La
sicurezza digitale è un tema sempre più centrale nell’era moderna, soprattutto con la diffusione massiccia delle piattaforme online, dei servizi basati sul
cloud, e dell’
e-commerce, diventato sempre più pervasivo nella vita di tutti i giorni.
D’altra parte, di pari passo con l’evoluzione delle tecnologie che stanno alla base di questi sistemi, sono aumentate anche le minacce informatiche, trasformando la sicurezza online in una priorità assoluta sia per i privati cittadini che per le aziende.
In questo contesto, le
tecniche di autenticazione di tipo tradizionale basate sulla cara vecchia password hanno smesso di essere adeguate e sufficienti, e si è passati a strumenti più sofisticati basati sull’
autenticazione a due fattori (2FA), la quale prevede l’utilizzo di più livelli di protezione.
Tra le soluzioni più comuni utilizzate in questo ambito, una posizione di spicco è occupata dagli
OTP (One-Time Password) mobile, e dai
token fisici. Vediamo di che cosa si tratta.
Che cos’è un OTP
L’acronimo
OTP, in italiano, si traduce in “password monouso”, perché può essere utilizzata solo una volta per accedere a un sistema, confermare una transazione o completare un'autenticazione.
A differenza delle chiavi di accesso di tipo tradizionale, l'
OTP viene generato in tempo reale e ha una
validità molto limitata nel tempo (solitamente, varia dai 30 ai 60 secondi). Ciò lo rende uno strumento particolarmente sicuro, poiché anche se intercettato, non può essere riutilizzato.
Come funziona un OTP mobile
Nel contesto mobile, l'OTP viene inviato direttamente sullo smartphone dell’utente, solitamente tramite SMS o attraverso una specifica applicazione capace di generare un nuovo codice in tempo reale, basandosi su algoritmi crittografici sicuri e sincronizzati con il server del servizio.
- OTP via SMS: l’utente riceve un codice tramite messaggio di testo. Questo metodo è semplice e accessibile, ma può essere vulnerabile ad attacchi come il SIM swapping, in cui un malintenzionato duplica la SIM dell'utente e riceve gli OTP al suo posto.
- OTP via app: il sistema che si appoggia alle app di autenticazione è un metodo considerato più sicuro poiché il codice viene generato direttamente sul dispositivo mobile.
Che cos’è un token fisico?
Un
token fisico è un dispositivo hardware che genera codici unici utilizzati per l'autenticazione e viene spesso impiegato in ambito aziendale per garantire l’accesso sicuro a sistemi informatici critici.
Tuttavia, i token fisici possono essere distribuiti anche per l’uso personale, per esempio dalle banche, per confermare le operazioni online.
È in grado di generare
codici di autenticazione che l'utente deve inserire nel sistema per completare il processo di accesso. Non richiede una connessione a internet o a una rete mobile, poiché il codice viene creato internamente dal dispositivo. Le tipologie più comuni:
- Token basati sul tempo (TOTP): in questa tipologia di funzionamento, il token genera un codice ogni 30 o 60 secondi che l'utente deve inserire insieme alla password per completare l'accesso.
- Token basati sugli eventi (HOTP): generano un codice quando viene premuto un pulsante sul dispositivo e a ogni clic il codice cambia.
- Smart Card: si tratta di tessere fisiche che contengono un chip e richiedono l’inserimento in un lettore per generare il codice di autenticazione.
Le differenze tra OTP mobile e token fisico
Sebbene entrambi gli strumenti abbiano lo stesso obiettivo di migliorare la sicurezza nell’autenticazione, ci sono differenze significative nel modo in cui funzionano e vengono utilizzati.
- La dipendenza dalla connettività: gli OTP mobili inviati via SMS o app richiedono una connessione a una rete mobile o a internet per essere generati o ricevuti. Ciò li rende meno affidabili in aree con scarsa copertura o durante le interruzioni dei servizi di rete mobile. Al contrario, il token fisico non ha bisogno di connettività poiché il codice viene generato direttamente sul dispositivo, rendendolo una soluzione indipendente e sempre disponibile.
- La sicurezza: sebbene sia generalmente sicuro, il canale SMS degli OTM mobili può essere soggetto a intrusioni, intercettazioni, attacchi di SIM swapping o di malware che possono compromettere il corretto funzionamento del telefono e provocarne la violazione. Il token fisico offre una sicurezza più robusta, poiché il dispositivo è isolato da eventuali attacchi informatici. L’unico vero rischio, in questo caso, è rappresentato dal furto o dallo smarrimento del dispositivo.
- I costi e la gestione: essendo legato a servizi e dispositivi mobili già esistenti, il costo per implementare una soluzione OTP mobile è relativamente basso, anche perché non implica spese per hardware aggiuntivo. I token fisici comportano, invece, un costo iniziale per l'acquisto dei device.
- La facilità d’uso: l’OTP mobile rappresenta una soluzione molto pratica per l’utente medio, in quanto non richiede di portare con sé dispositivi aggiuntivi: basta avere il telefono a portata di mano. Il token fisico, pur essendo semplice da usare, obbliga a portare con sé un elemento in più e ciò può rappresentare un limite.