Chi utilizza la autenticazione a due fattori per proteggere i propri account digitali sa bene quanto sia fondamentale il ruolo delle app come Google Authenticator, Microsoft Authenticator o Authy. Eppure, quando arriva il momento di cambiare smartphone, spostare Authenticator su un altro telefono diventa un passaggio delicato che troppi sottovalutano. E le conseguenze possono essere davvero spiacevoli.
Il meccanismo è ormai noto: oltre alla classica combinazione di nome utente e password, molti servizi online richiedono un codice temporaneo generato da queste applicazioni. È il famoso secondo fattore, quello che rientra nella categoria “qualcosa che possiedi”. I codici vengono generati esclusivamente sul dispositivo fisico dell’utente, si basano su una chiave segreta memorizzata in locale e non possono essere ricreati senza accesso al device o a quella chiave. Le app Authenticator sfruttano l’algoritmo TOTP (Time-based One-Time Password), definito nello standard IETF RFC 6238. Ogni servizio configurato nell’app è legato a una chiave segreta condivisa tra server e dispositivo, ma questa chiave non transita mai in rete: il codice a 6 cifre viene calcolato in parallelo dall’app e dal server del servizio, usando il tempo corrente (con finestre da 30 secondi) e il segreto generato inizialmente.
E qui sta il punto critico. Facciamo un esempio concreto: cosa succede se lo smartphone smette di funzionare da un giorno all’altro? Oppure se viene smarrito o rubato? Se l’accesso a un account dipende dal codice generato dall’app Authenticator, senza quel dispositivo non si riesce più a entrare. Anche inserendo nome utente e password corretti, mancherebbe il codice di conferma. Ecco perché è così importante attivare più fattori di recupero: i codici di backup (da conservare in un luogo sicuro e inaccessibile), il ripristino via email, tramite SMS o chiamata, le passkey o i token di sicurezza fisici. Con questi meccanismi attivi, anche senza il vecchio telefono, resta possibile accedere all’account, disattivare la 2FA e riattivarla su un nuovo dispositivo.
Come funziona la migrazione tramite QR code e perché serve massima attenzione
La buona notizia è che molte app moderne permettono di spostare Authenticator su un altro telefono attraverso una funzione di esportazione e importazione tramite codice QR. Il vecchio dispositivo genera un QR code contenente le chiavi segrete, e il nuovo smartphone le importa semplicemente scansionandolo. La procedura è abbastanza lineare: si apre l’app sul vecchio telefono, si cerca l’opzione Esporta, si generano uno o più QR code, e sul nuovo dispositivo si seleziona Importa per scansionarli.
Attenzione però, perché quel QR code non è un “semplice codice”. Contiene la chiave segreta TOTP associata a ogni singolo account. Tecnicamente, codifica una stringa nel formato otpauth://totp/…?secret=XXXXXX, dove il parametro secret è la componente critica. Chiunque entri in possesso di quella chiave può generare gli stessi identici codici e, conoscendo anche username e password, accedere agli account. Per questo motivo il QR code andrebbe acquisito esclusivamente tramite fotocamera dall’app Authenticator, senza salvarlo come screenshot o file. Se viene memorizzato come immagine, perde la caratteristica fondamentale della sicurezza TOTP: la non replicabilità. Quel file potrebbe restare per anni su dispositivi, backup o cloud, esponendolo a malware o persone non autorizzate.
Un secondo dispositivo come rete di sicurezza
Una mossa intelligente e lungimirante consiste nel configurare l’app Authenticator anche su un secondo dispositivo, che sia sotto il proprio esclusivo controllo. Può essere un computer con Windows, macOS o Linux protetto da crittografia. Avere un solo dispositivo con l’app Authenticator rappresenta quello che si chiama single point of failure: basta un guasto hardware, un reset accidentale o un furto per trovarsi tagliati fuori da tutti gli account protetti dalla 2FA. Non serve nemmeno installare la stessa app usata sul telefono: è sufficiente trasferire le chiavi segrete tramite codice QR in modo sicuro. L’importante è che il secondo dispositivo resti sempre accessibile e protetto adeguatamente.
