App di autenticazione e password per app: come funzionano

Un'app di autenticazione produce password monouso basate sul tempo, un metodo di solito chiamato TOTP. Quando attivi l'autenticazione a due fattori con un'app, il servizio mostra un codice QR. Quel codice contiene una chiave segreta e scansionarlo ne salva una copia dentro la tua app. Da quel momento il servizio e il tuo telefono condividono lo stesso segreto, che non deve più viaggiare in rete.

Per creare un codice, l'app combina il segreto con l'ora attuale, arrotondata a un breve intervallo che di solito è di 30 secondi, ed elabora il risultato con una funzione crittografica standard. Poi riduce l'esito a un numero breve, in genere di sei cifre. Il server esegue lo stesso calcolo dalla sua parte e confronta i due risultati. Poiché a entrambe le parti servono solo il segreto e un orologio, l'app funziona senza dati mobili né Wi-Fi.

Questo schema spiega il problema più comune: codici rifiutati anche se li hai digitati correttamente. Se l'orologio del telefono va fuori sincronia, calcola i codici per la finestra di tempo sbagliata. Impostare data e ora sull'aggiornamento automatico di solito risolve, e alcune app includono anche un'opzione di correzione dell'ora.

Qualsiasi app che supporta il metodo standard TOTP funziona con la maggior parte dei servizi, quindi la vera scelta dipende da come l'app gestisce i tuoi segreti. Le grandi aziende delle piattaforme offrono app proprie, tra cui Google Authenticator e Microsoft Authenticator, e molti gestori di password possono conservare anche i codici TOTP.

Cerca un modo per fare il backup o esportare i tuoi codici, perché un'app che li tiene su un solo telefono trasforma un telefono perso in un blocco totale. Se l'app si sincronizza con un account cloud, assicurati che quell'account sia a sua volta ben protetto e preferisci le app che cifrano il backup. Un blocco dell'app con impronta, volto o PIN aggiunge protezione se qualcuno prende il tuo telefono sbloccato.

Alcune app di autenticazione offrono anche approvazioni push per gli account della loro stessa azienda, in cui tocchi per confermare un accesso invece di digitare un codice. È comodo, ma funziona solo con quel provider. Per ogni altro servizio, l'app si comporta come un normale generatore di codici.

Nelle impostazioni di sicurezza dell'account scegli l'opzione per configurare un'app di autenticazione. Scansiona il codice QR con l'app oppure digita a mano la chiave di configurazione se non riesci a scansionare. Il servizio ti chiede poi il codice attuale per verificare che la configurazione sia riuscita. Non saltare questo passaggio e non chiudere la pagina finché il codice non è stato accettato.

Dai a ogni voce un nome chiaro se l'app lo permette, soprattutto quando gestisci più account sullo stesso servizio. Una voce che mostra solo il nome del marchio si confonde facilmente con un'altra, ed eliminare la voce sbagliata può lasciarti fuori.

Salva nello stesso momento i codici di backup o di recupero che il servizio offre. Sono il modo più semplice per rientrare se il telefono con la tua app di autenticazione va perso prima che tu abbia fatto un backup dei codici.

La regola più sicura è semplice: configura il nuovo telefono mentre il vecchio funziona ancora. Non cancellare, vendere né dare in permuta il vecchio dispositivo finché ogni codice non è stato spostato e provato.

Molte app di autenticazione includono una funzione di trasferimento o esportazione che mostra uno o più codici QR sul vecchio telefono da scansionare con il nuovo. Altre ripristinano le voci da un backup cloud cifrato quando accedi sul nuovo dispositivo. Dopo lo spostamento, accedi ad alcuni account con i nuovi codici per verificare che corrispondano.

Se la tua app non ha un'opzione di trasferimento, sposta gli account uno alla volta. Accedi a ogni servizio, apri le sue impostazioni a due fattori, scegli di aggiungere o cambiare l'app di autenticazione, scansiona il nuovo codice QR con il nuovo telefono e conferma il codice. Su molti servizi la vecchia voce smette di funzionare quando il segreto viene sostituito, quindi eliminala dopo per evitare confusione. Tieni a portata di mano i codici di backup durante lo spostamento, nel caso qualcosa vada storto a metà strada.

Una password per app è una password lunga e generata casualmente che permette a una specifica app o a un dispositivo di accedere al tuo account senza passare dall'autenticazione a due fattori. Esiste per i software più datati che capiscono solo nome utente e password e non riescono a mostrare la richiesta di un codice né ad aprire una pagina di accesso.

Gli account Google, Microsoft e Yahoo, tra gli altri, permettono di creare password per app dalle impostazioni di sicurezza dell'account, nella maggior parte dei casi solo dopo aver attivato la verifica in due passaggi. Alcuni tipi di account, come certi account di lavoro o scuola o quelli iscritti ai programmi di sicurezza più rigorosi, potrebbero non offrirle affatto. Di norma vedi ogni password per app una sola volta, quando viene creata, quindi incollala subito nell'app.

Poiché una password per app salta il secondo fattore, trattala come una password completa della casella che protegge. Creane una separata per ogni app o dispositivo, dalle un nome descrittivo dove il servizio lo permette e non riutilizzarla mai altrove.

Le app di posta moderne accedono ai grandi provider tramite una finestra di accesso in stile browser che gestisce direttamente l'autenticazione a due fattori, quindi non hanno bisogno di una password per app. Di solito ne serve una solo quando un programma o un dispositivo si collega con impostazioni IMAP, POP o SMTP semplici e un campo password: vecchi client di posta desktop, alcune app di posta per mobile, scanner e stampanti che inviano e-mail, strumenti di backup, script e vecchi dispositivi smart.

Un buon test è provare prima il normale accesso. Se l'app apre la pagina di accesso del provider, usala. Se offre solo le impostazioni del server e continua a rifiutare la tua password corretta dopo che hai attivato la verifica in due passaggi, è il segnale per creare una password per app, inserirla al posto della password normale e lasciare invariate le altre impostazioni.

I provider stanno allontanando le persone dall'accesso con semplice password per le app di terze parti, quindi una password per app che funziona oggi potrebbe non essere più supportata in futuro. Quando un programma su cui fai affidamento smette di collegarsi, controlla se una versione più recente supporta il metodo di accesso moderno prima di creare ancora un'altra password per app.

Rivedi ogni tanto le tue password per app nelle impostazioni di sicurezza dell'account e revoca quelle che non usi più, soprattutto per dispositivi che hai venduto o programmi che hai disinstallato. Alcuni provider elencano ogni password per app separatamente, altri permettono solo di rimuoverle tutte insieme. Su alcuni servizi, cambiare la password principale revoca anche le password per app esistenti, quindi preparati a crearne di nuove dopo.

Se hai ricevuto un account e-mail da qualcun altro, per esempio tramite un marketplace di beni digitali come rStock, rimuovi le password per app e le voci di autenticazione che non hai creato tu, poi configura la tua app di autenticazione e genera nuovi codici di backup. Su rStock il contenuto consegnato compare nella pagina dell'ordine come registro di consegna collegato all'ordine, quindi copia i dati nel tuo gestore di password prima di iniziare a modificarli. Usa ogni account che ottieni in linea con i termini di utilizzo del provider e tieni presente che rStock non è affiliata a Google, Microsoft, Yahoo né a nessun altro provider citato in questo articolo.

Infine, tieni separati, dove possibile, l'app di autenticazione, i codici di backup e le password per app. Un solo telefono rubato o una sola nota trapelata non dovrebbe mai bastare per consegnare a qualcuno tutte le chiavi della tua posta.