Indice
Cos’è il 2FA
Il 2FA (Two-Factor Authentication) è un sistema di sicurezza che richiede due verifiche distinte per consentire l’accesso a un account online.
Normalmente l’autenticazione avviene tramite:
- email o username
- password
Il problema è che la password da sola non rappresenta più una protezione sufficiente.
Può essere:
- rubata tramite phishing
- intercettata
- riutilizzata su più servizi
- recuperata da database compromessi
- indovinata tramite attacchi automatici
Per questo motivo molti servizi online utilizzano il 2FA come protezione aggiuntiva.
Con il 2FA attivo, dopo l’inserimento della password viene richiesto un secondo codice di verifica temporaneo.
Anche conoscendo la password, senza il secondo fattore l’accesso viene bloccato.
Come funziona il 2FA in WHMCS
WHMCS integra il 2FA per aumentare la sicurezza degli account clienti e dell’area client.
Durante il login il funzionamento è molto semplice:
- inserimento email e password
- richiesta del secondo fattore
- verifica del codice temporaneo
- accesso autorizzato
Questo sistema riduce drasticamente il rischio di accessi non autorizzati causati da password compromesse.
Perché il 2FA è importante in WHMCS
L’area cliente di WHMCS contiene informazioni particolarmente sensibili.
Per esempio:
- dati personali
- servizi hosting
- domini registrati
- fatture
- ticket di assistenza
- dati di pagamento salvati
Un accesso non autorizzato può causare diversi problemi, tra cui:
- modifica delle informazioni account
- accesso ai servizi hosting
- gestione non autorizzata dei domini
- apertura di richieste fraudolente
- visualizzazione dei dati personali
Per questo motivo il 2FA rappresenta una protezione aggiuntiva molto importante per gli account cliente.
2FA Time Based Tokens (TOTP) in WHMCS
È il metodo più utilizzato.
Funziona tramite applicazioni come:
- Google Authenticator
- Microsoft Authenticator
- Authy
Durante la configurazione WHMCS mostra un QR Code che deve essere scansionato tramite l’app di autenticazione.
Dopo l’associazione lo smartphone genera automaticamente codici temporanei che cambiano ogni circa 30 secondi.
Quando viene effettuato il login, oltre alla password viene richiesto il codice mostrato nell’app.
Questo metodo è considerato il più affidabile per l’utilizzo quotidiano, come ad esempio per autenticarsi sul proprio sito.
Attivazione del 2FA nell’area cliente
I clienti possono attivare il 2FA direttamente dal proprio account WHMCS.
Generalmente la configurazione è disponibile nella sezione sicurezza dell’account.
Durante la procedura è possibile:
- scegliere il metodo di autenticazione
- configurare l’app OTP
- associare il dispositivo
- verificare il primo codice temporaneo
Dopo l’attivazione, WHMCS richiederà automaticamente il secondo fattore durante ogni nuovo accesso.
Vantaggi del 2FA in WHMCS
L’utilizzo del 2FA introduce diversi vantaggi pratici.
I principali sono:
- maggiore protezione dell’account cliente
- riduzione degli accessi fraudolenti
- protezione aggiuntiva contro password rubate
- maggiore sicurezza per domini e servizi hosting
- riduzione del rischio di compromissione dell’area cliente
Nel settore hosting il 2FA viene ormai considerato una misura di sicurezza fondamentale.
Limiti del 2FA
Il 2FA migliora notevolmente la sicurezza, ma non elimina completamente il rischio di compromissione.
Esistono attacchi avanzati che possono tentare di aggirarlo, soprattutto tramite phishing in tempo reale.
Inoltre la perdita dello smartphone o del dispositivo di autenticazione può creare problemi di accesso se non vengono salvati correttamente i codici di recupero.
Per questo motivo conviene sempre:
- utilizzare password lunghe e uniche
- salvare i recovery code
- proteggere lo smartphone con PIN o biometria
- preferire applicazioni OTP rispetto ai codici email
Come attivare il 2FA in area clienti
Una volta fatto login in area clienti bisogna andare sul proprio nome per aprireil menù a tendina per poi selezionare la voce Impostazioni di sicurezza
Si aprirà quindi la schermata che chiederà di attivare l’autenticazione a 2 fattori
Cliccando sul pulsante per attivare si aprirà un popup di scelta dove si dovrà scegliere la prima voce
Comparirà quindi un QRCode da scansionare con il cellullare. Una volta fatto si dovrà inserire il codice generato dal cellulare per procedere e attivarlo.
NB: Il qrcode presente nello screenshot è di esempio e porta al nostro sito. Il codice inserito invece è casuale.
Una volta attivato verrà mostrata la schermata con un codice di recupero che andrà conservato.
NB: anche in questo caso il codice è casuale e non funzionante.
