9743 Letture
Google Authenticator: cos'è, come funziona e come spostarlo da un dispositivo all'altro

Google Authenticator: cos'è, come funziona e come spostarlo da un dispositivo all'altro

Guida all'uso di Google Authenticator, applicazione che permette di gestire token per l'autenticazione a due fattori su una vastissima schiera di servizi online. Come mettere al sicuro l'accesso ai propri account.

L'autenticazione a due fattori (che alcuni chiamano - come Google - "Verifica in due passaggi") è un meccanismo che permette di affiancare all'utilizzo dei classici username e password per l'accesso a un qualunque account anche una seconda verifica.
Per andare a buon fine, l'autenticazione deve superare due controlli: bisogna ovviamente dapprima specificare nome utente e password corretti quindi superare la verificare addizionale basata su una caratteristica fisica (utilizzo di sensori biometrici) o su qualcosa che si possiede (di solito l'utente è invitato ad inserire un codice autorizzato ricevuto su smartphone o cellulare).

Il "secondo fattore" è quindi "qualcosa che si conosce" (ad esempio un PIN), "qualcosa che si possiede" (uno smartphone o un oggetto fisico come un token, ad esempio una chiavetta FIDO2: Sicurezza account, come migliorarla con le chiavette FIDO2) oppure "qualcosa che si è" (utilizzo del riconoscimento facciale, dell'impronta digitale, dell'iride,...).

Usando l'autenticazione a due fattori, anche nel caso in cui un aggressore venisse in possesso delle altrui credenziali corrette, questi non potrà accedere all'account della vittima non disponendo del secondo fattore (ad esempio lo smartphone dell'utente o le sue informazioni biometriche).


Nell'articolo Autenticazione a due fattori: quali siti e servizi online la offrono abbiamo presentato il sito Two Factor Auth (2FA) che indica chiaramente quali servizi e account è possibile proteggere con l'autenticazione a due fattori.

Il segno di spunta in corrispondenza della colonna "Software token" significa che è possibile abilitare l'autenticazione a due fattori usando un'app come Google Authenticator oppure con Cisco Duo: Autenticazione a due fattori: come estenderla ai servizi a uso professionale.

Google Authenticator: cos'è e come funziona

Nata nel 2010, l'app Google Authenticator può essere considerata come la madre di tutte le soluzioni software per l'autenticazione a due fattori. Essa utilizza due algoritmi standard ben documentati (Time-based One-time Password, TOTP e HMAC-based One-time Password, HOTP) per generare automaticamente dei codici di verifica che andranno inseriti - dopo il login con nome utente e password - per completare la procedura di autenticazione.
I codici generati da Google Authenticator valgono esattamente per 60 secondi: trascorso questo periodo l'applicazione o il servizio al quale si sta accedendo non li accetteranno più e bisognerà inserire il nuovo codice prodotto dalla stessa app Google Authenticator.

Per usare Google Authenticator come secondo fattore, basta abilitare l'autenticazione a due fattori sul servizio o sull'applicazione web d'interesse quindi avviare l'app sul dispositivo mobile (è scaricabile da qui in versione per Android e da qui per iOS).

Generalmente il servizio sul quale si sta attivando l'autenticazione a due fattori restituisce un codice QR che contiene il codice di configurazione da passare a Google Authenticator.
Toccando il pulsante "+" in basso a destra, si può scegliere Scansiona un codice QR per acquisire tale codice con la fotocamera dello smartphone e configurare istantaneamente l'autenticazione a due fattori.

Google Authenticator: cos'è, come funziona e come spostarlo da un dispositivo all'altro

In alternativa, si può toccare Inserisci codice configurazione, assegnare un numero arbitrario all'account cui si riferisce il meccanismo di autenticazione a due fattori (campo Nome account) quindi digitare il codice ricevuto nel campo sottostante.

Google Authenticator: cos'è, come funziona e come spostarlo da un dispositivo all'altro

Il codice che apparirà nella schermata principale di Google Authenticator dovrà essere digitato come secondo fattore per effettuare il login sul servizio d'interesse.
I token di sicurezza sono ovviamente variabili, hanno come detto una scadenza (quindi bisogna essere veloci a digitarli) e sono diversi per ciascun servizio: tramite Google Authenticator si possono quindi generare codici di verifica per vari account e servizi diversi.


Tenendo premuto su un account il codice di verifica verrà copiato negli appunti e si vedranno apparire le icone per rinominare ed eliminare l'account stesso.

A maggio 2020, con il rilascio della versione 5.10 di Google Authenticator, la società di Mountain View ha finalmente risolto una problematica che era stata da anni evidenziata da parte degli utenti. D'ora in avanti, infatti, è possibile ed è molto semplice trasferire gli account configurati su Google Authenticator verso altri dispositivi.
Per chi è solito cambiare spesso lo smartphone, l'impossibilità di trasferire direttamente gli account senza dover riconfigurare l'autenticazione a due fattori sui vari servizi era divenuta una vera e propria croce.
D'ora in avanti, invece, toccando i tre puntini in alto a destra nella schermata principale di Google Authenticator quindi scegliendo Trasferisci account, è possibile esportare tutti gli account visualizzati sullo schermo.

Google Authenticator: cos'è, come funziona e come spostarlo da un dispositivo all'altro

Toccando su Esporta account sarà possibile generare un codice QR che servirà per trasferire istantaneamente gli account configurati verso un altro telefono.


Google Authenticator: cos'è, come funziona e come spostarlo da un dispositivo all'altro

Sull'altro smartphone, basterà installare Google Authenticator quindi scegliere Importa account e inquadrare il codice QR mostrato sullo schermo del telefono dal quale si sta esportando la configurazione.

Purtroppo c'è una cosa che ancora manca, stranamente, a Google Authenticator: la possibilità di attivare l'accesso all'applicazione previo inserimento della password di protezione del telefono, della sequenza, del PIN o previo riconoscimento dell'impronta digitale sugli smartphone dotati del sensore. E non sarebbe un grosso problema perché in fase di esportazione degli account, ad esempio, Google Authenticator già richiede di inserire tale informazione. Correttamente, invece, l'applicazione di Google non consente di effettuare screenshot mentre la si sta utilizzando.

Google Authenticator: cos'è, come funziona e come spostarlo da un dispositivo all'altro