Controllare l’intero percorso, non soltanto la schermata di accesso
Una schermata di accesso convincente non descrive l’intero meccanismo di autenticazione. Contano anche registrazione del metodo, login ordinario, nuova verifica prima di una modifica, durata delle sessioni, recupero e sostituzione dopo una perdita. Crea sette colonne: registrazione, accesso, controllo aggiuntivo, azione sensibile, sessione, recupero, ritiro o sostituzione. Per ognuna annota autenticatore, verificatore, canale della richiesta, risultato visibile, alternativa e prova di completamento. Così il blocco locale non viene confuso con l’account remoto e un ingresso comodo non nasconde una via di recupero più debole.
Inventariare ruoli, fattori e punti di ingresso
Elenca identificatore, servizio di credenziali o identità, verificatore, applicazione, autenticatori registrati, contatti di recupero, dispositivi fidati e sessioni. Il modello NIST separa prova d’identità, autenticatore, verificatore, federazione e sessione. Una password è conoscenza; un dispositivo o chiave crittografica è possesso; un’impronta può attivare localmente un autenticatore senza diventare la credenziale remota. Includi Web, app, identità esterna, reset, approvazione del dispositivo e assistenza. Un percorso non spiegato dalla documentazione corrente o da una prova controllata resta sconosciuto invece di essere dedotto dall’icona.
Separare accesso normale e modifica sensibile
Elenca le azioni che cambiano il controllo: aggiungere o togliere un metodo, modificare email di recupero, esportare, disattivare verifica aggiuntiva, collegare un’identità, vedere codici, eliminare l’account o chiudere le sessioni. Controlla se viene chiesta un’autenticazione recente e quale fattore è accettato. OWASP tratta nuova autenticazione, recupero e sessioni come controlli distinti. Un telefono aperto poco prima non dimostra una nuova verifica. Nel tuo account apri un’impostazione innocua, annulla alla richiesta e verifica che impostazione e sessioni siano immutate. Registra origine, fattore, destinazione e risultato dell’annullamento.
Confrontare proprietà senza una classifica unica
Per ciascun metodo annota requisiti di registrazione, legame col dispositivo, sincronizzazione, backup, resistenza al phishing, verifica dell’utente, sostituzione e revoca. NIST spiega che le password non sono resistenti al phishing e che un valore monouso digitato può essere inoltrato da un falso verificatore. Alcuni metodi crittografici legano l’uscita al nome del verificatore o al canale protetto. Non esiste però una scelta universale: compatibilità, recupero e dispositivi condivisi restano importanti. Anche l’MFA indicata da CISA richiede fattori davvero diversi e un’alternativa che non aggiri il controllo senza spiegazioni. Usa proprietà documentate, non aggettivi commerciali.
Disegnare separatamente sessioni e recupero
Una sessione può restare fino a scadenza, uscita, evento di rischio o revoca del server. Il recupero può registrare un nuovo autenticatore, sostituire una password, ripristinare identità esterna o coinvolgere il supporto. Disegna entrambe le sequenze. Osserva se uscire da un dispositivo tocca gli altri, se cambiare fattore chiude vecchie sessioni e se l’elenco distingue profili browser e hardware. Controlla prerequisiti e notifiche senza avviare reset inutili. Una casella abbandonata, un numero da cedere o codici in una nota ordinaria possono diventare il passaggio più debole. La mappa non deve contenere password, codici o link di recupero.
Concludere con tre prove limitate
Accedi normalmente da un dispositivo tuo e registra fattore, origine della richiesta, sessione e account visibile. Apri poi un’impostazione sensibile ma innocua, annulla il nuovo controllo e conferma l’assenza di modifiche. Aggiungi un autenticatore di prova soltanto quando il servizio descrive un ritorno sicuro; usalo una volta, rimuovilo e verifica che non funzioni più. Se non è reversibile, limitati all’ispezione. Registra versione, dispositivo, attesa, risultato e incognite. Decidi in base alla transizione più debole e riapri la mappa dopo cambi di dispositivo principale, recupero, provider, metodo o versione, non per abitudine senza nuovi fatti.
Domande frequenti
Il blocco dell’app è l’autenticazione dell’account?
No. Blocco locale, sessioni remote e recupero sono separati.
L’MFA protegge automaticamente ogni modifica?
No. Accesso, recupero, rimozione e azioni sensibili vanno verificati singolarmente.
Bisogna provare spesso il recupero?
No. Esegui una prova limitata solo con un ritorno sicuro documentato.