Con autenticazione a più fattori (Multi-Factor Authentication, MFA) si intende un processo di accesso ai sistemi che richiede agli utenti di fornire più elementi di verifica oltre alle tradizionali credenziali.
Il modello più diffuso è l’autenticazione a due fattori (2FA), detta anche “verifica in due passaggi”, che prevede l’utilizzo di due fattori appartenenti a categorie differenti.
Perché è necessaria l'autenticazione a 2 fattori?
L’utilizzo della sola password non garantisce più un livello di sicurezza adeguato.
Tra attacchi di phishing, riutilizzo delle credenziali su servizi terzi compromessi e tecniche di forza bruta, la compromissione di una password è uno scenario realistico.
L’introduzione di un secondo fattore consente di aggiungere un ulteriore livello di protezione: anche in caso di password compromessa, l’accesso non autorizzato viene impedito.
Qual è il modello Sapienza e come funziona?
Sapienza adotta un sistema basato su TOTP (Time-based One Time Password), generato tramite applicazioni di autenticazione.
Il codice:
- è composto da 6 cifre
- cambia automaticamente ogni pochi secondi
- funziona anche senza connessione internet (se l’orario del dispositivo è corretto)
Attivazione del servizio
Per attivare il 2FA la procedura ordinaria prevede:
- l'identificazione tramite SPID o CIE
- la registrazione del secondo fattore online tramite il portale IdM
Gli utenti che si trovano in comprovata impossibilità di utilizzare SPID o CIE possono richiedere assistenza secondo la procedura alternativa descritta nelle FAQ.
Nota bene: il TOTP è un valore Time Based per cui è essenziale che data e orario del dispositivo sul quale si utilizza l’applicazione di autenticazione siano esatti.
Si consiglia di impostare orario automatico dalla rete.
Per maggiori dettagli sulla procedura ordinaria di attivazione, consultare la guida all’attivazione del servizio 2FA
Come accedere correttamente
Per soddisfare i nuovi requisiti di sicurezza, è possibile utilizzare una delle seguenti combinazioni:
✅ Credenziali di Ateneo + TOTP: Inserendo username/password e il codice TOTP generato dall'app.
✅ SPID o CIE di Livello 2 (o superiore): Questi sistemi richiedono nativamente due fattori (password + codice temporaneo/app), pertanto soddisfano pienamente i requisiti.
❌ SPID o CIE di Livello 1: Non sono accettati, in quanto richiedono solo username e password, non garantendo il livello di sicurezza richiesto.
Supporto
Per assistenza è possibile contattare il servizio dedicato all’indirizzo: supporto.idm@uniroma1.it
FAQ
- È necessario possedere uno smartphone per usare l'Autenticazione a Due Fattori (2FA)?
Assolutamente no. l'utilizzo di app sullo smartphone (come Google Authenticator o Microsoft Authenticator) è la modalita più diffusa e raccomandata, ma non è l'unica.
I codici a 6 cifre che si rinnovano ogni 30 secondi non dipendono dal numero di telefono né dalla SIM: sono generati secondo lo standard TOTP (Time-based One-Time Password), definito dalla RFC 6238, un algoritmo matematico che calcola il codice a partire da una chiave segreta e dall'ora corrente. Per questo motivo non serve neanche una connessione a Internet: i codici vengono generati interamente in locale, anche offline.
Proprio perché l'ora è parte del calcolo, è fondamentale che data e ora del dispositivo siano corrette: un orologio anche solo di pochi minuti avanti o indietro produce codici non validi, che il sistema rifiuterà. Si raccomanda quindi di mantenere attiva la sincronizzazione automatica dell'orario (impostazione predefinita sulla maggior parte dei dispositivi).
Ne consegue che qualsiasi applicazione conforme alla RFC 6238 può essere utilizzata, indipendentemente dal dispositivo. Per l'utilizzo sulla postazione di lavoro sono ammesse esclusivamente soluzioni che richiedono l'inserimento di una password principale per accedere ai codici, a titolo di esempio: KeePassXC e Bitwarden
Per chi sceglie di gestire i codici 2FA direttamente dalla PdL, abbiamo predisposto una guida passo-passo alla configurazione di KeePassXC
- Non possiedo SPID o CIE: posso comunque attivare l’Autenticazione a Due Fattori (2FA)?
La procedura ordinaria di attivazione del servizio 2FA prevede l’identificazione dell’utente tramite SPID o CIE.
In caso di impossibilità a completare la registrazione tramite SPID/CIE, è possibile richiedere assistenza per l’attivazione tramite procedura alternativa.
La richiesta deve seguire questi canali:
- Dipartimenti e Facoltà: l’utente deve comunicare la propria identità al RA o al Direttore della struttura, che provvederà a inoltrare la richiesta al supporto IdM all’indirizzo supporto.idm@uniroma1.it.
- Amministrazione Centrale: l’utente deve comunicare la propria identità alla Direzione di appartenenza, che provvederà a inoltrare la richiesta al supporto IdM all’indirizzo supporto.idm@uniroma1.it.
A seguito della richiesta autorizzata, verranno fornite le istruzioni per completare l’attivazione tramite una procedura alternativa, che prevede l’invio di un codice temporaneo a uno dei recapiti personali registrati, email o cellulare.
Prima di richiedere l’attivazione della procedura alternativa, è opportuno verificare che i propri recapiti personali siano corretti accedendo al cruscotto IdM https://idm.uniroma1.it, voce “Gestione dati personali”.