Cos'è l'autenticazione a due fattori (2FA)?
ALI Remote · Glossario
L'autenticazione a due fattori (2FA) chiede due prove di tipo diverso per accedere: di solito la password più qualcosa che possiedi, come il telefono o una chiave di sicurezza.
Con la 2FA attiva, una password rubata non basta più per entrare. Alcuni servizi la chiamano verifica in due passaggi, ed è la forma più diffusa di autenticazione a più fattori (MFA).
Perché l'autenticazione a due fattori è importante?
Le password finiscono in mani sbagliate: vengono riutilizzate, indovinate o digitate su false pagine di accesso. Una scheda del 2022 della CISA, l'agenzia statunitense per la cybersicurezza (in inglese), spiega il vantaggio: se la password viene compromessa, chi non ha anche il secondo fattore non riesce comunque a entrare.
La 2FA, inoltre, è pensata per una sola persona. Secondo la pagina di supporto di Apple, l'autenticazione a due fattori per l'Apple Account è progettata per garantire che tu sia l'unica persona in grado di accedere al tuo account.
Come funziona l'autenticazione a due fattori?
Ogni prova rientra in una di tre categorie, e la 2FA ne combina due diverse:
- Qualcosa che sai: una password o un PIN.
- Qualcosa che possiedi: un telefono, un'app di autenticazione o una chiave di sicurezza.
- Qualcosa che sei: un'impronta digitale o il riconoscimento del volto, di solito per sbloccare il dispositivo che contiene il secondo fattore.
All'accesso inserisci la password, poi il servizio chiede il secondo fattore: un codice da un'app, un tocco sulla chiave di sicurezza o una conferma su un dispositivo già autorizzato. Password più domanda di sicurezza sono due passaggi ma un solo fattore, perché entrambe sono cose che sai.
Qual è il secondo fattore più sicuro?
La scheda della CISA ordina i secondi fattori dal più forte al più debole: prima passkey e chiavi di sicurezza, per ultimi i codici via SMS o chiamata. Le linee guida del NIST, l'istituto statunitense per gli standard, SP 800-63B-4 (luglio 2025, in inglese), aggiungono che la resistenza al phishing richiede un'autenticazione crittografica: una pagina falsa può catturare qualsiasi codice digitato a mano.
| Secondo fattore | Come funziona | Punto debole principale |
|---|---|---|
| Passkey o chiave di sicurezza | Una chiave crittografica che risponde solo al sito vero per cui è stata creata | Non ancora disponibile ovunque; tieni una riserva |
| App di autenticazione | Un codice monouso che cambia di continuo, o una richiesta da approvare | I codici si possono digitare su una pagina falsa; le raffiche di richieste sfiniscono |
| Codice via SMS o chiamata | Un codice monouso inviato al tuo numero | Phishing e SIM swap, con cui chi attacca fa spostare il tuo numero sulla sua SIM |
Per la CISA la MFA resistente al phishing è lo standard di riferimento, e il NIST classifica la rete telefonica come opzione "limitata". Ma qualsiasi 2FA è meglio di niente: se un servizio offre solo gli SMS, attivali.
Autenticazione a due fattori quando più persone condividono l'accesso
Poiché la 2FA lega un account al secondo fattore di una sola persona, un accesso condiviso non regge. O i codici arrivano sul telefono di un collega e tutti gli altri glieli chiedono, il che abitua le persone a passarsi i codici, oppure qualcuno disattiva la 2FA. Per le linee guida del NIST, ognuno deve proteggere i propri segreti di autenticazione e non rivelarli ad altri.
Lo schema che funziona:
- Un account per persona, mai una password condivisa.
- Ognuno attiva il proprio secondo fattore.
- I ruoli limitano ciò che ciascuno può aprire o modificare.
- Quando qualcuno se ne va, rimuovi il suo account.
Esempio (illustrativo). Un'agenzia condivide un unico accesso a uno strumento, e ogni collaboratore deve chiedere alla fondatrice il codice che arriva sul suo telefono. Con un account a testa, i collaboratori confermano da sé i propri accessi, e a fine incarico basta rimuovere un account.
La pagina del prodotto di ALI Remote elenca tra le funzioni per il team i ruoli con permessi precisi e l'accesso a due fattori. Crei account per le tue persone, assegni i ruoli e scegli esattamente quali iPhone ciascuno può aprire. Quando rimuovi qualcuno dal team, l'accesso viene revocato subito.
Termini correlati
- Passkey: una credenziale crittografica che sostituisce la password. Per usarla servono il dispositivo più volto, impronta o PIN, per questo molti servizi la contano come entrambi i fattori.
- Real device cloud: telefoni fisici ospitati in un data center e usati a distanza, spesso da team che assegnano l'accesso per persona.
Domande frequenti
La 2FA è la stessa cosa della MFA?
La 2FA è un tipo di MFA. L'autenticazione a più fattori indica due o più fattori di categorie diverse, quella a due fattori esattamente due. Quasi tutti i servizi che parlano di "MFA" chiedono una password più un altro fattore, quindi i termini si sovrappongono. Quello che conta è quale secondo fattore usi.
Cosa succede se perdi il secondo fattore?
Usi il metodo di recupero che hai impostato prima: codici di backup, una seconda chiave di sicurezza o un altro dispositivo attendibile. Senza, rischi una lunga verifica dell'identità o di perdere l'accesso, quindi conserva i codici di backup offline. In un team, fai reimpostare l'accesso della persona da un amministratore, dove lo strumento lo consente, invece di condividere i codici di qualcuno. Non inviare mai un codice per messaggio o e-mail, nemmeno a un collega di cui ti fidi.
Apple e iPhone sono marchi di Apple Inc. ALI Remote non è affiliata ad Apple né approvata da Apple.
Altri termini
- Device as a service (DaaS)Il device as a service (DaaS) è un abbonamento in cui un fornitore mette a disposizione laptop o telefoni e li gestisce dalla configurazione alla dismissione. Ecco come funziona, un esempio, la versione ospitata e il rapporto con SaaS e noleggio operativo.
- Dispositivo dedicatoUn dispositivo dedicato è riservato a un solo scopo o a un solo cliente, invece di essere condiviso. Ecco come funziona su Android e sui dispositivi Apple, cosa vuol dire dedicato per l'hardware in hosting e cinque domande da fare al fornitore.
- EmulatoreUn emulatore è un software che riproduce su un computer l'hardware di un telefono, per farne girare sistema operativo e app. Ecco come funziona, in cosa si distingue da un simulatore e da un dispositivo reale, e i limiti indicati dalla documentazione di Google e di Apple.
- MCP (Model Context Protocol)Il Model Context Protocol (MCP) è uno standard aperto che collega gli assistenti IA a strumenti e dati esterni. Ecco come funziona, in cosa si distingue da un'API, cosa controllare prima di collegare un server e come si usa nella pratica.
- Real device cloudUn real device cloud ospita smartphone fisici in un data center e ti permette di usarli dal browser. Ecco come funziona, perché dà risultati più fedeli dei simulatori e dove si usa oltre al test delle app.
- Simulatore iOSIl simulatore iOS è lo strumento di Apple, incluso in Xcode, che fa girare le app iOS sul Mac senza un iPhone. Ecco a cosa serve, cosa non replica secondo Apple, perché non è un emulatore e cosa è cambiato con Device Hub in Xcode 27.