Tutto ciò che vale la pena sapere, niente di superfluo.
Che cos'è un OTP
Un OTP è un codice breve e monouso, in genere da 4 a 8 cifre, valido una sola volta e per un breve periodo di tempo. Viene inviato a un dispositivo in possesso dell'utente, il più delle volte tramite SMS, ma anche tramite WhatsApp, chiamata vocale, chiamata flash, e-mail o generato localmente da un'app di autenticazione. Poiché scade e non può essere riutilizzato, un OTP dimostra, in quel preciso momento, che l'utente controlla il canale a cui è stato inviato.
- Un codice monouso, valido una sola volta e per un periodo limitato.
- Consegnato tramite SMS, WhatsApp, chiamata vocale, chiamata flash, e-mail o app.
- Dimostra il controllo del canale a cui è stato inviato.
- La combinazione di data di scadenza e monouso è ciò che lo rende "usa e getta".
Che cos'è l'autenticazione a due fattori (2FA)?
L'autenticazione a due fattori richiede due prove appartenenti a categorie diverse: qualcosa che conosci (una password o un PIN), qualcosa che possiedi (un telefono, una chiave di sicurezza, un codice OTP) o qualcosa che sei (un'impronta digitale o il volto). Il punto fondamentale è l'indipendenza: un malintenzionato che ruba la tua password non ha comunque a disposizione il secondo fattore. Una password più un codice OTP via SMS costituiscono l'autenticazione a due fattori; due password non lo sono, perché appartengono allo stesso tipo di fattore.
- Due fattori appartenenti a categorie diverse: sapere / avere / essere.
- Password + OTP via SMS = autenticazione a due fattori; password + PIN = non è un'autenticazione a due fattori.
- L'indipendenza è la proprietà di sicurezza che conta.
- L'autenticazione a più fattori (MFA) generalizza l'autenticazione a due fattori (2FA) a due o più fattori.
Come si relazionano
Spesso, l'OTP (One-Time Password) rappresenta il fattore "qualcosa che possiedi" in una configurazione di autenticazione a due fattori (2FA), ma è solo un'opzione, e non la più sicura. L'OTP via SMS è vulnerabile al phishing, allo scambio di SIM e alle frodi tramite SMS pumping, motivo per cui linee guida come la NIST SP 800-63B considerano gli SMS un metodo di autenticazione limitato e perché esistono alternative come la chiamata flash, l'autenticazione silenziosa di rete, le app di autenticazione e le chiavi hardware. È possibile avere un OTP senza 2FA (accesso senza password a fattore singolo tramite codice) e 2FA senza OTP (password più impronta digitale).
- L'OTP è solitamente il fattore determinante, ma non l'unico.
- L'autenticazione tramite SMS (OTP) è meno efficace rispetto ai sistemi basati su app o dispositivi hardware.
- Lo standard NIST SP 800-63B limita l'utilizzo degli SMS come metodo di autenticazione.
- Esistono sia la OTP senza autenticazione a due fattori (2FA) che la 2FA senza OTP.
Confronto tra OTP e 2FA in sintesi
| OTP | 2FA | |
|---|---|---|
| Che cos'è | Un codice monouso | Un modello di sicurezza a due fattori |
| Ambito di applicazione | Un meccanismo di autenticazione | Una policy che combina due fattori |
| Esempi | Codice via SMS, vocale o tramite app | Password + OTP, password + impronta digitale |
| Consegna / metodi | SMS, WhatsApp, voce, flash call, app | Due tipi di fattore indipendenti qualsiasi |
| Relazione | Può essere il secondo fattore della 2FA | Può usare un OTP, oppure no |