di tentativi di accesso nella speranza che l'utente faccia clic su «accetta» almeno una volta.

Nel 2022 Microsoft ha introdotto nella propria app di autenticazione una contromisura contro gli attacchi MFA fatigue, consistente nel richiedere facoltativamente all'utente di digitare un numero oltre a fare clic su «approva».

Nel settembre 2022 la sicurezza di Uber fu violata da un membro di Lapsus$ tramite un attacco MFA fatigue.

Riutilizzo dei token

Le vulnerabilità legate al riutilizzo dei token rientrano tra gli errori di identificazione e autenticazione nelle applicazioni web. Il riutilizzo dei token può essere individuato verificando se è possibile riutilizzare vecchi token MFA, il che indica se l'applicazione invalida o meno i codici MFA. Nessun token di autenticazione rilasciato prima dell'MFA dovrebbe avere l'autorizzazione ad accedere a risorse sensibili: i token di autenticazione dovrebbero essere forniti solo dopo la verifica MFA, e i vecchi token dovrebbero essere invalidati.

Elusione dell'MFA tramite la verifica dell'email

Molte applicazioni web saltano l'autenticazione durante la verifica di un indirizzo email. Se l'applicazione web non invalida il collegamento di verifica dell'email, questo può essere utilizzato per aggirare l'MFA. Se il token di verifica viene inviato tramite una richiesta GET, può essere salvato nella cronologia del browser.

Limitazione insufficiente della frequenza delle richieste

Per essere sicura, l'MFA richiede una limitazione della frequenza delle richieste (rate limiting). In sua assenza, un aggressore può effettuare un numero arbitrario di richieste di autenticazione provando codici diversi finché non riesce a ottenere l'accesso. Anche in presenza di un limite, gli aggressori possono cercare di mantenere il flusso delle richieste appena al di sotto della soglia con un unico thread, per massimizzare il numero di tentativi. In alternativa, un aggressore può tentare di aggirare del tutto il limite: se il limite è legato a un identificativo di sessione o a un token di richiesta, l'aggressore può generare nuove sessioni o nuovi token di richiesta per azzerarlo; se è legato all'indirizzo IP, può far ruotare il proprio indirizzo IP con strumenti come l'IP Rotator di Burp Suite.

Implementazione

Molti prodotti di autenticazione a più fattori richiedono agli utenti di installare un software client per far funzionare i sistemi di autenticazione a più fattori. Alcuni fornitori hanno creato pacchetti di installazione separati per l'accesso alla rete, per le credenziali di accesso al web e per le credenziali di connessione VPN. Per tali prodotti possono esserci quattro o cinque diversi pacchetti software da distribuire sul PC client per poter utilizzare il token o la smart card. Ciò si traduce in quattro o cinque pacchetti da sottoporre a controllo di versione e da verificare per individuare eventuali conflitti con le applicazioni aziendali. Se l'accesso può avvenire tramite pagine web, è possibile limitare i costi aggiuntivi sopra descritti a una sola applicazione. Alcuni studi hanno dimostrato che procedure di recupero MFA mal implementate possono introdurre nuove vulnerabilità sfruttabili dagli aggressori.

Esistono svantaggi che impediscono a molti approcci all'autenticazione a più fattori di diffondersi. Alcuni utenti hanno difficoltà a tenere traccia di un token hardware o di una chiavetta USB. Molti utenti non possiedono le competenze tecniche necessarie per installare autonomamente un certificato software lato client. In generale, le soluzioni a più fattori richiedono investimenti aggiuntivi per l'implementazione e comportano costi di manutenzione. La maggior parte dei sistemi basati su token hardware è proprietaria e alcuni fornitori applicano un canone annuale per utente. La distribuzione dei token hardware è complessa dal punto di vista logistico: i token possono danneggiarsi o andare persi, e la loro emissione in grandi settori come quello bancario, o anche all'interno di grandi aziende, deve essere gestita.

Le ricerche sulle implementazioni di schemi di autenticazione a più fattori hanno mostrato che uno degli elementi che tendono a influire sull'adozione di tali sistemi è il settore di attività dell'organizzazione che li adotta. Tra gli esempi citati figurano il governo statunitense, che impiega un sistema elaborato di token fisici (a loro volta supportati da una solida infrastruttura a chiave pubblica), e le banche private, che per i propri clienti tendono a preferire schemi di autenticazione a più fattori basati su strumenti di verifica dell'identità più accessibili e meno costosi, come un'app installata sullo smartphone del cliente. Qualunque sia il sistema scelto tra quelli disponibili, una volta implementato all'interno di un'organizzazione tende a rimanere in uso: gli utenti si abituano immancabilmente alla sua presenza e al suo utilizzo e, col tempo, lo accettano come parte normale della loro interazione quotidiana con il sistema informativo.

Sebbene l'autenticazione a più fattori sia percepita come una garanzia di sicurezza assoluta, Roger Grimes scrive che, se non è implementata e configurata correttamente, essa può in realtà essere facilmente aggirata.

Storia

Un modello autonomo di RSA SecurID

Nel 2013 Kim Dotcom affermò di aver inventato l'autenticazione a due fattori con un brevetto del 2000 e minacciò per breve tempo di fare causa a tutti i principali servizi web. Tuttavia l'Ufficio europeo dei brevetti revocò il suo brevetto alla luce di un precedente brevetto statunitense del 1998 detenuto da AT&T.

Note

  1. ↑ (EN) What is: Multifactor Authentication | Microsoft Support, su support.microsoft.com. URL consultato il 14 agosto 2026.
  2. ↑ (EN) Steve Russell, Bypassing Multi-Factor Authentication, in ITNOW, vol. 65, n. 1, 22 febbraio 2023, pp. 42–45, DOI:10.1093/combul/bwad023, ISSN 1746-5702 (WC · ACNP).
  3. ↑ (EN) L. A. Meyer, S. Romero, G. Bertoli, T. Burt, A. Weinert e J. L. Ferres, How effective is multifactor authentication at deterring cyberattacks?, in arXiv, 2023, arXiv:2305.00945 [cs.CR].
  4. 1 2 (EN) Two-factor authentication: What you need to know (FAQ) – CNET, su CNET. URL consultato il 31 ottobre 2015 (archiviato il 12 febbraio 2020).
  5. 1 2 3 (EN) Charlie Jacomme e Steve Kremer, An Extensive Formal Analysis of Multi-factor Authentication Protocols, in ACM Transactions on Privacy and Security, vol. 24, n. 2, New York, Association for Computing Machinery, 1º febbraio 2021, pp. 1–34, DOI:10.1145/3440712, ISSN 2471-2566 (WC · ACNP), S2CID 231791299. URL consultato il 27 febbraio 2021 (archiviato il 3 agosto 2023).
  6. ↑ (EN) kaitlin.boeckl@nist.gov, Back to basics: Multi-factor authentication (MFA), su NIST, 28 giugno 2016. URL consultato il 6 aprile 2021 (archiviato dall'url originale il 6 aprile 2021).
  7. ↑ (EN) Brian Barrett, How to Secure Your Accounts With Better Two-Factor Authentication, in Wired, 22 luglio 2018. URL consultato il 12 settembre 2020 (archiviato il 7 settembre 2020).
  8. ↑ (EN) Configuring One-Time Passwords, su www.sonicwall.com, Sonic Wall. URL consultato il 19 gennaio 2022 (archiviato il 19 gennaio 2022).
  9. 1 2 (EN) Henk C.A. van Tilborg e Sushil Jajodia (a cura di), Encyclopedia of Cryptography and Security, vol. 1, Berlino, Springer Science & Business Media, 2011, p. 1305, ISBN 9781441959058.
  10. ↑ (EN) Sharon Boeyen, Stefan Santesson, Tim Polk, Russ Housley, Stephen Farrell e David Cooper, Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile, su datatracker.ietf.org, Internet Engineering Task Force, maggio 2008.
  11. ↑ (EN) Liling Cao e Wancheng Ge, Analysis and improvement of a multi-factor biometric authentication scheme: Analysis and improvement of a MFBA scheme, in Security and Communication Networks, vol. 8, n. 4, 10 marzo 2015, pp. 617–625, DOI:10.1002/sec.1010. URL consultato il 20 marzo 2022 (archiviato il 25 novembre 2022).
  12. ↑ (EN) 11 Tips for Protecting Active Directory While Working from Home, su www.darkreading.com. URL consultato il 29 agosto 2024 (archiviato il 29 agosto 2024).
  13. ↑ (EN) Does Kim Dotcom have original 'two-factor' login patent?, su the Guardian, 23 maggio 2013. URL consultato il 2 novembre 2022 (archiviato il 2 novembre 2022).
  14. ↑ (EN) Transaction authorization and alert system, EP 0745961, 4 dicembre 1996.
  15. ↑ (EN) Ding Wang, Debiao He, Ping Wang e Chao-Hsien Chu, Anonymous Two-Factor Authentication in Distributed Systems: Certain Goals Are Beyond Attainment (PDF), in IEEE Transactions on Dependable and Secure Computing, Piscataway, Institute of Electrical and Electronics Engineers, 2014. URL consultato il 23 marzo 2018 (archiviato il 17 maggio 2017).
  16. ↑ (EN) Andy Greenberg, So Hey You Should Stop Using Texts For Two-factor Authentication, in Wired, 26 giugno 2016. URL consultato il 12 maggio 2018 (archiviato il 13 maggio 2018).
  17. ↑ (EN) NIST is No Longer Recommending Two-Factor Authentication Using SMS, su schneier.com, Schneier on Security, 3 agosto 2016. URL consultato il 30 novembre 2017 (archiviato il 1º dicembre 2017).
  18. ↑ (EN) Rollback! The United States NIST no longer recommends "Deprecating SMS for 2FA", su blogs.sap.com, 6 luglio 2017. URL consultato il 21 maggio 2019 (archiviato il 2 luglio 2019).
  19. ↑ (EN) Duo Security - Features, su Internet Archive. URL consultato il 28 giugno 2011 (archiviato dall'url originale il 28 giugno 2011).
  20. ↑ (EN) Liam Tung, Google prompt: You can now just tap 'yes' or 'no' on iOS, Android to approve Gmail sign-in, su ZD Net. URL consultato l'11 settembre 2017 (archiviato il 31 agosto 2017).
  21. ↑ (EN) Chance Miller, Apple prompting iOS 10.3, in 9to5 Mac, 25 febbraio 2017. URL consultato l'11 settembre 2017 (archiviato l'11 settembre 2017).
  22. ↑ (EN) How Russia Works on Intercepting Messaging Apps – bellingcat, su bellingcat, 30 aprile 2016. URL consultato il 30 aprile 2016 (archiviato dall'url originale il 30 aprile 2016).
  23. ↑ (EN) Michael Kan, Google: Phishing Attacks That Can Beat Two-Factor Are on the Rise, in PC Mag, 7 marzo 2019. URL consultato il 9 settembre 2019 (archiviato l'8 marzo 2019).
  24. ↑ (EN) SS7 Security Vulnerabilities: The Complete Guide to Attacks and Prevention, su TerraZone, 6 dicembre 2025. URL consultato l'8 giugno 2026.
  25. ↑ (EN) Shaun Nichols, Two-factor FAIL: Chap gets pwned after 'AT&T falls for hacker tricks', su The Register, 10 luglio 2017. URL consultato l'11 luglio 2017 (archiviato l'11 luglio 2017).
  26. ↑ (EN) Official PCI Security Standards Council Site – Verify PCI Compliance, Download Data Security and Credit Card Security Standards, su www.pcisecuritystandards.org. URL consultato il 25 luglio 2016 (archiviato il 27 dicembre 2021).
  27. ↑ (EN) Commission Delegated Regulation (EU) 2018/389 of 27 November 2017 supplementing Directive (EU) 2015/2366 of the European Parliament and of the Council with regard to regulatory technical standards for strong customer authentication and common and secure open standards of communication (Text with EEA relevance.), su data.europa.eu, 13 marzo 2018. URL consultato il 6 aprile 2021.
  28. ↑ (EN) Madhura Karnik, Finally, Indians can use credit cards online without painful OTPs—but only for purchases under Rs2,000, in Quartz, 7 dicembre 2016. URL consultato il 10 dicembre 2023 (archiviato il 10 dicembre 2023).
  29. ↑ (EN) Surabhi Agarwal, Payment firms applaud RBI's move to waive off two-factor authentication for small value transactions, in The Economic Times, 7 dicembre 2016. URL consultato il 28 giugno 2020 (archiviato il 14 settembre 2020).
  30. ↑ (EN) Vishwanath Nair, RBI eases two-factor authentication for online card transactions up to Rs2,000, in Livemint, 6 dicembre 2016. URL consultato il 28 giugno 2020 (archiviato il 28 giugno 2020).
  31. ↑ (EN) Uber now complies with India's two-factor authentication requirement, calls it unnecessary and burdensome, su VentureBeat, 30 novembre 2014. URL consultato il 5 settembre 2021 (archiviato il 5 settembre 2021).
  32. ↑ (EN) Homeland Security Presidential Directive 12, su Department of Homeland Security, 1º agosto 2008 (archiviato dall'url originale il 16 settembre 2012).
  33. ↑ (EN) SANS Institute, Critical Control 10: Secure Configurations for Network Devices such as Firewalls, Routers, and Switches, su sans.org. URL consultato l'11 febbraio 2013 (archiviato dall'url originale il 28 gennaio 2013).
  34. ↑ (EN) SANS Institute, Critical Control 12: Controlled Use of Administrative Privileges, su sans.org. URL consultato l'11 febbraio 2013 (archiviato dall'url originale il 28 gennaio 2013).
  35. ↑ (EN) Digital Identity Guidelines, su NIST Special Publication 800-63-3, NIST, 22 giugno 2017. URL consultato il 2 febbraio 2018 (archiviato il 21 novembre 2017).
  36. ↑ (EN) FFIEC Press Release, su ffiec.gov, 12 ottobre 2005. URL consultato il 13 maggio 2011 (archiviato dall'url originale il 2 giugno 2011).
  37. ↑ (EN) Frequently Asked Questions on FFIEC Guidance on Authentication in an Internet Banking Environment (PDF), su ffiec.gov, FFIEC, 15 agosto 2006 (archiviato il 15 novembre 2012).
  38. ↑ (EN) Brian Krebs, Security Fix – Citibank Phish Spoofs 2-Factor Authentication, in Washington Post, 10 luglio 2006. URL consultato il 20 settembre 2016 (archiviato dall'url originale il 3 luglio 2011).
  39. ↑ (EN) Stephen Shankland, Two-factor authentication? Not as secure as you'd expect when logging into email or your bank, su CNET. URL consultato il 27 settembre 2020 (archiviato il 27 settembre 2020).
  40. ↑ (EN) Bruce Schneier, The Failure of Two-Factor Authentication, su Schneier on Security, marzo 2005. URL consultato il 20 settembre 2016 (archiviato il 20 dicembre 2016).
  41. ↑ (EN) Alex Perekalin, Why you shouldn't ever send verification codes to anyone, su Kaspersky, maggio 2018. URL consultato il 17 ottobre 2020 (archiviato il 20 ottobre 2020).
  42. ↑ (EN) Hossein Siadati, Toan Nguyen, Payas Gupta, Markus Jakobsson e Nasir Memon, Mind your SMSes: Mitigating Social Engineering in Second Factor Authentication, in Computers & Security, vol. 65, 2017, pp. 14–28, DOI:10.1016/j.cose.2016.09.009, S2CID 10821943.
  43. ↑ (EN) Swati Khandelwal, Real-World SS7 Attack – Hackers Are Stealing Money From Bank Accounts, in The Hacker News. URL consultato il 5 maggio 2017 (archiviato il 6 maggio 2017).
  44. ↑ (EN) MFA Fatigue: Hackers' new favorite tactic in high-profile breaches, su BleepingComputer. URL consultato il 12 agosto 2023 (archiviato il 27 giugno 2023).
  45. 1 2 (EN) MFA Fatigue: Hackers' new favorite tactic in high-profile breaches, su BleepingComputer. URL consultato il 26 gennaio 2023 (archiviato il 27 giugno 2023).
  46. ↑ (EN) Jeff Burt, Multi-factor authentication fatigue can blow open security, su www.theregister.com, 3 novembre 2022. URL consultato il 26 gennaio 2023 (archiviato il 26 gennaio 2023).
  47. ↑ (EN) Lucian Constantin, Multi-factor authentication fatigue attacks are on the rise: How to defend against them, su CSO Online, 22 settembre 2022. URL consultato il 26 gennaio 2023 (archiviato il 26 gennaio 2023).
  48. ↑ (EN) Liam Tung, Microsoft Authenticator gains feature to thwart spam attacks on MFA, su ZDNet. URL consultato il 26 gennaio 2023 (archiviato il 26 gennaio 2023).
  49. ↑ (EN) Zack Whittaker, How do you stop another Uber hack?, in TechCrunch, 19 settembre 2022. URL consultato il 24 agosto 2023 (archiviato il 24 agosto 2023).
  50. ↑ (EN) Jessica Lyons Hardcastle, Uber explains how it was pwned this month, points finger at Lapsus$ gang, in The Register, 19 settembre 2022. URL consultato il 24 agosto 2023 (archiviato il 24 agosto 2023).
  51. ↑ (EN) A07 Identification and Authentication Failures - OWASP Top 10:2021, su top10.owasp.org. URL consultato il 22 settembre 2026.
  52. ↑ (EN) 2FA/MFA/OTP Bypass, su HackTricks. URL consultato il 22 settembre 2026.
  53. ↑ (EN) S. Rahul, Behind the Scenes of a Security Bug: The Perils of 2FA Cookie Generation, su Medium, 22 luglio 2023. URL consultato il 22 settembre 2026.
  54. ↑ (EN) Eternal disclosed on HackerOne: Authentication Bypassing and..., su HackerOne. URL consultato il 22 settembre 2026.
  55. ↑ (EN) CWE - CWE-307: Improper Restriction of Excessive Authentication Attempts (4.20), su cwe.mitre.org. URL consultato il 22 settembre 2026.
  56. ↑ (EN) Max, Two-factor authentication security testing and possible bypasses, su Medium, 9 gennaio 2020. URL consultato il 22 settembre 2026.
  57. ↑ (EN) Nextcloud disclosed on HackerOne: Missing rate limiting on password..., su HackerOne. URL consultato il 22 settembre 2026.
  58. ↑ (EN) S. Amft, S. Höltervennhoff, N. Huaman, A. Krause, L. Simko, Y. Acar e S. Fahl, "We've Disabled MFA for You": An evaluation of the security and usability of multi-factor authentication recovery deployments, in arXiv, 2023, arXiv:2306.09708 [cs.CR].
  59. ↑ (EN) Martin C. Libicki, Edward Balkovich, Brian A. Jackson, Rena Rudavsky e Katharine Webb, Influences on the Adoption of Multifactor Authentication, su rand.org, 2011. URL consultato il 7 ottobre 2018 (archiviato il 14 ottobre 2018).
  60. ↑ (EN) Hacking Multifactor Authentication | Wiley, su Wiley.com. URL consultato il 17 dicembre 2020 (archiviato il 4 ottobre 2021).
  61. ↑ (EN) Kim Schmitz, Method for authorizing in data transmission systems, US 6078908.
  62. ↑ (EN) Jon Brodkin, Kim Dotcom claims he invented two-factor authentication—but he wasn't first, su Ars Technica, 23 maggio 2013. URL consultato il 25 luglio 2019 (archiviato il 9 luglio 2019).
  63. ↑ (EN) Blonder, et al., Transaction authorization and alert system, US 5708422.

Bibliografia

Voci correlate

Altri progetti

Collegamenti esterni

  Portale Sicurezza informatica: accedi alle voci di Wikipedia che trattano di sicurezza informatica