Cos'è una domanda di autenticazione? Scopo, configurazione e ruolo di sicurezza
Una domanda di autenticazione (domanda di sicurezza) è un fattore basato sulla conoscenza usato per verificare l'identità durante l'accesso, il recupero dell'account o azioni ad alto rischio. Aggiunge un secondo livello oltre alle password.
Come funziona
- Iscrizione: l'utente seleziona una domanda (es. “Nome da nubile della madre?”) e fornisce una risposta segreta.
- Archiviazione: la risposta è hashata (idealmente) o crittografata.
- Sfida: al login da un nuovo dispositivo, dopo la password, o durante “Password dimenticata”, il sistema pone la domanda.
- Verifica: l'input dell'utente è confrontato con l'hash archiviato; corrispondenza → procedi.
Cosa permette di fare
- Recuperare l'accesso se la password è dimenticata (reset self-service).
- Autenticazione a step-up per modifiche sensibili (email, telefono, impostazioni 2FA).
- Provare la proprietà agli agenti di supporto senza rivelare la password.
Punti di debolezza di sicurezza
- Le risposte sono spesso indovinabili (registri pubblici, social media).
- Sono obiettivo di phishing/ingegneria sociale.
- Statiche; non possono essere ruotate come le password.
Best practice
- Usa risposte finte ad alta entropia (conserva in un gestore password).
- Preferisci app authenticator TOTP o chiavi hardware (FIDO2) rispetto alla KBA.
- Se costretto a usarlo, scegli domande oscure; non riutilizzare mai le risposte tra siti.
Tendenza moderna
NIST SP 800-63B sconsiglia l'autenticazione basata sulla conoscenza (KBA) per l'alta sicurezza; le principali piattaforme (Google, Microsoft, Apple) ora spingono passkey/notifiche push invece.
Le domande di autenticazione sono un fallback legacy — utili per account a basso rischio, ma inferiori ai fattori basati sul possesso.