Guida: come attivare la doppia autenticazione

Nel 2019 (con estremo ritardo) molte persone hanno iniziato a proteggere il proprio account Instagram aggiungendo la doppia autenticazione (anche abbreviata: 2FA). Il problema è che a molti è sfuggito un meccanismo di sicurezza di Instagram riguardante le sessioni che per utente comune non è immediato e rende la doppia autenticazione INUTILE.

Cosa è l’autenticazione a due fattori?

È un sistema aggiuntivo oltre la password che permette di avere una sicurezza maggiore quando accedi al tuo account. Funziona in maniera semplice:

• Imposti un numero di telefono (o in alternativa un’app authenticator)
• Ogni volta che fai la login su Instagram ti verrà chiesto, dopo aver inserito la password, di mettere un PIN (che ti arriverà via sms o app authenticator)

In breve per entrare sul vostro account con 2FA abilitata il malintenzionato deve avere:

• Il vostro username (facile, è pubblico)
• La vostra password (difficile)
• Il vostro smartphone in mano (impossibile)

Cosa sono i token di sessione?

Quando ci colleghiamo ad Instagram da uno smartphone il nostro dispositivo ottiene una chiave (chiamata: token) e con questa chiave può accedere al profilo, modificare informazioni e quindi avere il pieno controllo del nostro account senza usare la nostra password. In pratica non è altro che una password alternativa per il software o app con cui vi loggate ad Instagram per non usare la vostra.

Quando viene generato un token?

• Quando accedi all’app Instagram
• Quando fai login con il pulsante ufficiale “login Instagram” nei siti web
• Quando usi un bot
• Quando accedi ad app per scoprire chi ti defollowa usando user/pass Instagram
• Quando accedi ad app o utility che richiedono user/pass del tuo Instagram

Praticamente: ogni volta che usi username e password di Instagram (anche sull’app ufficiale)

Quando viene resettato il token?

Per disconnettere TUTTE le app, tool e bot dove siete entrati usando username e password di Instagram e quindi cancellare i token autorizzati a quest’ultime dovete cambiare password.

La doppia autenticazione è inutile

Fatta la premessa su come funziona un token immaginate di avere un account Instagram dal 2012 come il mio. In questi anni io ho provato app su android per scoprire chi mi defollowa, app per defolloware i fake, bot, utility, login a siti a caso solo perché non mi andava di registrarmi ed ho usato la login di Instagram perché andavo di fretta. Cose così.

Siamo nel 2019 e decido di abilitare la doppia autenticazione (che per comodità da ora in poi abbrevierò in 2FA): vado su impostazioni –> privacy e sicurezza –> autenticazione a due fattori –> inizia

Tutto bellissimo: arriva il pin via sms ogni volta che entro da un nuovo smartphone o dal pc.

Protetti nel futuro, vulnerabili nel passato

Nel paragrafi precedente ho scritto quando vengono eliminati i token: al cambio password. Non quando abiliti la 2FA. Non quando rinomini l’account. SOLO al cambio password.

Dopo aver abilitato la 2FA nel 2019 abbiamo comunque lasciato gli accessi a tutte le app con cui siamo entrati dal 2012 ad oggi. Assurdo vero?

Abilitare la doppia autenticazione correttamente

• Cambia password
• Abilita la doppia autenticazione

Ora siete protetti, per davvero!