Perché devi smettere di usare Google Authenticator in questo momento

Molti di noi hanno imparato a proprie spese che avere un’unica password per proteggere i nostri account online non è sufficiente. Ora usiamo una forma o l’altra dell’autenticazione a due fattori. Potresti anche aver deciso di utilizzare Google Authenticator per fornire questo secondo livello di protezione. Se lo hai fatto, devi conoscere i rischi che stai correndo in questo modo. Per fortuna ci sono metodi migliori che sono sia più sicuri che più facili da usare.

Livelli di base di sicurezza online

I criminali informatici stanno diventando sempre più sofisticati e dobbiamo tutti prendere sul serio la nostra sicurezza online per proteggere la nostra identità online in continua espansione. Prima di discutere dell’autenticazione a due fattori e del motivo per cui dovresti evitare di utilizzare Google Authenticator, esaminiamo alcuni altri elementi che dovremmo avere in atto per proteggere a un livello più superficiale.

Password complesse

Fortunatamente, il file LastPass Password Generator semplifica la creazione e la manutenzione di password complesse. Questo strumento di generazione di password crea password complesse, quasi impossibili da decifrare, costituite da più numeri, lettere e simboli. LastPass genera password diverse per ogni app o sito Web e viene eseguito localmente sul tuo computer Windows, Mac o Linus o sul tuo dispositivo iOS o Android. Le password create dallo strumento non vengono inviate attraverso il Web.

LastPass.com – Come funziona

Software di protezione antivirus e antimalware

Sono disponibili diverse soluzioni di sicurezza informatica ampiamente apprezzate, tra cui Malwarebytes e Bitdefender. Questi programmi hanno versioni gratuite, ma rafforza la tua sicurezza facendo un investimento minimo nelle versioni a pagamento.

Bitdefender.com – Homepage

Ora torniamo a Google Authenticator e all’autenticazione a due fattori.

Autenticazione a due fattori

L’autenticazione a due fattori, nota anche come 2FA, è come una seconda password sui tuoi account online.

Senza 2FA, inserisci semplicemente il tuo nome utente e la password e il sito Web o l’app ti concede l’accesso. La password è il tuo unico fattore di autenticazione.

2FA aggiunge un ulteriore passaggio al processo di accesso. Richiede che tu abbia due dei tre tipi di credenziali prima di farti accedere al tuo account. Questi tipi di credenziali sono:

• qualcosa che hai, come una carta bancomat, un telefono o un telecomando
• qualcosa che conosci, come una sequenza o un numero di identificazione personale (PIN)
• qualcosa che sei, come un biometrico come un’impronta digitale

Esistono due tipi principali di 2FA. Il tipo più comune, la Time-based One-time Password (TOTP), è rappresentato da Google Authenticator, il nonno di tutte le app 2FA. L’altro tipo, che sarà discusso più avanti nell’articolo, è l’Universal Second Factor (U2F).

E … ci sono due tipi di password monouso:

1. Password monouso SMS
2. Password monouso generate dall’app

Certamente, le app con password monouso basate sul tempo come Google Authenticator sono molto più sicure. Con app come queste, l’app del telefono genererà un codice monouso. Utilizzerai quindi quel codice per completare l’accesso.

Google Authenticator verifica che tu sia chi dici di essere in base a un segreto che tu e il provider condividete online. Quando accedi a un sito web, il tuo dispositivo genera un codice basato sull’ora corrente e sul segreto condiviso. Per completare l’accesso al tuo sito web, devi inserire questo codice manualmente sul sito prima che scada..

Play.Google.com – – App Store

Allora come fa il server a sapere come farti entrare? Genera lo stesso codice che hai in modo che possa effettuare un controllo incrociato del tuo codice. Poiché sia ​​tu che il sito a cui stai tentando di accedere per possedere il segreto e fare la richiesta allo stesso tempo (ovvero, utilizzi gli stessi fattori di input), genererai entrambi lo stesso hash.

Problemi con Google Authenticator

Innanzitutto, devi inserire manualmente il codice all’accesso, aggiungendo un altro passaggio al processo di accesso. Dovrai anche eseguire passaggi aggiuntivi per eseguire il backup il segreto. Ma i servizi spesso offrono codici di riserva invece di richiedere di salvare il segreto. Se accedi con uno di questi codici, dovrai ripetere l’intero processo di registrazione.

Questi codici di backup vengono inviati online, il che è un punto debole della sicurezza fondamentale. Se gli hacker ottengono l’accesso alle password di un’azienda e al database dei segreti, possono accedere a tutti gli account. Sfortunatamente, non mancano storie su siti web e persino scambi di criptovaluta affidabili che sono stati violati.

Un’altra area non sicura è il segreto stesso, che si presenta come testo in chiaro o codice QR, non come un hash o con un sale crittografico. Pertanto, i server dell’azienda probabilmente memorizzano il segreto in forma di testo normale. Poiché il provider deve fornirti un segreto generato durante la registrazione, il segreto può essere esposto in quel momento.

Alternative a Google Authenticator: Yubikey e Trezor Model T

Il secondo tipo di autenticazione a due fattori: Universal Second Factor (U2F)

L’Universal Second Factor è uno standard universale per la creazione di token di autenticazione fisici che possono funzionare con qualsiasi servizio. U2F è stato creato da giganti della tecnologia, tra cui Google e Microsoft, per affrontare le vulnerabilità di TOPT. È un po ‘ironico che Google non abbia ritirato la sua vecchia app, Google Authenticator, dopo aver contribuito a creare U2F.

Yubico.com – Homepage

Se ne hai sentito parlare Yubikey—Una chiave USB fisica che consente di accedere a LastPass, lo strumento generatore di password discusso all’inizio dell’articolo, così come alcuni altri servizi: afferrerai il concetto di U2F. Tuttavia, a differenza dello standard Yubikey dispositivi, U2F è uno standard universale.

Con U2F, il server invia una sfida e la tua chiave privata (il segreto) lo firma. Il server può verificare il messaggio utilizzando la chiave pubblica nel proprio database.

Tutti gli Yubikeys a confronto

YubiKey 5Ci

• Ideale per utenti Mac
• Connettore USB-C e Lightning
• Impermeabile e resistente agli urti

ACQUISTA ORA

YubiKey 5C

• Ideale per utenti Mac
• Connettore USB-C
• Puoi risparmiare $ 20 se non hai bisogno del connettore Lightning

ACQUISTA ORA

Token di sicurezza NFC

• Ideale per utenti non LastPass
• Versione economica del 5 NFC
• Ideale per gli utenti che non possono spendere molto

ACQUISTA ORA

Serie YubiKey FIPS

• Ideale per lavoratori e appaltatori federali
• Soddisfa il più alto livello di garanzia dell’autenticatore grazie alle ultime linee guida FIPS
• È disponibile in tutte le versioni di YubiKey

ACQUISTA ORA LEGGI LA RECENSIONE

Vantaggi di U2F

Ci sono molti vantaggi nell’usare U2F. Eccone alcuni:

• Privacy: Con U2F, la tua chiave privata non verrà mai inviata nel cyberspazio, permettendoti di godere di uno degli stati più ambiti del web: la privacy effettiva. Grazie alla crittografia a chiave pubblica, non dovrai preoccuparti di condividere le tue informazioni riservate.

• Sicurezza blindata: 2FA che utilizza la crittografia a chiave pubblica protegge dal dirottamento della sessione, phishing, e vari tipi di malware. Poiché U2F non si basa su un segreto condiviso archiviato nel database di un provider, un utente malintenzionato non può rubare un intero database per accedere all’account di un utente. Invece, dovrà affrontare il percorso lungo e costoso di prendere di mira un singolo utente e rubare il suo hardware di persona.

• Facile da usare: I dispositivi U2F funzionano immediatamente grazie al supporto tramite browser e piattaforme universalmente disponibili; non ci sono codici da digitare o driver da installare.

• Conveniente: I clienti possono scegliere tra una varietà di dispositivi a diverse fasce di prezzo, tutti sorprendentemente convenienti, data la loro tecnologia all’avanguardia.

Inconvenienti di U2F

Il vantaggio principale dell’U2F è anche il suo principale svantaggio. Con U2F, puoi spesso eseguire il backup del tuo segreto, altrimenti noto come chiave privata. Ciò significa che sei responsabile della tua sicurezza. Se perdi la chiave privata, nessuno potrà recuperarla. Tuttavia, non devi nemmeno fidarti di nessuna azienda per proteggere la tua chiave privata.

Trezor e Yubikey – U2F hanno fatto bene

Fortunatamente, c’è un modo per godersi il guadagno di U2F senza il dolore usando Trezor. Trezor è stato inizialmente creato per archiviare chiavi private e fungere da ambiente di elaborazione isolato. Sebbene funzioni ancora in modo ammirevole nel suo ruolo originale di hardware Bitcoin sicuro portafoglio, Trezor può ora essere utilizzato in più modi grazie alla crittografia a chiave privata / pubblica (asimmetrica) ampiamente applicabile.

Trezor.io – Proteggi l’autenticazione a due fattori con Trezor

Il principale tra questi usi estesi è la funzione di Trezor come token di sicurezza hardware per U2F. A differenza di altri prodotti U2F, tuttavia, Trezor offre funzioni di backup e ripristino oltre alla praticità.

Come funziona U2F con Trezor

Quando si accede a un sito Web, di solito si avvia il processo di autenticazione con il nome utente e la password. Seguirai questa procedura con Trezor e U2F, ma dopo farai un altro passaggio facile e indolore: confermerai il tuo accesso facendo clic sul tuo dispositivo Trezor.

Quando si configura inizialmente il dispositivo Trezor, verrà eseguito il backup del seme di ripristino. Questo seme rappresenta tutti i segreti / chiavi private che Trezor genera e può essere utilizzato per ripristinare il tuo portafoglio hardware in qualsiasi momento. Il backup del seme di ripristino è un processo una tantum e salva un numero illimitato di identità U2F.

Trezor.io – Caratteristiche

Il tuo seme è conservato in modo sicuro nel Trezor. Poiché non lascia mai il dispositivo, la tua chiave privata è immune da virus e hacker.

Trezor offre anche protezione dal phishing con verifica su schermo. Poiché i criminali informatici continuano a diventare più sofisticati, i siti Web di phishing che pubblicano assomigliano molto ai siti originali. Visualizzando sempre l’URL del sito web a cui stai accedendo e facendoti sapere esattamente cosa stai per autorizzare, Trezor ti protegge dai tentativi di phishing. Puoi verificare che ciò che è stato inviato al dispositivo sia quello che ti aspettavi.

Trezor Model T – Specifiche tecniche

Puoi ordinare il tuo Trezor One qui o Trezor Model T qui.

A proposito di Trezor

Creato da SatoshiLabs nel 2014, adatto ai principianti Trezor One è il gold standard dei portafogli hardware. Offre una sicurezza senza precedenti per le criptovalute e la gestione delle password e funge da secondo fattore nell’autenticazione a due fattori. Queste caratteristiche si combinano con un’interfaccia user-friendly che anche i principianti possono navigare con facilità. L’immissione della passphrase e il ripristino del dispositivo sono disponibili in modo sicuro tramite un computer o un modem.

Trezor.io – Homepage>

Il premio Trezor Modello T è il portafoglio hardware di nuova generazione. Come il Trezor One, il Modello T è adatto sia ai principianti che agli investitori sofisticati. Mantiene i vantaggi di Trezor One ma offre un’interfaccia più elegante e intuitiva per una migliore esperienza utente e sicurezza. È dotato di un touchscreen, un processore più veloce e un supporto avanzato delle monete. L’immissione della passphrase e il ripristino del dispositivo sono disponibili direttamente sul tuo Trezor Model T.

CONFRONTO

Blockstream Jade

• SCHERMO:
• RILASCIATO: 2021
• PREZZO: $ 40

ACQUISTA ORA LEGGI LA RECENSIONE

Trezor Modello T

• SCHERMO:
• RILASCIATO: 2018
• PREZZO: $ 159
• TOUCH SCREEN:

ACQUISTA ORA LEGGI LA RECENSIONE

Trezor One

• SCHERMO:
• RILASCIATO: 2013
• PREZZO: $ 59

ACQUISTA ORA LEGGI LA RECENSIONE

Conclusione

Per gli investitori in criptovaluta, la sicurezza è una preoccupazione fondamentale. Non ha senso investire tempo e denaro nell’apprendimento delle criptovalute e nella crescita del proprio portafoglio crittografico a meno che non si proteggano tali risorse. Le ricompense della criptovaluta sono grandi, ma lo sono anche i rischi.

Se non lo hai già fatto, collega le falle di sicurezza come password deboli e computer e telefoni cellulari non protetti. Dopo aver risolto questi problemi, potresti prendere in considerazione l’utilizzo dell’autenticazione a due fattori (2FA). Sebbene sia forte la tentazione di utilizzare metodi gratuiti e ampiamente disponibili come Google Authenticator per proteggere le tue risorse di criptovaluta, Authenticator ha le sue vulnerabilità e inconvenienti.

Il secondo tipo di 2FA, Universal Second Factor (U2F), è più sicuro di Google Authenticator. Trezor, un token di sicurezza hardware sicuro per Universal Second Factor, offre molte più funzionalità e sicurezza rispetto a Authenticator. Nel mondo delle criptovalute, è tutta una questione di sicurezza. Ricorda: sei la tua banca!

Poiché tu, come investitore crittografico, ti assumi più responsabilità per la sicurezza rispetto a un investitore tradizionale, investi nella migliore soluzione di sicurezza. Assicurati un Trezor One o un Trezor Model T oggi stesso.

FAQ

Qual è l’uso di una YubiKey?

Un Yubikey viene utilizzato per autenticare gli accessi web. Può essere collegato al computer o al telefono.

A cosa serve LastPass?

LastPass è un gestore di password che memorizza tutte le tue password in un unico posto. Questo è chiamato Vault attraverso il quale LastPass ricorda la tua password per te.

Perché gli SMS a due fattori sono pericolosi?

Gli SMS a due fattori sono pericolosi perché è facile per gli hacker dirottare i tuoi messaggi di testo tramite lo “scambio di SIM”.

E se il mio gestore di password viene violato?

Se gli hacker ottengono tutti i dati di cui dispone il gestore di password, dovrebbero comunque provare ogni possibile password per i tuoi dati per vedere se funziona, poiché gli hacker vedono solo un mucchio di password criptate.

Trezor Model T è sicuro?

Se un attaccante molto motivato e altamente qualificato dovesse impossessarsi fisicamente del tuo Trezor Model T, le tue monete potrebbero non essere al sicuro. Tuttavia, questo attacco non è mai stato eseguito al di fuori di un laboratorio, quindi la minaccia è remota. In quasi tutti i casi, un Trezor Model T manterrà le tue monete al sicuro.

Che è meglio: Trezor o Ledger?

Ledger è più sicuro se viene trovato il tuo portafoglio, tuttavia il Trezor non ha il bluetooth, il che riduce il rischio di un attacco remoto al tuo dispositivo. Il Trezor ha anche più funzioni e uno schermo migliore se lo fai con il Modello T..