Autenticazione a due fattori su LastPass. I pirati ringraziano

Mag 22, 2017 Marco Schiaffino News, Prodotto, RSS, Vulnerabilità 0

La nuova funzione del password manager permette di centralizzare la gestione delle app che creano le password a tempo. Davvero una brutta idea…

Ogni tanto viene da chiedersi che diavolo passi per la testa degli sviluppatori, soprattutto quando mettono a punto funzioni come quella annunciata venerdì scorso nel blog ufficiale di LastPass.

Il nuovo strumento che gli utenti si trovano tra le mani si chiama Cloud Backup e viene descritto come qualcosa che renderà “la protezione multifattore più facile per tutti”. Magari avrebbero potuto aggiungere “rendendo la protezione multifattore perfettamente inutile”.

I sistemi di autenticazione a due fattori sono quelli, ormai ampiamente diffusi, che per l’accesso a un servizio richiedono un ulteriore codice (OTP – One Time Password) oltre a username e password.

In alcuni casi gli OTP vengono forniti tramite SMS al momento dell’accesso, mentre in altri vengono generati in continuazione tramite un token fisico o un’app per smartphone. In questo caso si parla di “Time-based One-Time Password” o TOTP.

Quest’ultima soluzione è quella adottata da Google, Microsoft e molti altri fornitori di servizi online che fanno affidamento su app specializzate (la più diffusa è Google Authenticator) che l’utente deve sincronizzare con il suo account attraverso la scansione di un QR Code.

Il sistema, in teoria offre un ottimo livello di protezione. Per accedere agli account, infatti, è necessario non solo conoscere username e password, ma anche avere accesso fisico al dispositivo su cui è installata l’app che genera i TOPT.

Insomma: se anche qualcuno dovesse violare il nostro computer e rubare le credenziali di accesso, con il sistema di autenticazione a due fattori i nostri account sarebbero comunque al sicuro.

Certo, l’utilizzo di questo sistema di protezione può causare qualche noia. Per esempio quando si cambia telefono e ci si ritrova nella condizione di dover associare nuovamente tutti i servizi con il nuovo smartphone.

Dalle parti di LastPass hanno quindi pensato bene di rendere più facile il passaggio e offrire un servizio di backup che consente di memorizzare le impostazioni delle app all’interno del password manager.

La nuova funzione viene proposta automaticamente la prima volta che si accede usando un codice TOTP sullo smartphone.

In questo modo, secondo gli sviluppatori di LastPass, si risolverebbe una volta per tutte il problema legato ai cambi di smartphone. Peccato che questa brillante idea vada a sgretolare la logica stessa dell’autenticazione a due fattori.

Il motivo è semplice: se un pirata informatico dovesse mettere le mani sulla password principale di LastPass, avrebbe accesso anche a tutti i sistemi di autenticazione su app, rendendoli perfettamente inutili.

Ma c’è di peggio. Come viene spiegato nel post stesso, la sincronizzazione su un nuovo dispositivo disattiva quella con il precedente.

Nel caso di violazione dell’account di LastPass, quindi, il pirata avrebbe accesso ai codici, mentre il legittimo titolare non potrebbe più effettuare il login.

Possibile che gli sviluppatori di LastPass non ci abbiano pensato? Naturalmente ci hanno pensato e hanno anche trovato la soluzione: raccomandare agli utenti che vogliono usare il nuovo Cloud Backup di… attivare il sistema di autenticazione a due fattori per LastPass!

Condividi l'articolo