Un’app di autenticazione condivisa per il tuo team

Un’app di autenticazione normale vive su un telefono. Custodisce i segreti dei tuoi account, li trasforma offline in codici a sei cifre e li mostra a chi ha in mano l’apparecchio. È una scelta deliberata, e per una persona sola è quella giusta.

Un team non è una persona sola. Nel momento in cui due persone hanno bisogno del codice dello stesso account, un’app costruita attorno a un unico dispositivo smette di essere una soluzione e diventa ciò che tutti aggirano.

Che cos’è un’app di autenticazione condivisa

Lo stesso lavoro, fatto per più di una persona. I segreti vivono in una cassaforte invece che su un dispositivo, lì vengono generati i codici, e chi ne ha bisogno legge il codice corrente senza mai vedere ciò che lo ha prodotto.

Tutto il resto discende da questa separazione. Il segreto è la credenziale permanente e non si revoca; il codice vale trenta secondi e un utilizzo. Condividere il secondo costa quasi nulla. Condividere il primo è definitivo.

Perché un’app di autenticazione normale si rompe in team

Niente in TOTP impedisce a due dispositivi di produrre lo stesso codice, ed è proprio per questo che i team improvvisano. È nell’improvvisazione che le cose vanno storte.

• Il codice QR gira. Appena qualcuno lo scansiona, detiene il segreto per sempre. Lasciare l’azienda non lo restituisce, e l’account non conserva nessuna traccia della copia.
• Un telefono diventa un collo di bottiglia. Chi ha configurato l’account è di guardia su quell’account, ferie comprese, e la sua partenza si trasforma in un’operazione di recupero.
• I codici passano dalla chat. Finiscono su Slack, su WhatsApp, in una nota condivisa, e ci restano ben oltre la scadenza, accanto al nome dell’account che spiega a cosa servivano.
• Non resta traccia. Quando qualcosa va storto sull’account, non c’è modo di rispondere a chi ha letto il codice, né a quando.

Condividere il codice, non il segreto

Share Auth conserva ogni segreto TOTP cifrato e genera i codici dalla sua parte. Un membro apre la cassaforte, vede il codice corrente di un account e lo copia. Il segreto non viene mostrato, non viene inviato al suo browser e non è esportabile come codice QR.

Poiché nessuno ne detiene una copia, togliere un accesso toglie davvero l’accesso. È l’unica garanzia che un codice QR scansionato non potrà mai darti.

Cosa ci guadagna il team

• I ruoli. Decidi chi legge soltanto i codici, chi aggiunge account e chi amministra il team. Un nuovo membro parte con gli account che gli servono, non con tutti.
• Un registro degli accessi. Ogni lettura di un codice è annotata con l’autore e l’orario, così un incidente su un account trova una risposta invece di un’alzata di spalle.
• Una cassaforte per team. Gli account stanno dove già lavorano le persone che li usano, e non in un’app personale a cui bisogna chiedere.
• Gli stessi account di prima. TOTP è uno standard. Tutto ciò che si configura in Google Authenticator o Microsoft Authenticator entra qui dallo stesso codice QR o dalla stessa chiave.

Cosa sostituisce

Lo screenshot nel canale del team. Il collega scritto alle undici di sera per sei cifre. La voce del gestore di password condiviso in cui qualcuno ha incollato il segreto in un campo note, che è il problema del codice QR con un vestito migliore. Il foglio di calcolo che nessuno ammette.

Niente di tutto questo è sciatteria. È quello che resta quando lo strumento presuppone una persona e il lavoro ne coinvolge quattro.

Per iniziare

Aggiungi un account come lo aggiungeresti a qualsiasi autenticatore: scansiona il codice QR mostrato dal servizio, oppure incolla la chiave di configurazione. Invita chi ne ha bisogno, assegnagli un ruolo, e da quel momento legge i codici.

Gli account già configurati su un telefono continuano a funzionare. Spostarli qui significa registrarli ancora una volta presso il fornitore, che è anche il momento giusto per reimpostare quelli il cui segreto è circolato.