L’essenziale in breve
- Una password da sola protegge male: può essere carpita, indovinata o rubata presso un altro servizio.
- L’Ufficio federale della cibersicurezza (UFCS) raccomanda di attivare l’autenticazione a due fattori ovunque sia possibile – in particolare per l’account e-mail.
- Le passkey sono legate al vero sito web e non si possono usare su una pagina falsificata. Sono quindi l’accesso più sicuro per l’uso quotidiano.
- Pianifica il caso d’emergenza: configura una seconda passkey o codici di riserva prima che lo smartphone vada perso.
Perché una password da sola non basta
La maggior parte degli attacchi a piccole aziende non sono hacking sofisticati, ma dati di accesso rubati. Tre vie sono particolarmente frequenti:
- Phishing: un’e-mail ingannevolmente autentica conduce a una pagina di accesso falsificata. Chi vi digita la propria password la consegna agli aggressori.
- Riutilizzo: se un negozio online viene hackerato, gli aggressori provano automaticamente le combinazioni di e-mail e password sottratte presso altri servizi. Chi ha ovunque la stessa password perde così più account in una volta.
- Password deboli: password brevi o ovvie si possono indovinare con programmi in breve tempo.
L’UFCS consiglia perciò una password propria per ogni servizio di almeno 12 caratteri – e inoltre un secondo fattore.
Il secondo fattore: app anziché SMS
Con l’autenticazione a due fattori ti serve, oltre alla password, qualcosa che possiedi solo tu – per lo più il tuo smartphone. Anche se qualcuno conosce la tua password, senza questo secondo fattore non entra. Esistono diverse varianti:
| Metodo | Come funziona | Valutazione |
|---|---|---|
| Codice SMS | Codice per SMS sullo smartphone | Meglio di niente, ma il più debole: gli SMS possono essere deviati e il codice può essere intercettato su una pagina di phishing. |
| App di autenticazione | L’app mostra ogni 30 secondi un nuovo codice a sei cifre (ad es. Microsoft Authenticator, Google Authenticator) | Buono e molto diffuso. Anche questo codice può essere digitato su una pagina falsificata e usato in modo abusivo. |
| Passkey | Accesso con impronta digitale, volto o PIN del dispositivo | Il più sicuro: legato al vero sito web, nulla da digitare e da intercettare. |
Passkey: più sicure e più semplici allo stesso tempo
Una passkey sostituisce la password con una coppia di chiavi secondo lo standard FIDO2 ovvero WebAuthn. La parte segreta resta sul tuo dispositivo o nel tuo gestore di password, il sito web conosce solo la parte pubblica. Confermi l’accesso come sblocchi il tuo dispositivo: con Windows Hello, Face ID o Touch ID, con il PIN del tuo smartphone – oppure con una chiave di sicurezza alla porta USB.
Il grande vantaggio: una passkey è legata all’indirizzo del vero sito web. Su una pagina falsificata semplicemente non funziona e non c’è alcun segreto che potresti rivelare per sbaglio. La FIDO Alliance, che sviluppa lo standard, indica espressamente la resistenza al phishing come obiettivo centrale.
Le passkey esistono in due forme:
- Sincronizzata: la passkey si trova nel tuo account Apple, Google o Microsoft ovvero nel gestore di password ed è disponibile su tutti i tuoi dispositivi. Pratico – se un dispositivo va perso, la passkey non scompare.
- Legata al dispositivo: la passkey non lascia mai un determinato dispositivo, ad esempio una chiave di sicurezza. Molto sicura, ma ti serve una seconda chiave di riserva.
Pianificare prima il caso d’emergenza
Il secondo fattore ti protegge – e può escluderti se lo smartphone è rotto o scomparso. Pianifica perciò fin dall’inizio una riserva:
- Configura, dove possibile, due fattori, ad esempio una passkey sul portatile e una sullo smartphone, oppure passkey più app di autenticazione.
- Conserva offline i codici di riserva o di ripristino che molti servizi offrono – stampati in un luogo sicuro, non come foto sullo smartphone.
- Proteggi in modo particolare il tuo account e-mail. Tramite «password dimenticata» è la chiave di quasi tutti gli altri account.
Esempio: lo smartphone cade in acqua
Sandra gestisce uno studio grafico con due collaboratori. Dopo una gita al lago il suo smartphone è inutilizzabile. Poiché per contabilità, e-mail ed e-banking ha configurato in aggiunta una passkey con Windows Hello sul suo portatile, la mattina dopo lavora normalmente. Sul nuovo smartphone configura poi di nuovo l’app di autenticazione ed elimina la vecchia voce.
Passi pratici per il tuo team
- Account personali: ogni persona ha il proprio login. Accessi condivisi non rendono comprensibile chi ha fatto che cosa e all’uscita difficilmente si possono bloccare in modo pulito.
- Introdurre un gestore di password: genera e salva per ogni servizio una password propria e robusta. Proteggilo a sua volta con una lunga password principale e un secondo fattore.
- Attivare ovunque i due fattori: prima e-mail, e-banking, contabilità e archiviazione cloud, poi tutto il resto.
- Usare le passkey dove offerte: sempre più servizi le supportano – Microsoft, Google, Apple e molte applicazioni aziendali.
- Regolare le uscite: all’uscita di una persona bloccare subito gli account, cambiare le password dei dispositivi condivisi e riprendere i dispositivi aziendali.
Come funziona in Easly
In Easly si trovano fatture, giustificativi e dati del personale. Perciò in Easly il secondo fattore non è un’opzione, ma un obbligo:
- Primo accesso sicuro: dopo l’ordine ricevi per e-mail un link monouso. Con esso imposti la tua password e configuri subito l’app di autenticazione come secondo fattore; le passkey le aggiungi poi in Impostazioni → Sicurezza. Una password per e-mail non esiste.
- Il secondo fattore è obbligatorio: senza passkey o app di autenticazione arrivi solo fino alla pagina di configurazione. Le password devono avere almeno 12 caratteri.
- Accedere con passkey: con una passkey accedi del tutto senza password – con Windows Hello, Face ID, Touch ID o chiave di sicurezza. Puoi registrare più passkey e in aggiunta un’app di autenticazione.
- Nessuna esclusione accidentale: l’ultimo secondo fattore rimasto non puoi rimuoverlo.
- Protezione contro i tentativi a forza bruta: dopo più tentativi errati Easly blocca temporaneamente l’accesso.
- Smartphone perso? Contattaci. Dopo una verifica ti inviamo un nuovo link monouso all’indirizzo e-mail registrato, con cui riconfiguri il secondo fattore. Il modo più rapido è però senza di noi: con una seconda passkey come riserva.
- Assistenza solo con il tuo codice: se ti serve aiuto, crei un codice di autorizzazione, valido al massimo 72 ore e revocabile in qualsiasi momento. Senza questo codice l’assistenza non accede alla tua istanza.
Domande frequenti
Un codice SMS come secondo fattore è abbastanza sicuro?
Un codice SMS è decisamente meglio di nessun secondo fattore. Più sicure sono però un’app di autenticazione e soprattutto le passkey, perché gli SMS possono essere deviati e i codici intercettati su pagine falsificate.
Che cosa succede alla mia passkey se perdo lo smartphone?
Se la passkey è sincronizzata nel tuo account Apple, Google o Microsoft ovvero nel gestore di password, resta disponibile sugli altri tuoi dispositivi. Le passkey legate al dispositivo scompaiono con il dispositivo – perciò ci vuole sempre un secondo fattore come riserva.
Una passkey può essere rubata?
La parte segreta di una passkey non lascia il tuo dispositivo ovvero il tuo gestore di password, e il sito web salva solo la parte pubblica. Se un servizio viene hackerato, lì non c’è alcuna password da rubare. Proteggi però bene tu stesso il tuo dispositivo e il tuo account Apple, Google o Microsoft, perché con essi sblocchi le passkey.
Come ditta individuale mi serve davvero un gestore di password?
Sì, proprio allora. È il modo più semplice per avere una password propria e robusta per ogni servizio senza dover ricordare nulla. Molti gestori di password salvano anche le passkey.
Stato delle indicazioni: vedi sopra. Fonti: raccomandazioni dell’Ufficio federale della cibersicurezza (UFCS) su password e autenticazione a due fattori nonché la descrizione delle passkey della FIDO Alliance. Questo articolo non sostituisce una consulenza individuale sulla sicurezza.