Attivare la verifica in due passaggi di un servizio è una buona idea... a patto che sia stata implementata correttamente. Nella maggior parte dei casi, tale verifica dipende da un SMS o da un messaggio vocale, tuttavia gli attacchi contro gli SMS si moltiplicano, e ogni idea di sicurezza basata su quel metodo di invio sta perdendo significato. Fortunatamente, Google offre per i suoi servizi un Autenticatore ufficiale che ci permette di generare codici compatibili con la verifica in due passaggi in modo locale, senza messaggi né connessione a Internet.
Le strategie di gestione delle password
Preoccupato dalla possibilità che qualcuno rubi la tua password? Alcuni potrebbero chiamarla paranoia, ma personalmente direi che stai riconoscendo la necessità di mantenere un buon livello di sicurezza. La raccomandazione classica è usare un gestore di password locale, come KeePass. Molti mettono in discussione la strategia di «una password per accedere a tutte», e poi ci sono quelli che difendono la visione di «una password difficile da ricordare, per proteggere password complesse che l'utente non è obbligato a sapere». Tuttavia, entrambe le parti riconoscono un obiettivo superiore: complementare la password e avanzare verso altre opzioni, come l'autenticazione multifattore. La variante più conosciuta, e quindi la più semplice, è la verifica in due passaggi. In sintesi: qualcosa che sai, combinato con qualcosa che hai.
L'Autenticatore di Google
Google offre questo meccanismo per i suoi servizi da qualche tempo. Il nome utente e la password formano «quello che sai», mentre «quello che hai» è il tuo dispositivo mobile. Il problema è il modo in cui i due si collegano. Google consente l'uso di SMS e messaggi vocali. Personalmente credo che nessuno ascolti i messaggi vocali oggigiorno, e l'SMS è già stato dichiarato insicuro più di una volta, da agenzie con il livello del NIST statunitense. Allora, cosa ci resta? Google ci apre una terza via: il suo Autenticatore compatibile con Android, iOS e BlackBerry. Il grande vantaggio dell'Autenticatore è che genera codici compatibili con la verifica in due passaggi sullo smartphone, senza dipendere da una connessione a Internet o dalla rete mobile.
Se a questo aggiungiamo il fatto che offre supporto per più account contemporaneamente, credo che la questione sia risolta a favore dell'Autenticatore di Google. Il download avviene tramite i negozi su ciascuna delle piattaforme supportate, e ogni dettaglio sull'installazione e il funzionamento si può trovare nel collegamento qui sotto.
