I Due Protocolli di Autenticazione Più Comuni: Password e 2FA

Protocolli di Autenticazione: Cosa Protegge i Tuoi Accessi

Nella pratica, i due metodi di autenticazione più diffusi (spesso chiamati protocolli in modo colloquiale) sono:

1. Autenticazione Basata su Password (Single-Factor)

• Meccanismo: L'utente fornisce nome utente + password segreta → hashato e confrontato con l'hash memorizzato.
• Protocolli sottostanti: HTTP Basic/Digest, Form POST, LDAP bind, RADIUS PAP/CHAP, Kerberos (derivato da password), NTLM.
• Ubiquità: Ogni sito web, app, accesso OS, Wi-Fi (WPA2-Personal).
• Punti di debolezza: Phishing, credential stuffing, brute force, riutilizzo, keylogging, ingegneria sociale.
• Mitigazioni: Hashing Argon2/bcrypt/scrypt, rate limiting, controllo password violate (HIBP), MFA.

2. Autenticazione a Due Fattori (2FA / MFA)

• Concetto: Qualcosa che sai (password) + qualcosa che hai (dispositivo OTP, telefono, chiave) o sei (biometria).
• Protocolli comuni:
  • TOTP (RFC 6238): OTP basato sul tempo (Google Authenticator, Authy, Microsoft Authenticator).
  • HOTP (RFC 4226): OTP basato su contatore (YubiKey OTP, RSA SecurID).
  • FIDO2 / WebAuthn / CTAP: Crittografia a chiave pubblica, chiavi hardware (YubiKey, Titan), authenticator di piattaforma (Touch ID, Windows Hello) — resistente al phishing.
  • Push / Approva: Duo, Microsoft Authenticator, Okta Verify — il server invia push, l'utente approva.
  • SMS / Voce / Email OTP: La 2FA più debole (SIM swap, SS7, phishing) — deprecata per alto valore.
• Adozione: Obbligatoria per admin, finanza, sanità, governo; opzionale ma spinta per i consumatori.

Oltre Questi Due

• Basato su certificato (mTLS, Smart Card/PIV).
• Kerberos (concessione ticket, SSO aziendale).
• SAML / OIDC / OAuth (identità federata).
• Passwordless (WebAuthn, magic link, passkey).

Password + 2FA = postura di sicurezza di base per quasi tutto oggi.