Autenticazione
Questa sezione illustra le funzionalità di sicurezza dell'account Sync-in, tra cui l'autenticazione a più fattori (MFA/2FA) e le password per applicazioni.
Autenticazione a due fattori
L'autenticazione a due fattori (2FA) rafforza la sicurezza dell'account Sync-in aggiungendo un ulteriore livello di protezione contro gli accessi non autorizzati. Richiede due prove distinte dell'identità:
- qualcosa che conosci (ad esempio, la password),
- qualcosa che possiedi (ad esempio, un codice generato sul telefono o un codice di recupero).
Grazie a questa combinazione, anche se la password venisse compromessa, nessuno potrebbe accedere all'account senza il secondo fattore.
Questa funzionalità deve essere preventivamente attivata dall'amministratore.
Quando si utilizza OIDC, si presume che l'MFA venga applicata dal provider di identità. Sync-in non aggiunge una verifica 2FA locale dopo il callback OIDC. La 2FA di Sync-in resta configurabile dal profilo utente durante una sessione OIDC.
Prerequisiti
Per utilizzare l'autenticazione a due fattori con Sync-in, è necessaria un'applicazione compatibile con TOTP (Time-based One-Time Password). Queste applicazioni generano codici temporanei monouso da inserire durante l'accesso, oltre alla password.
Ecco alcune applicazioni TOTP open source molto diffuse:
- Proton Authenticator (Android, iOS, Desktop)
- FreeOTP (Android, iOS)
- Aegis Authenticator (Android)
Puoi scegliere l'applicazione più adatta alle tue esigenze: funzionano tutte in modo analogo. Basta scansionare il codice QR fornito durante l'attivazione e utilizzare il codice generato a ogni accesso.
Configurazione
Nella sezione Sicurezza dell'account utente, il pulsante Attiva relativo all'Autenticazione a due fattori avvia la
procedura di registrazione TOTP.
Per attivare, reimpostare o disattivare la 2FA di Sync-in è necessario verificare la password locale di Sync-in, anche quando la sessione corrente del browser è stata creata tramite OIDC. Gli account creati tramite OIDC per i quali non è ancora nota una password locale devono prima definirne una dal profilo utente.
Passaggio 1
Passaggio 2
Passaggio 1:
- Inserisci la password di accesso dell'account
- Inserisci il codice TOTP fornito dall'applicazione di autenticazione
Passaggio 2:
- Salva o copia i codici di recupero
I codici di recupero sono essenziali: se perdi l'accesso all'applicazione di autenticazione, saranno necessari per reimpostare l'autenticazione a due fattori. Ogni codice è monouso e può essere utilizzato una sola volta.
Da questo momento, sarà richiesto un codice TOTP per gli accessi locali a Sync-in tramite password e per le operazioni sensibili protette dalla verifica aggiuntiva di Sync-in.
Alcuni flussi applicativi possono prevedere regole aggiuntive. In particolare, WebDAV non può richiedere un codice TOTP interattivo durante l'autenticazione HTTP Basic; un account protetto da TOTP deve quindi utilizzare una password per applicazioni dedicata a WebDAV anziché la password principale dell'account.
Perdita dell'accesso ai metodi di autenticazione
Se perdi sia i codici di recupero sia il metodo di autenticazione (ad esempio, l'applicazione TOTP o la chiave di sicurezza), non potrai più accedere autonomamente all'account.
In questo caso, solo un amministratore può reimpostare o disattivare l'autenticazione a due fattori per consentirti di recuperare l'accesso all'account.
⚠️ Il recupero tramite e-mail non è disponibile. Un indirizzo e-mail è considerato un fattore di autenticazione debole, facilmente compromettibile e quindi inadeguato a garantire la sicurezza offerta dalla 2FA.
Password per applicazioni
Le password per applicazioni sono credenziali dedicate, generate per autenticare client o servizi che non possono utilizzare l'autenticazione interattiva.
Vengono utilizzate principalmente con WebDAV, che non supporta l'autenticazione a più fattori (MFA), e con i client CLI, che non supportano l'autenticazione OpenID Connect (OIDC).
Quando l'autenticazione TOTP di Sync-in è attiva per l'account, WebDAV accetta esclusivamente una password per applicazioni associata all'applicazione webdav.
In questo caso, la password principale dell'account non viene accettata per WebDAV. Se l'autenticazione TOTP è disattivata, WebDAV può utilizzare sia la password
principale sia una password per applicazioni WebDAV valida.
Ogni password per applicazioni è isolata e può essere revocata singolarmente, evitando di utilizzare la password principale e limitando il potenziale impatto di una compromissione. Questo approccio contribuisce a ridurre la superficie di attacco complessiva ed è conforme alle buone pratiche di sicurezza, tra cui il principio del privilegio minimo e la segmentazione degli accessi.
Configurazione
Nella sezione Sicurezza dell'account utente, il pulsante Genera / Gestisci relativo alle Password per applicazioni
consente di crearle e gestirle.
La creazione o la revoca di una password per applicazioni richiede la consueta verifica aggiuntiva di Sync-in: TOTP, se attivo, oppure la conferma della password locale.
Caratteristiche principali
- Nome: identificatore univoco che consente di riconoscere facilmente la password per applicazioni.
- Applicazione: applicazione o client associato alla password (
webdavoclientper i client desktop o da riga di comando) - Revocabile: ogni password per applicazioni può essere revocata singolarmente in qualsiasi momento, senza modificare la password principale né le altre password per applicazioni.
- Con scadenza: possibilità di definire una data di scadenza per limitare automaticamente la durata dell'accesso.
- Tracciabilità: registrazione degli ultimi accessi (data e indirizzo IP).
La password viene visualizzata una sola volta al momento della creazione.