Attivare la verifica in due passaggi su email, pagamenti e account social; preferire la conferma con una finestra sul telefono, e solo dopo il codice SMS
- Massimo valore
- Prove A
- Denaro
- Gratis
- Pochi minuti
- Senza forza di volontà
In parole semplici
La verifica in due passaggi significa che, oltre alla password, al login ti viene chiesto di confermare che sei davvero tu. Con una finestra sul telefono che ti chiede di toccare «conferma» si bloccano oltre il 90% dei furti di account tramite phishing. Con i vecchi metodi, come rispondere a «dove hai fatto l'ultimo login» o indicare l'email di recupero, se ne blocca solo circa il 10%.
- Costo
-
Nessun costo. Ci vogliono due o tre minuti per ogni account, da fare una volta sola.
- Cosa ci guadagni
-
Google ha analizzato 350.000 (35 万) tentativi reali di furto di account (detto anche account hijacking). Un tipo di verifica si basa sul dispositivo, per esempio una finestra sul telefono da confermare o una chiave di sicurezza fisica da inserire. Questo tipo ha bloccato «oltre il 94% dei tentativi di dirottamento derivanti da phishing e il 100% di quelli automatizzati». Il phishing è quando ti fanno inserire la password su un sito falso; l'automatizzato è quando delle macchine provano in massa password trapelate. L'altro tipo si basa su domande, per esempio dove hai fatto l'ultimo login o qual è l'email di recupero. Questo tipo ha bloccato appena il 10% dei dirottamenti da phishing e il 73% di quelli automatizzati
- Note
-
Lo stesso studio ha rilevato che questo tipo di verifica a volte blocca anche il proprietario vero: il 52% degli utenti autentici non è riuscito ad accedere al primo tentativo, ma alla fine il 97% ce l'ha fatta. Attiva prima la verifica sulla email, perché la maggior parte degli altri account si può recuperare tramite l'email. I codici di verifica usali solo tu. Su cosa si rischia dettando un codice a un'altra persona o facendosi riconoscere il volto al posto suo, vedi §8.45 (dettare il codice di verifica, 念验证码).
- Livello delle prove
- A : Numeri precisi da meta-analisi, grandi studi di coorte o studi randomizzati; per leggi e politiche, il testo ufficiale.
- Fonti
-
- Doerfler P, Thomas K, Marincenko M, et al. (2019). Evaluating Login Challenges as a Defense Against Account Takeover. The World Wide Web Conference (WWW '19). https://doi.org/10.1145/3308558.3313481
Citato in
Tradotto dall’originale cinese. Libro originale, sezione 14, consiglio 1. Il contenuto può essere superato e le regole cambiano da luogo a luogo. Per una pratica, una visita medica o una causa, segui quello che dicono l’ente, il medico o l’avvocato. Avvertenze