Autenticazione a più fattori: dove di solito manca

Un secondo fattore ferma la maggior parte degli attacchi che partono da una password rubata. La debolezza di solito non è la pagina di accesso, ma tutto ciò che le sta intorno.

Lacune comuni

• Percorsi di reset: un reset della password via email che salta il secondo fattore.
• Protocolli vecchi: accesso a posta, VPN o API che accetta la sola password.
• Account di servizio e amministrativi: esentati "perché speciali".
• Registrazione: un nuovo dispositivo si può registrare con poche verifiche.
• Codici di recupero: conservati nello stesso posto della password.

Come lo verifica un test

Il tester prova ogni via verso lo stesso account e annota quali chiedono il secondo fattore e quali no. Una sola via non protetta basta a vanificare le altre.

Cosa fare

Applicalo in modo uniforme, preferisci i metodi che resistono al phishing quando possibile e rendi il recupero almeno rigoroso quanto l'accesso.