Autenticazione a due fattori

L’autenticazione a due fattori protegge gli account anche quando una password viene rubata o indovinata: dopo la password, l’utente deve presentare un secondo fattore.

Si applica agli account di cui Cyberwatch verifica direttamente la password, ovvero gli account locali e gli account LDAP. Gli account che accedono tramite SAML o OpenID Connect si basano sul proprio provider di identità, che gestisce quindi autonomamente il secondo fattore.

Secondi fattori disponibili

Secondo fattore	Funzionamento
Applicazione di autenticazione	Un’applicazione come Google Authenticator o Microsoft Authenticator mostra un codice a 6 cifre, rinnovato ogni 30 secondi (TOTP).
Passkey	Il telefono, il computer, il gestore di password o una chiave di sicurezza FIDO2 conferma l’identità dell’utente tramite impronta digitale, volto o codice PIN (WebAuthn).
Codici di recupero	Dieci codici monouso, generati con il primo secondo fattore, consentono di accedere in caso di smarrimento del telefono o della chiave.

Un utente può configurare un’applicazione di autenticazione e più passkey.

Prerequisiti delle passkey

Una passkey è legata all’indirizzo di Cyberwatch. Per utilizzarle:

Cyberwatch deve essere aperto tramite un nome di dominio in HTTPS, all’indirizzo configurato per il nodo in Amministrazione > Nodi. Le passkey non funzionano quando Cyberwatch viene aperto tramite un indirizzo IP;
il certificato TLS di Cyberwatch deve essere riconosciuto dal browser;
il browser deve essere recente: Chrome o Edge 129, Firefox 119, Safari 18.4 o versioni successive.

Quando queste condizioni non sono soddisfatte, l’applicazione di autenticazione resta disponibile.

Modificare l’indirizzo del nodo rende inutilizzabili le passkey registrate per il vecchio indirizzo. Cyberwatch ne avvisa l’amministratore che modifica l’indirizzo. Gli utenti interessati accedono quindi con la propria applicazione di autenticazione o con un codice di recupero, poi registrano una nuova passkey.

Configurare il proprio secondo fattore

Aprire il proprio profilo dal menu in alto a destra dell’interfaccia
Nel riquadro «Autenticazione a due fattori», cliccare su «Gestisci»

Aggiungere, sostituire o rimuovere un secondo fattore, o generare nuovi codici di recupero, richiede di confermare la propria password. Questa conferma resta valida 10 minuti.

Applicazione di autenticazione

Nel riquadro «Applicazione di autenticazione», cliccare su «Configura»
Scansionare il QR code con l’applicazione, oppure inserire la chiave visualizzata sotto il QR code
Inserire il codice a 6 cifre visualizzato dall’applicazione, quindi cliccare su «Attiva»

I codici dipendono dall’ora. Se un codice viene rifiutato, confrontare l’ora del telefono con l’ora del server visualizzata sotto il modulo: uno scarto di oltre 30 secondi impedisce la verifica.

Passkey

Nel riquadro «Passkey», cliccare su «Aggiungi una passkey»
Assegnare un nome alla chiave, ad esempio «Telefono» o «Chiave di sicurezza»
Cliccare su «Crea la passkey», quindi seguire le istruzioni del browser

Ogni chiave può in seguito essere rinominata o rimossa dalla stessa pagina.

Codici di recupero

I codici di recupero vengono visualizzati una sola volta, durante la configurazione del primo secondo fattore. Devono essere conservati in un luogo sicuro, ad esempio in un gestore di password: i pulsanti «Copia negli appunti» e «Scarica» ne facilitano il salvataggio.

Ogni codice può essere usato una sola volta. Il riquadro «Codici di recupero» indica il numero di codici rimanenti, e il pulsante «Genera nuovi codici» sostituisce tutti i codici esistenti.

Notifiche

Un’e-mail avvisa l’utente quando un secondo fattore viene aggiunto o rimosso, quando i suoi codici di recupero vengono rigenerati, quando viene utilizzato un codice di recupero o quando un amministratore reimposta i suoi secondi fattori. L’invio richiede un server SMTP configurato.

Accedere

Dopo l’inserimento della password, Cyberwatch richiede il secondo fattore:

cliccare su «Usa una passkey», se è stata registrata una passkey;
oppure inserire il codice dell’applicazione di autenticazione;
oppure inserire uno dei codici di recupero.

Dopo cinque codici o chiavi rifiutati in 15 minuti, l’inserimento del secondo fattore viene bloccato fino a 15 minuti per questo account.

Accesso senza password

Un utente locale che ha registrato una passkey può accedere senza inserire nome utente né password, con il pulsante «Accedi con una passkey» della pagina di accesso. Il browser può anche proporre la passkey direttamente nel campo del nome utente.

La passkey verifica allora l’identità dell’utente tramite impronta digitale, volto o codice PIN, il che equivale a un’autenticazione a due fattori.

Questo accesso non è proposto agli account LDAP, la cui password deve essere verificata dalla directory a ogni accesso.

Imporre l’autenticazione a due fattori

Per impostazione predefinita, l’autenticazione a due fattori è facoltativa. Per imporla:

Accedere al menu Amministrazione > Provider di identità > Configurazione globale
Nella sezione «Autenticazione a due fattori», scegliere il valore di «Secondo fattore»:
- «Facoltativa»: ogni utente sceglie se configurare un secondo fattore;
- «Imposta agli amministratori»: gli utenti con il ruolo Amministratore devono configurarne uno;
- «Imposta a tutti gli utenti»: tutti gli account locali e LDAP devono configurarne uno.
Cliccare su «Salva»

Un utente interessato che non ha ancora un secondo fattore deve configurarne uno al suo prossimo accesso, prima di accedere a Cyberwatch. Le sessioni già aperte non vengono chiuse.

Quando l’autenticazione a due fattori è imposta, un utente non può rimuovere il proprio ultimo secondo fattore. Può invece sostituirlo.

Prima di imporre l’autenticazione a due fattori, si consiglia all’amministratore di configurare il proprio secondo fattore. Un avviso glielo ricorda nella configurazione globale.

Monitorare l’adozione

La colonna «MFA» dell’elenco degli utenti indica chi ha configurato un secondo fattore. Resta vuota per gli account SAML e OpenID Connect nonché per gli account senza password.

L’attributo mfa_enabled dell’API /api/v3/users fornisce la stessa informazione.

Reimpostare i secondi fattori di un utente

Quando un utente ha perso il telefono, le passkey e i codici di recupero, un amministratore può reimpostare i suoi secondi fattori:

Accedere al menu Amministrazione > Utenti
Aprire la scheda dell’utente
Nel riquadro «Autenticazione a due fattori», cliccare su «Reimposta», quindi confermare

L’utente accede quindi con la sola password, poi configura un nuovo secondo fattore, durante l’accesso se l’autenticazione a due fattori è imposta. La reimpostazione viene registrata nel registro delle azioni e l’utente ne viene avvisato via e-mail.

Un amministratore non può reimpostare i propri secondi fattori dall’interfaccia.