Qualcuno sostituisce il telefono, lo ripristina oppure elimina semplicemente l'app di autenticazione mentre fa pulizia. La password funziona ancora, ma il secondo fattore non c'è più e l'utente non può accedere alla posta. Il blocco della 2FA nella webmail è una delle richieste di assistenza più comuni nelle organizzazioni che prendono sul serio la sicurezza, ed è completamente prevedibile.
Questo articolo spiega come risolverlo, perché la procedura deve essere intenzionale e non automatica e quali semplici preparativi la trasformano da un pomeriggio di lavoro in un'attività di due minuti.
Perché accade così spesso
L'autenticazione a due fattori viene impostata una volta, su un solo dispositivo, in un momento in cui la persona pensa ad accedere alla posta e non a cosa accadrà se il dispositivo scompare.
I codici di recupero vengono proposti e generalmente ignorati, perché in quel momento sembrano un compito in più. I telefoni vengono poi sostituiti all'incirca ogni tre anni e, se l'app di autenticazione non è stata salvata o migrata intenzionalmente, i codici non passano al nuovo dispositivo. Un blocco della 2FA non indica quindi che qualcuno abbia sbagliato. È la conseguenza prevedibile del ciclo di vita dei dispositivi.
Vale la pena ricordarlo quando succede, perché chi rimane bloccato di solito si sente sciocco senza averne motivo.
Le due vie per recuperare l'accesso
Ce ne sono esattamente due, e soltanto la prima può essere utilizzata direttamente dall'utente.
Un codice di recupero. Questi codici vengono emessi durante l'attivazione e costituiscono la procedura self-service. L'utente accede con la propria password, inserisce un codice di recupero al posto di quello generato dall'app e può quindi rimuovere il vecchio secondo fattore e registrare un nuovo dispositivo dalle impostazioni della webmail. L'amministratore non interviene in nessun momento.
Contattare la nostra assistenza. Se anche i codici di recupero sono andati persi, il secondo fattore deve essere rimosso da parte nostra. È un'operazione dell'assistenza, non una funzione del pannello, e volutamente non è disponibile in modalità self-service. Il proprietario di un account capace di rimuovere silenziosamente la 2FA da qualsiasi casella sarebbe un bersaglio più utile della casella stessa.
È importante chiarire cosa offre e cosa non offre il pannello del cliente, perché sembra il luogo in cui dovrebbe trovarsi la soluzione. La pagina di sicurezza della casella mostra se l'autenticazione a due fattori è attiva e quando è stata confermata, e permette di cambiare la password della casella. Non consente di rimuovere il secondo fattore. Modificare la password non risolve un blocco della 2FA, perché non era la password a impedire l'accesso.
Indipendentemente dal modo in cui viene rimosso il fattore, l'utente deve riattivarlo subito, non "più tardi". Una casella appena uscita da un blocco della 2FA e ora protetta soltanto dalla password è proprio quella che non dovrebbe rimanere in questo stato.
Verificare con chi si sta parlando
Prima di segnalare all'assistenza il blocco della 2FA per conto di un'altra persona, verifica che la richiesta sia autentica. È il passaggio che molti saltano, anche se è quello che conta di più.
Dal punto di vista di un aggressore, convincere un collega a chiedere la rimozione del secondo fattore di qualcuno è uno dei risultati più utili. La richiesta arriva via email o chat, sembra ordinaria e viene inoltrata perché la persona sembrava sapere di cosa parlava.
Verifica quindi tramite un canale indipendente. Se la richiesta è arrivata via email, telefona alla persona. Se è arrivata in chat, fai una domanda a cui un impostore non saprebbe rispondere oppure conferma di persona. Il controllo richiede un minuto. Il fatto che l'azione finale spetti all'assistenza è un secondo livello di protezione, non un motivo per saltare il primo.
Presta particolare attenzione alle richieste urgenti, piene di scuse e un po' concitate. È il tono di un autentico blocco della 2FA, ma anche quello ricreato esattamente in un tentativo di ingegneria sociale, perché l'urgenza scoraggia la verifica.
Prepararsi per rendere tutto semplice
Tre piccole misure trasformano un incidente in una commissione veloce.
Rendi i codici di recupero parte dell'attivazione. Non un'aggiunta facoltativa da affrontare in seguito, ma parte della stessa procedura, con un luogo preciso dove conservarli. Un gestore di password è la scelta più ovvia, ma anche stamparli è un'alternativa perfettamente ragionevole.
Quando opportuno, incoraggia la registrazione di un secondo dispositivo. Con un tablet o un altro telefono, la perdita di un dispositivo diventa un inconveniente anziché un blocco.
Documenta il percorso di escalation. Quando si verifica un blocco della 2FA nella webmail, l'utente deve sapere chi avvisare e quella persona deve sapere che la soluzione passa dall'assistenza, non dal pannello. Scoprirlo durante l'incidente fa perdere un pomeriggio.
Nessuna di queste misure elimina i blocchi, e non è questo il loro scopo. Rende invece poco costoso risolverli. I codici di recupero sono l'unico elemento capace di trasformare una richiesta di assistenza in una soluzione self-service di due minuti, perciò meritano più insistenza di quanta ne ricevano normalmente.
Due casi che sembrano soltanto blocchi
Due situazioni appaiono identiche all'utente ma richiedono risposte completamente diverse.
I codici vengono rifiutati mentre l'app funziona ancora. Di solito la causa è una deriva dell'orologio. I codici TOTP basati sul tempo definiti nella RFC 6238 dipendono da un orologio del dispositivo sufficientemente preciso. Un telefono fuori sincronia di oltre un minuto produce codici non validi. L'attivazione della sincronizzazione automatica dell'ora risolve il problema senza alcun ripristino.
L'account sbagliato. Chi possiede diversi indirizzi a volte ne registra uno e tenta di accedere a un altro, oppure seleziona la voce errata nell'app di autenticazione. Conviene controllare prima di ripristinare qualsiasi cosa.
Esiste anche il caso in cui l'utente tenta di accedere dal punto sbagliato. Gli utenti delle caselle entrano dalla pagina di accesso alla webmail, non dal pannello dell'account. Una password valida in uno dei due non funziona nell'altro, e questo sembra un errore misterioso anziché un equivoco evidente.
Se sia opportuno renderla obbligatoria
Poiché i blocchi sono il costo della protezione, è ragionevole chiedersi se il vantaggio li giustifichi.
Per qualsiasi casella che riceva richieste di reimpostazione della password da altri servizi, cioè quasi tutte, la risposta è chiaramente sì. L'account email è il percorso di recupero per ogni altro servizio, quindi è quello che merita più protezione. Un blocco della 2FA risolto con un codice di recupero è un piccolo costo rispetto a una casella compromessa.
La situazione diventa davvero scomoda con gli indirizzi operativi condivisi tra più persone. La soluzione non è rinunciare al secondo fattore, ma eliminare del tutto l'accesso condiviso e utilizzare una casella condivisa con membri, in modo che ciascuno si autentichi con il proprio account.
Lo stesso principio vale in generale per l'attivazione: ogni credenziale deve appartenere a una persona. È per questo che gli inviti consentono agli utenti di impostare la propria password e che gli amministratori non devono mai conoscerla, come spiegato in configurare caselle senza condividere password.
