Codici di backup: Instagram richiede uno screenshot, Microsoft lo vieta

L’autenticazione a due fattori è attivata, la configurazione è completata e compare un elenco di 10 codici. Una riga accanto a esso invita a conservarli in un luogo sicuro. Ci si ritrova quindi con 10 stringhe di otto cifre e senza alcuna idea di cosa significhi in questo contesto “in un luogo sicuro”.

I principali fornitori rispondono a questa domanda in modo talmente diverso che due di essi si contraddicono apertamente. Microsoft afferma, in merito al proprio codice di recupero: «Per motivi di sicurezza, non memorizzate il codice su un dispositivo utilizzato per accedere al vostro account». Instagram adotta invece una linea opposta. Nelle sue pagine di assistenza si legge: «È consigliabile copiare i codici negli appunti, effettuare uno screenshot o salvarli in altro modo, in modo che siano disponibili al momento dell’accesso a Instagram». Stessa persona, stesso telefono, istruzioni opposte.

Otto fornitori, cinque risposte

Google emette 10 codici e offre sia la possibilità di stamparli che di scaricarli. La sua pagina di assistenza raccomanda di conservare una copia stampata «in un luogo sicuro, ad esempio dove tenete il passaporto o altri documenti importanti». Due sezioni più avanti, la stessa pagina si contraddice. Sotto il titolo relativo alla perdita di un codice di backup si legge: «Cercate sul vostro computer il file: Backup-codes-username.txt con il vostro nome utente». Google presume che il file si trovi sul dispositivo e fornisce anche lo schema di denominazione.

Anche Apple esclude determinate posizioni, sebbene per un motivo diverso. La chiave di recupero di 28 caratteri non deve essere conservata nell’app Password, in Foto di iCloud, in Note o in iCloud Drive. La preoccupazione di Apple riguarda l’accesso piuttosto che il furto, poiché chiunque venga bloccato fuori dall’account non potrà più aprire tali app.

GitHub è l’unico a raccomandare esplicitamente l’uso di un gestore di password e inserisce un pulsante di download proprio accanto a tale consiglio. Dropbox richiede di spuntare la casella «Ho conservato i miei codici di recupero in un luogo sicuro» senza mai spiegare quale luogo sia idoneo. Facebook indica solo la stampa e la trascrizione su carta. Le pagine di assistenza di Amazon non menzionano affatto i codici di backup.

Ecco dove agisce il malware

Nel 2024 il Dipartimento della Salute e dei Servizi Umani degli Stati Uniti ha pubblicato un’analisi citabile relativa al malware Vidar. Il rapporto descrive come il programma raccolga i file scaricati più di recente dalla cartella «Download» e, inoltre, cerchi nomi di file contenenti determinate parole. Elenca: «Passwords», «Information», «Outlook», «Screenshot», «Cookie» e «List».

Un anno dopo, la società di sicurezza Trellix ha reso pubblica la configurazione decrittografata dell’infostealer Lumma, ovvero l’elenco delle istruzioni provenienti dal suo server di comando. Esso effettua una ricerca nell’intero profilo utente, fino a tre livelli di profondità, alla ricerca di file i cui nomi contengano stringhe quali “pass” o “words”. Il desktop viene analizzato fino a due livelli di profondità, alla ricerca di ogni singolo file di testo. La cartella in cui Lumma raccoglie il materiale sottratto si chiama «ImportantFiles».

Ciascuna di queste raccomandazioni relative all’archiviazione rientra quindi in uno schema di ricerca documentato. Lo screenshot suggerito da Instagram viene salvato sul dispositivo come file immagine con «Screenshot» nel nome. Il file di Google si chiama Backup-codes-username.txt e corrisponde due volte, sia per l’estensione che per la parola contenuta nel nome. Le stesse configurazioni prendono di mira anche le app di autenticazione, pertanto lo stesso secondo fattore di autenticazione figura nell’elenco. Un cookie di sessione rubato ha già dimostrato quanto poco sia efficace l’autenticazione a due fattori una volta che un aggressore abbia superato la fase di accesso, come abbiamo illustrato in un articolo a parte sugli account dirottati. Ciò che viene documentato in questa sede è lo schema di ricerca degli aggressori. Nessuno ha calcolato con quale frequenza i codici di backup compaiano in tali raccolte.

E se non li avete mai salvati

Il caso opposto è peggiore di quanto la maggior parte delle persone si aspetti. La pagina di assistenza di Microsoft relativa al modulo di recupero dell’account ripete due volte la stessa frase: «Se ha attivato la verifica in due passaggi e non può accedere a nessuno dei metodi alternativi per ottenere una verifica, non possiamo aiutarla, ci dispiace». Il personale di assistenza potrebbe non inviare link per la reimpostazione della password e potrebbe non modificare i dettagli dell’account. Chiunque ci provi comunque può inviare il modulo due volte al giorno e riceve una risposta entro 24 ore, che fornisce una risposta, ma non l’accesso.

Google non stabilisce alcuna scadenza fissa. Il recupero può richiedere ore o diversi giorni, e una configurazione attiva dell’autenticazione a due fattori allunga l’attesa anziché accorciarla. Si tratta di una scelta deliberata, non di un accumulo di richieste arretrate, poiché il ritardo offre al vero proprietario la possibilità di respingere la richiesta di qualcun altro. L’articolo della guida si conclude con un link intitolato «Creare un account Google sostitutivo».

Apple indica «diversi giorni o più» e non pubblica più una cifra precisa. Alla domanda su un’eventuale scorciatoia, risponde con un secco «no». Una condizione sorprende molti. Se l’account è ancora in uso su qualsiasi dispositivo durante il periodo di attesa, Apple annulla automaticamente la procedura. Un iPad dimenticato su uno scaffale azzerano il tempo di attesa. La nostra guida in caso di smarrimento del telefono illustra quali altre soluzioni siano disponibili in tale situazione.

Dove vanno inseriti

L’agenzia federale tedesca per la sicurezza informatica, il BSI, è insolitamente schietta riguardo a questa struttura. Nella sua valutazione dei metodi comuni di autenticazione a due fattori, definisce i meccanismi di recupero fondamentalmente critici ogni volta che una procedura a fattore singolo sostituisce l’autenticazione a due fattori. Un codice di backup è proprio questo, poiché annulla il secondo fattore che avete appena configurato.

Il BSI non indica alcuna sede di conservazione. Questa indicazione proviene, tra tutti, proprio dai fornitori di gestori di password, e riguarda i loro codici di emergenza. Bitwarden consiglia di conservare il codice al di fuori del vault, poiché l’azienda non è in grado di restituirlo. Raccomanda una copia stampata in un luogo sicuro. 1Password fornisce lo stesso consiglio per il proprio «Kit di emergenza»: una copia stampata da conservare in una cassetta di sicurezza o nel luogo in cui sono custoditi il passaporto e il certificato di nascita. Il consiglio si chiude su se stesso. GitHub invia i codici di backup al gestore di password, e il gestore di password a sua volta invia il proprio codice di emergenza su supporto cartaceo.

In pratica ciò comporta tre azioni. Stampate i codici o copiateli a mano e archiviateli insieme ai documenti che già conservate. Successivamente, eliminate il file scaricato e svuotate il cestino, poiché un file eliminato dalla cartella “Download” non è ancora un file definitivamente eliminato. Configuri una seconda via di accesso a ogni account importante, che si tratti di un indirizzo di riserva, di un secondo dispositivo o, su Apple, di un contatto di recupero. Chiunque sia in possesso solo dei codici ha esattamente una sola possibilità. Vale la pena effettuare la stessa procedura sui dispositivi che risultano ancora connessi a tali account.