Codice OTP: cos’è, a cosa serve, come funziona e dove utilizzarlo

• Il codice OTP è una stringa alfanumerica utilizzata per autenticare l’identità di chi effettua una registrazione o l’accesso a un servizio digitale.
• Prevede una tecnologia in base alla quale verrà inviato un codice di 5 o 6 lettere e numeri da inserire in un apposito campo.
• Viene utilizzato per tutte quelle attività digitali che richiedono una verifica dell’identità ai fini di sicurezza, come accesso alla PA, servizi bancari, app e pagamenti online.

La sicurezza digitale è una tematica sempre più al centro dell’attenzione in un mondo in cui il 95% delle attività burocratiche, economiche, giuridiche e bancarie avviene online. Basta considerare l’opera di digitalizzazione della pubblica amministrazione programmata in Italia per i prossimi anni.

Sottrazioni di password o delle identità digitali, accessi non autorizzati per le carte di credito o i conti correnti, sono situazioni che possono avvenire se non si fa attenzione. In questa prospettiva, l’evoluzione digitale ha portato alla creazione di sistemi che tendono a eliminare eventuali criticità in ambito di protezione e tutela dei dati personali, come il codice OTP.

Questa tecnologia prevede una verifica attraverso un apposito meccanismo con dei limiti temporali, permettendo di innalzare i livelli di sicurezza. Il procedimento ormai viene utilizzato per l’accesso e la registrazione a diverse piattaforme online.

Cos’è il codice OTP: significato

Il termine OTP è l’acronimo di One Time Password, tradotto come “password valida una volta”, o “password dispositiva”. È composto da un codice alfanumerico, con un numero di 5 o 6 cifre, generato attraverso una particolare tecnologia e utilizzato per autenticare l’accesso a un servizio digitale.

La sua funzione è quella di rendere i processi di registrazione e autenticazione in rete sempre più sicuri, andando a colmare quelle carenze che sono caratteristiche dell’accesso tradizionale con la singola password.

È un brevetto realizzato dalla società Security Dynamic, successivamente acquistata dall’azienda RSA, specializzata in tecnologie di sicurezza online. Oggi è tra i sistemi di conferma digitale più impiegati, per l’accesso ai conti correnti, alla pubblica amministrazione e alle app online.

Come funziona il codice One Time Password

Il codice OTP è un numero che devi inserire in un apposito campo per completare la fase di autenticazione o di registrazione. Viene generato attraverso un algoritmo matematico crittografico a chiave condivisa.

Semplificando il processo, un server centrale invia un codice su un particolare sistema finalizzato a riceverlo, tenendo conto del trascorrere del tempo, attraverso un orologio digitale interno.

Grazie a questa sincronizzazione ogni codice sarà collegato al singolo processo di autenticazione che stai compiendo. Una volta che il tempo è scaduto, il codice non sarà più valido, con la necessità di doverne generare uno nuovo.

Quindi, rispetto a una password statica che puoi memorizzare, questo processo non avviene nel sistema OTP. Ciò richiede un meccanismo attraverso cui sia possibile ricevere la chiave alfanumerica e leggerla, come un dispositivo o un hardware.

Come ottenere il codice

Negli anni la tecnologia OTP si è evoluta con lo sviluppo di diversi sistemi di generazione degli algoritmi matematici a chiave condivisa. Quindi, per ricevere una One Time Password hai la possibilità di impiegare diversi sistemi. Ecco tutti quelli previsti oggi:

• app smartphone: il codice sarà ricevuto direttamente dall’applicazione che stai utilizzando tramite notifica push;
• token: è necessario possedere un apposito hardware che sia sincronizzato a leggere l’algoritmo matematico e che può essere un token, oppure una chiave USB;
• SMS: è tra le modalità più comuni, che prevede l’invio di un messaggio gratuito sul tuo cellulare;
• e–mail: altra alternativa è quella dell’invio del codice utilizzando l’indirizzo di posta elettronica registrato al momento della creazione dell’account;
• servizi online: sono appositi tools sul web che vengono impiegati per generare il codice.

Qualunque sia la modalità di ricezione, il sistema rimane sempre identico: avrai un tempo limitato per inserire il codice nell’apposito campo e confermare la tua identità.

Il codice OTP è sicuro? Pro e contro

Il principale vantaggio del codice OTP è quello della durata limitata nel tempo. Quindi, è un sistema che non è vulnerabile ai cosiddetti attacchi in replica di cui sono soggette le password statiche, tra i meccanismi più utilizzati dagli hacker che vogliono acquisire dati sensibili.

Infatti, il margine temporale è estremamente ridotto, dato che un codice ha valore per meno di 10 secondi e rende praticamente quasi impossibile il furto delle credenziali.

Inoltre, anche se un potenziale intruso, riuscisse a intercettare un codice OTP, già utilizzato per la verifica di identità di un servizio, il suo inserimento non sarà più accettato dal sistema. Quindi un hacker non potrà prevedere un eventuale impiego del codice, oppure memorizzarlo per un successivo accesso. Tuttavia, il sistema ha delle criticità.

Infatti, alcune volte può avvenire che tra il tempo di invio del codice e la sincronizzazione con l’orologio del server, passi più tempo di quanto previsto, esponendo il numero a possibili utilizzi da parte di un malintenzionato.

Infine, la tempistica ristretta, può essere un eventuale svantaggio se si hanno problemi di inserimento del codice, ad esempio per mancanza di linea, richiedendo una nuova procedura di autenticazione ogni volta.

Dove si usa il codice OTP

L’elevata sicurezza della tecnologia OTP ha portato al suo impiego in tutti quei sistemi che necessitano di un’autenticazione di identità, in pieno rispetto delle normative sulla tutela della privacy come previsto dal GDPR e dalle regole dell’AgID (Agenzia per l’Italia Digitale):

• accesso app bancarie;
• token banca;
• accesso ai social network;
• acquisti online;
• modifica impostazione di sicurezza di un account;
• firma digitale;
• Spid.

Uno dei casi in cui, sicuramente, ti sei trovato a impiegare il codice OTP, è quello dell’accesso alle app bancarie: dopo aver inserito le credenziali ti verrà richiesto di verificare la tua identità attraverso la password dispositiva.

Lo stesso vale nel momento in cui esegui un bonifico istantaneo o tradizionale, fai un acquisto online, oppure se devi entrare in un’app come quella dei social network o in un programma.

In generale l’OTP viene richiesto ogni volta che devi utilizzare un servizio che prevede la necessità di una tutela della tua privacy, dato che andrai a visualizzare una serie di informazioni di natura personale.

Inoltre, oggi è impiegato anche in abito legale, per effettuare la firma digitale oppure accedere alla pubblica amministrazione utilizzando lo Spid.

Firma digitale

Il sistema di firma digitale qualificata è l’unica forma che viene considerata valida dal punto di vista giuridico, in sostituzione di quella olografa.

In questo contesto oggi puoi firmare ed inviare un PDF digitale con la sicurezza che non sarà modificabile, ma unico e con la possibilità di identificare chi l’ha creato proprio grazie alla firma digitale e al codice OTP. Infatti, esistono due tipologie di firma:

• firma con chiavetta usb: in questo caso il codice viene inviato a un hardware rilasciato al momento della richiesta della firma digitale;
• firma da remoto: questa seconda opzione prevede l’utilizzo del cellulare o di altro dispositivo elettronico su cui verrà inviato il codice OTP.

Se vuoi conoscere tutte le modalità per sottoscrivere digitalmente un documento, leggi la nostra guida su come firmare un PDF online.

Codice OTP e Spid

Un altro esempio in cui diventa essenziale comprendere come funziona l’utilizzo del codice OTP è quello dell’impiego dello Spid. Oggi, il Sistema di Identità Digitale ti permette di accedere in maniera autonoma a una serie di servizi collegati alla Pubblica Amministrazione.

Ad esempio, puoi aderire ai bonus di sostegno, richiedere il Reddito di Cittadinanza, ottenere certificati, una rateizzazione e chiarimenti presso l’Agenzia delle Entrate o l’INPS. Inoltre, alcune banche prevedono l’accesso e la registrazione proprio con lo SPID. Vediamo brevemente come funziona:

• evidenzia la voce entra con Spid;
• seleziona il provider con cui hai sottoscritto il contratto;
• inserisci username e password;
• effettua la verifica tramite OTP.

Se non possiedi ancora l’identità digitale ti invitiamo a leggere la nostra guida completa su cos’è lo Spid, come farlo alle Poste Italiane.

Codice OTP e autenticazione a due fattori

Al fine di completezza è utile precisare che in ambito digitale sono diversi i sistemi che hanno il fine di assicurare l’accesso solo ed esclusivamente al legittimo possessore delle credenziali. In linea di massima possono essere ricondotti a due tipologie:

1. autenticazione a unico fattore;
2. autenticazione MFA.

Nel primo caso, il sistema prevede l’accesso inserendo solo username e password negli appositi campi. Invece, l’autenticazione MFA (Multi-Factor Authentication) conosciuta come autenticazione a più fattori, prevede la combinazione dell’utilizzo di username e password a cui si aggiunge un sistema di sicurezza come: verifica biometrica o il codice OTP.

Cosa succede se il codice OTP non arriva?

Alcune volte si può verificare che il codice OTP non arrivi. Questa evenienza può essere causata principalmente per due motivi:

1. problemi nel server centrale;
2. mancata ricezione del dispositivo.

Nel primo caso può essere venuto meno l’input iniziale di autenticazione che porta il server centrale a emettere il codice alfanumerico.

Invece, la mancata ricezione del dispositivo può essere collegata a diverse ragioni, come ricezione della linea telefonica scarsa, o non presenza della rete Wi-Fi. In altri casi si verifica per un errore nell’inserimento dei dati di registrazione, come numero di cellulare o indirizzo e-mail errato.

Se non ricevi il codice OTP, la prima azione è quella di digitare sull’apposita icona “invia di nuovo” e attendere alcuni secondi. Quasi sempre otterrai il numero sul tuo dispositivo. Nell’evenienza in cui ciò non si verifica, può essere utile riprovare dopo qualche minuto.

Se anche in questo caso non ottieni il tuo codice OTP, sarà necessario contattare il customer care, utilizzando una chatbot ove presente, oppure rivolgersi direttamente a un operatore umano.

Codice OTP – Domande frequenti