L’autenticazione è il processo con cui Microsoft Entra ID verifica che un utente sia davvero chi dichiara di essere, prima di concedere l’accesso a risorse e applicazioni. È il primo pilastro della gestione delle identità: senza un’autenticazione robusta, qualsiasi controllo di autorizzazione successivo perde valore. In questa unità vediamo i metodi disponibili in Entra ID e — soprattutto per l’esame — quando preferire l’uno all’altro.

I tre fattori dell’autenticazione

La sicurezza di un metodo dipende da quali e quanti “fattori” richiede. Esistono tre categorie:

  • Qualcosa che sai — password, PIN, risposte a domande di sicurezza.
  • Qualcosa che hai — un dispositivo fisico: smartphone con l’app Authenticator, chiave di sicurezza FIDO2, token hardware.
  • Qualcosa che sei — un tratto biometrico: impronta digitale, riconoscimento facciale.

La sola password usa un unico fattore ed è il metodo più debole: soggetta a phishing, riutilizzo e attacchi di forza bruta.

Multi-Factor Authentication (MFA)

La Multi-Factor Authentication (MFA) richiede almeno due fattori di categorie diverse. L’esempio classico: password (qualcosa che sai) più approvazione sull’app Microsoft Authenticator (qualcosa che hai). Anche se un attaccante ruba la password, non può accedere senza il secondo fattore.

I metodi di secondo fattore supportati da Entra ID includono:

  • Microsoft Authenticator — notifica push o codice OTP a tempo.
  • SMS o chiamata vocale — considerati i meno sicuri per MFA, perché vulnerabili a SIM swapping e intercettazione.
  • Token OATH hardware o software.

MFA riduce drasticamente il rischio di compromissione degli account e viene tipicamente attivata tramite le Conditional Access policies o i Security defaults.

Self-Service Password Reset (SSPR)

Il Self-Service Password Reset (SSPR) permette agli utenti di reimpostare o sbloccare da soli la propria password, senza chiamare l’help desk. Per usarlo, l’utente deve prima registrare uno o più metodi di autenticazione (es. numero di cellulare, email alternativa, app Authenticator, domande di sicurezza).

I benefici principali sono:

  • Riduzione dei ticket e dei costi di supporto IT.
  • Maggiore produttività: l’utente si sblocca in autonomia, anche fuori orario.

Un amministratore può inoltre imporre che il reset via SSPR sia scritto anche nell’Active Directory on-premises (password writeback) in scenari ibridi.

Autenticazione passwordless

L’obiettivo strategico di Microsoft è eliminare del tutto la password. Nell’approccio passwordless, il fattore “qualcosa che sai” viene sostituito da qualcosa che hai combinato con qualcosa che sei o un PIN legato al dispositivo. Le tre opzioni principali sono:

  • Windows Hello for Business — biometria (volto/impronta) o PIN legato a uno specifico dispositivo Windows. Le credenziali restano sul dispositivo e non transitano in rete.
  • Chiavi di sicurezza FIDO2 — dispositivi fisici (USB, NFC, Bluetooth) basati sullo standard aperto FIDO2; ideali per postazioni condivise, ambienti senza smartphone o utenti ad alto rischio.
  • Microsoft Authenticator in modalità passwordless — l’utente approva il login con biometria/PIN sul telefono, senza mai digitare la password.

Perché il passwordless è più sicuro

Il vantaggio chiave è la resistenza al phishing: non esiste una password condivisa da rubare o inserire su un sito fasullo. Le credenziali sono legate crittograficamente al dispositivo e alla risorsa. Rispetto all’MFA tradizionale basata su password + secondo fattore, il passwordless elimina il fattore più vulnerabile invece di limitarsi ad aggiungerne un altro, offrendo al contempo un’esperienza utente più rapida.

Trappole tipiche d’esame

  • Scenario: vuoi ridurre le chiamate all’help desk per password dimenticate senza coinvolgere gli amministratori → risposta giusta: SSPR (Self-Service Password Reset), non MFA.
  • Scenario: cerchi il metodo di autenticazione più resistente al phishing per utenti ad alto rischio → risposta giusta: chiavi di sicurezza FIDO2 (passwordless), non SMS o password+OTP.
  • Scenario: hai bisogno di postazioni Windows condivise dove gli utenti accedono con volto o impronta senza password → risposta giusta: Windows Hello for Business.
  • Scenario: “password + PIN” viene proposto come esempio di MFA → è sbagliato: entrambi appartengono al fattore “qualcosa che sai”; l’MFA richiede fattori di categorie diverse.
  • Scenario: ti chiedono quale metodo di verifica MFA è considerato meno sicuro → risposta giusta: SMS / chiamata vocale, per l’esposizione a SIM swapping.