Cos’è un’app di autenticazione?

Un’app di autenticazione (o authenticator) genera i codici a sei cifre che scrivi dopo la password quando hai attivato l’autenticazione a due fattori (2FA). Quando la configuri, il servizio ti mostra un codice QR con una chiave segreta. L’app salva la chiave e, partendo da quella e dall’ora, calcola un codice nuovo ogni 30 secondi. Funziona anche offline, e ogni codice non vale più niente un attimo dopo.

Come nascono i codici

Il codice QR contiene una chiave segreta che conoscono solo il servizio e il tuo telefono. Ogni 30 secondi l’app combina la chiave con l’ora e trasforma il risultato in un numero di sei cifre. Il servizio fa lo stesso calcolo: se i numeri coincidono, sei dentro. Il metodo è uno standard aperto chiamato TOTP (RFC 6238), ed è per questo che qualsiasi app di autenticazione funziona con qualsiasi servizio che offre l’opzione «app di autenticazione».

Al telefono non arriva niente, quindi l’app funziona anche in modalità aereo. Ed è anche il motivo per cui conta l’orologio del telefono: se sbaglia di un minuto o più, di solito i codici vengono rifiutati (come rimediare).

Perché è più sicura dei codici via SMS

• Un SMS passa dalla rete telefonica. Chi si prende il tuo numero, per esempio convincendo il tuo operatore a emettere una nuova SIM (il cosiddetto SIM swapping), riceve anche i tuoi codici. La chiave di un’app di autenticazione resta sul tuo telefono.
• Funziona all’estero, senza campo e senza un numero di telefono.
• Dopo la configurazione la chiave non lascia mai il telefono, quindi non c’è niente da intercettare per strada.

Non è perfetta: una finta pagina di accesso ben fatta può chiederti il codice e usarlo subito. Controlla l’indirizzo prima di scrivere un codice. Le passkey non si possono rubare così, dove il servizio le supporta.

Come configurarla

1. Installa un’app di autenticazione.
2. Sul servizio, apri le impostazioni di sicurezza, cerca l’autenticazione a due fattori o la verifica in due passaggi e scegli app di autenticazione (non SMS).
3. Scansiona il codice QR con l’app. Non riesci? Quasi tutti i servizi mostrano anche la chiave come testo da scrivere a mano.
4. Scrivi il codice che vedi nell’app per confermare.
5. Conserva i codici di backup che ti mostra il servizio, da qualche parte che non sia il telefono. Ti fanno entrare se perdi il telefono.

Quale app?

Generano tutte gli stessi codici, quindi la differenza sta in dove tengono le chiavi e come le portano su un nuovo telefono:

• Google Authenticator può salvare i codici nel tuo account Google, oppure funzionare senza account. Come cambiare telefono.
• Microsoft Authenticator gestisce anche le approvazioni di accesso per gli account Microsoft e di lavoro, e fa il backup su iCloud o sul tuo account Microsoft. Come cambiare telefono.
• I gestori di password (l’app Password di Apple su iPhone, 1Password, Bitwarden) possono tenere il codice accanto alla password.
• Le app separate come 2FAS, Ente Auth e Kode tengono i codici lontani dalle password, così una fuga di dati non regala entrambe le cose.

Alcuni servizi usano una loro app, per esempio Steam Guard. E le approvazioni con un tocco («Sei tu? Sì») sono una funzione dell’app di quel servizio, non delle app di autenticazione in generale.

Se perdi il telefono

La chiave esiste solo dove la tiene l’app. Se era sincronizzata o salvata in un backup, te la ritrovi sul nuovo telefono. Altrimenti è persa: accedi con un codice di backup o con la procedura di recupero dell’account del servizio, poi configura di nuovo l’autenticazione a due fattori. Ecco perché i codici di backup sono importanti.

Kode

Kode è un’app per iPhone di Peter Theill (1,99 €, una volta sola) che genera questi codici, senza account, senza pubblicità e senza connessioni di rete. Le chiavi stanno nel portachiavi dell’iPhone e ti seguono su un nuovo iPhone con Portachiavi iCloud, che è cifrato end-to-end. Può prendere i tuoi codici da Google Authenticator e da altre app: Sposta i tuoi codici in Kode.