Las contraseñas se filtran. Se reutilizan en otro sitio que sufre un robo, se apuntan donde no deben, se adivinan. Si la contraseña de quien gestiona tus servidores basta para pararlos o borrar sus copias, el problema no es si pasará, sino cuándo. AWS lo sabe y recomienda MFA en la consola; lo que no cubre es a las personas de tu equipo que no tienen cuenta de AWS y a las que les has dado acceso de otra forma.
En Simplio el doble factor es un código de seis cifras que genera una aplicación en tu móvil (Google Authenticator, Microsoft Authenticator o cualquiera compatible). Se pide para entrar y, además, en cada acción delicada: detener o reiniciar una máquina, borrar ficheros, instantáneas o copias, subir código a una función Lambda, quitar un registro DNS, abrir una terminal, usar la llave de repuesto. Una contraseña robada, sola, no sirve para tocar nada.
Come funziona
Ogni utente lo attiva dal proprio profilo
Scansiona un codice QR con l'app del telefono e conferma con il primo codice. Da quel momento, l'accesso richiede il codice.
Le azioni delicate lo richiedono sempre
Fermare, riavviare, eliminare, caricare codice, aprire un terminale, recuperare una macchina. Anche se hai appena effettuato l'accesso. Anche se sei amministratore.
Senza diventare pesante
Dopo un codice corretto, Simplio non lo richiede per dieci minuti; dal terzo della stessa sessione, per due ore. Quella fiducia vive solo nella tua sessione: finisce quando esci, se scade per inattività, se cambia il tuo indirizzo IP o se qualcuno digita un codice errato. Eliminare oggetti dal cloud continua a richiedere di digitarne il nome. Se lasci il computer, bloccalo.
Se perdi il telefono, non perdi l'account
Quando lo attivi ricevi otto codici di recupero monouso da conservare in un posto sicuro: uno qualsiasi di essi vale al posto del codice del telefono, e dal profilo configuri il nuovo telefono. Se non hai nemmeno quelli, un amministratore della tua azienda può rimuoverti il doppio fattore, oppure lo richiedi tu con la tua password e un codice dalla tua e-mail: in quel caso ci sono due giorni di attesa con avviso a tutti gli amministratori, che possono annullarlo. Niente di tutto questo avviene all'istante né solo via e-mail.
Chi amministra gli utenti vede chi lo ha
Nell'elenco degli utenti si vede chi ha il doppio fattore attivo e chi no, per insistere con chi manca.
Che sicurezza ha
Nessuna eccezione per gli amministratori
Le azioni delicate richiedono il codice a tutti. Più una persona può fare, più conta.
Codici monouso
Ogni codice vale una volta e per pochi secondi. Uno visto da sopra la spalla non serve un minuto dopo.
L'e-mail non sostituisce mai il telefono
Recuperare la password via e-mail continua a chiedere il codice del telefono se lo hai attivo. Chi legge la tua casella di posta non entra per questo.
Attivazioni e disattivazioni vengono registrate
Nel registro attività, con chi e quando. Disattivare il doppio fattore di qualcuno non passa inosservato.
La stessa cosa, in AWS e in Simplio
| Per conto tuo su AWS | In Simplio | |
|---|---|---|
| Proteggere chi gestisce le macchine | MFA in IAM, utente per utente, se ognuno ha un utente IAM | Attivarlo nel profilo, con un QR |
| Chiedere il codice prima di fermare una macchina | Non esiste: con la sessione aperta, la console ferma senza chiedere | Sempre, a ogni azione delicata |
| Sapere chi lo ha attivo | Report delle credenziali IAM | Elenco degli utenti |
Domande frequenti
Quale app mi serve?
Qualsiasi app di codici TOTP: Google Authenticator, Microsoft Authenticator, Authy, 1Password, Bitwarden… È lo stesso meccanismo usato da banche e Google.
E se perdo il telefono?
Chi amministra gli utenti può rimuovere il tuo doppio fattore perché tu lo riconfiguri sul nuovo telefono. Quella disattivazione viene registrata nell'attività.