--- id: CP-194 slug: oauth-2-delega-accesso-token lang: it title: OAuth 2.0 e i token di accesso description: Come OAuth 2.0 dà a un'applicazione un accesso limitato al Suo account senza la password, e come leggere la schermata di consenso. canonical_url: https://startbrain.io/cyberpedia/it/articles/oauth-2-delega-accesso-token/ markdown_url: https://startbrain.io/cyberpedia/it/articles/oauth-2-delega-accesso-token.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «OAuth 2.0 e i token di accesso», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/oauth-2-delega-accesso-token/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-026 schema: G3 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/oauth-2-delega-accesso-token/ fr: https://startbrain.io/cyberpedia/fr/articles/oauth-2-delegation-acces-jetons/ en: https://startbrain.io/cyberpedia/en/articles/oauth-2-delegated-access-tokens/ de: https://startbrain.io/cyberpedia/de/articles/oauth-2-delegierter-zugriff-token/ es: https://startbrain.io/cyberpedia/es/articles/oauth-2-delegacion-acceso-tokens/ nl: https://startbrain.io/cyberpedia/nl/articles/oauth-2-gedelegeerde-toegang-tokens/ sources: - "n": 1 title: Investigate and remediate risky OAuth apps publisher: Microsoft url: https://learn.microsoft.com/en-us/defender-cloud-apps/investigate-risky-oauth accessed: "2026-11-03" - "n": 2 title: Steal Application Access Token, Technique T1528 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1528/ accessed: "2026-11-03" - "n": 3 title: Access tokens in the Microsoft identity platform publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity-platform/access-tokens accessed: "2026-11-03" - "n": 4 title: Refresh tokens in the Microsoft identity platform publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity-platform/refresh-tokens accessed: "2026-11-03" - "n": 5 title: "Use Alternate Authentication Material: Application Access Token, Sub-technique T1550.001 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1550/001/ accessed: "2026-11-03" - "n": 6 title: OAuth2 - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/OAuth2_Cheat_Sheet.html accessed: "2026-11-03" --- # OAuth 2.0 e i token di accesso OAuth è uno standard aperto di autenticazione e autorizzazione basato su token. Consente a un servizio di terze parti di usare le informazioni di un account senza esporre la password del suo titolare [1]. Si pensi a un'applicazione che analizza la Sua agenda per darLe consigli sull'organizzazione del lavoro. Ha bisogno di accedere all'agenda, ma invece di ricevere le Sue credenziali ottiene un token, creato quando Lei dà il consenso su una pagina dedicata [1]. Questa pagina si chiama schermata di consenso. ## In 30 secondi - Dove succede: molte applicazioni di terze parti installate dagli utenti chiedono il permesso di accedere ai loro dati e di accedere al loro posto ad altre applicazioni online [1]. - Cosa vuole l'attaccante: farLe concedere l'accesso a un'applicazione malevola, per esempio dopo un link ricevuto tramite phishing mirato [2]. - Il riflesso: prima di fare clic su «Accetta», verificare che i permessi richiesti corrispondano allo scopo dell'applicazione e rifiutare in caso contrario [1]. - Se è già successo: un amministratore può bloccare o revocare l'applicazione [1]. ## Domande dirette ### Cosa succede quando accetto una schermata di consenso? L'applicazione riceve un token di accesso che autorizza la condivisione di informazioni precise dell'account, e solo di quelle [1]. La password resta presso il fornitore dell'account. ### Che cos'è un token di accesso? È una credenziale pensata per l'autorizzazione: dà accesso a risorse precise per conto di un utente già autenticato. Microsoft lo paragona a chiavi che aprono porte precise in un edificio [3]. Poiché apre l'accesso, è sensibile e presenta un rischio se non è protetto bene [3]. La sua durata è limitata. Sulla piattaforma di identità Microsoft, il valore predefinito viene scelto a caso tra 60 e 90 minuti, cioè 75 minuti in media [3]. ### Che cos'è un token di aggiornamento? Un token di aggiornamento serve a ottenere una nuova coppia di token quando il token di accesso scade. Il client lo riceve insieme al token di accesso [4]. Dura più a lungo: per impostazione predefinita 24 ore per le applicazioni a pagina singola e per quelle che usano il flusso di autenticazione con codice monouso inviato per e-mail, e 90 giorni in tutti gli altri scenari, sulla piattaforma Microsoft [4]. L'applicazione può così continuare a lavorare in background senza chiederLe il consenso a ogni scadenza. ### Perché questi token interessano agli attaccanti? Un token rubato permette di agire con i diritti dell'account. MITRE ATT&CK descrive attaccanti che usano token rubati al posto delle credenziali di accesso [5]. Il token di aggiornamento aggrava il rischio: se viene rubato, l'attaccante ottiene nuovi token di accesso senza coinvolgere l'utente [2]. ### Si può togliere l'accesso a un'applicazione? Sì. Sul lato amministrativo, un'applicazione può essere bloccata o revocata dalla pagina delle applicazioni OAuth, e una regola può automatizzare la revoca [1]. Sul lato dei token, il servizio può revocare un token di aggiornamento prima della scadenza, per esempio dopo un cambio di password o un'azione dell'utente o dell'amministratore [4]. Gli effetti variano secondo il tipo di token e la modifica effettuata [4]. ## Come funziona Intervengono tre attori. Il client è l'applicazione che chiede l'accesso. Il server di autorizzazione emette i token dopo aver autenticato il proprietario dei dati e ottenuto il suo consenso. Il server delle risorse ospita i dati e accetta le richieste accompagnate da un token [6]. Il token di accesso sostituisce le diverse credenziali (per esempio nome utente e password) con un unico elemento comprensibile al server delle risorse. Può quindi avere una durata breve [6]. Il token di aggiornamento permette di ottenerne uno nuovo, con diritti identici o più ristretti: un token di accesso può avere una durata più breve e meno permessi di quelli concessi dal proprietario [6]. Il token più comune è il bearer token: chiunque lo possieda può usarlo. L'OWASP raccomanda quindi di limitarlo, di preferenza, a un solo server delle risorse, per ridurre i danni in caso di fuga [6]. L'applicazione, da parte sua, deve trattare il token come una stringa opaca: solo l'API interessata deve leggerne il contenuto [3]. ## Cosa fa Lei Davanti a una schermata di consenso bastano alcune verifiche. - Legga la richiesta prima di accettarla. Gli utenti spesso fanno clic su «Accetta» senza esaminare i dettagli, compresi i permessi concessi [1]. - Confronti i permessi con lo scopo dell'applicazione. Un'applicazione dovrebbe chiedere solo permessi legati al suo scopo; Microsoft porta l'esempio di un'applicazione orologio con accesso completo a tutte le caselle di posta, cosa che non corrisponde al suo scopo [1]. - Diffidi dei permessi più pesanti. MITRE ATT&CK segnala che l'accesso offline e l'accesso alla lettura delle e-mail devono destare più sospetto, perché gli attaccanti possono usare le API dei servizi online per cercarvi credenziali e comunicazioni sensibili [2]. - Guardi l'indirizzo di reindirizzamento. Se è scritto male o forma una sequenza complicata di parole attorno a un servizio atteso, il sito sta probabilmente cercando di imitare un servizio vero [2]. - Preferisca le applicazioni diffuse. Più un'applicazione è diffusa, nell'organizzazione come online, più è probabile che sia sicura [1]. - Rifiuti un'applicazione che non riconosce. MITRE ATT&CK raccomanda di formare gli utenti a non autorizzare applicazioni di terze parti sconosciute [2]. - Un amministratore può indagare sulle applicazioni sospette e rimuoverle [2]. ## Le insidie ### La falsa schermata di consenso L'attaccante registra un'applicazione presso il server di autorizzazione, poi invia un link di phishing mirato per indurre la vittima a concederle l'accesso [2]. Un esempio fornito da Microsoft: una pagina di consenso può sembrare legittima a un utente medio, mentre «Google APIs Explorer» non ha alcun motivo di chiedere permessi a Google stessa. L'applicazione può quindi essere un tentativo di phishing senza alcun legame con Google [1]. I nomi rassicuranti sono comuni. MITRE ATT&CK osserva che il gruppo APT28 ha usato applicazioni malevole che si spacciavano per «Google Defender», «Google Email Protection» e «Google Scanner» presso gli utenti di Gmail, e per «Delivery Service» e «McAfee Email Protection» presso gli utenti di Yahoo [2]. ### Il token che dura Una volta concesso il token, l'applicazione può ottenere un accesso potenzialmente duraturo alle funzioni dell'account [2]. Con un token di aggiornamento che consente l'accesso in background, un attaccante può per esempio cercare nelle e-mail ed elencare i contatti [5]. Cambiare la password non risolve sempre il problema: secondo la tabella di Microsoft, alcuni token restano attivi dopo un cambio di password da parte dell'utente [4]. ### Il token rubato senza chiederLe nulla Il furto di token non passa sempre da un consenso. MITRE ATT&CK cita anche token rubati in ambienti di container o in pipeline di sviluppo, dove servono ad autenticarsi presso altri servizi [2]. Il programma Kali365 è descritto come in grado di ottenere token di accesso e di aggiornamento OAuth ingannando le vittime perché approvassero richieste di autorizzazione del dispositivo avviate dall'attaccante [2]. ### L'applicazione dimenticata Un'applicazione autorizzata un giorno resta collegata finché nessuno la rimuove. Microsoft raccomanda di individuare le applicazioni la cui data di ultima autorizzazione non è recente: potrebbero non essere più necessarie [1]. MITRE ATT&CK chiede agli amministratori un audit di tutte le applicazioni OAuth e dei permessi concessi, seguito da audit periodici, con indagine e rimozione delle applicazioni sospette [2]. Per il dipendente, questo si traduce in un gesto semplice: ripassare ogni tanto l'elenco delle applicazioni collegate al proprio account e segnalare quelle che non riconosce. ## Fonti 1. Microsoft, «Investigate and remediate risky OAuth apps». https://learn.microsoft.com/en-us/defender-cloud-apps/investigate-risky-oauth (consultato il 3 novembre 2026) 2. MITRE ATT&CK, «Steal Application Access Token, Technique T1528 - Enterprise». https://attack.mitre.org/techniques/T1528/ (consultato il 3 novembre 2026) 3. Microsoft, «Access tokens in the Microsoft identity platform». https://learn.microsoft.com/en-us/entra/identity-platform/access-tokens (consultato il 3 novembre 2026) 4. Microsoft, «Refresh tokens in the Microsoft identity platform». https://learn.microsoft.com/en-us/entra/identity-platform/refresh-tokens (consultato il 3 novembre 2026) 5. MITRE ATT&CK, «Use Alternate Authentication Material: Application Access Token, Sub-technique T1550.001 - Enterprise». https://attack.mitre.org/techniques/T1550/001/ (consultato il 3 novembre 2026) 6. OWASP, «OAuth2 - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/OAuth2_Cheat_Sheet.html (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/oauth-2-delega-accesso-token/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.