OAuth 2.0 e i token di accesso
Come OAuth 2.0 dà a un'applicazione un accesso limitato al Suo account senza la password, e come leggere la schermata di consenso.
In 30 secondi
- Dove succede
- Molte applicazioni di terze parti installate dagli utenti chiedono il permesso di accedere ai loro dati e di accedere al loro posto ad altre applicazioni online1.
- Cosa vuole l'attaccante
- FarLe concedere l'accesso a un'applicazione malevola, per esempio dopo un link ricevuto tramite phishing mirato2.
- Il riflesso
- Prima di fare clic su «Accetta», verificare che i permessi richiesti corrispondano allo scopo dell'applicazione e rifiutare in caso contrario1.
- Se è già successo
- Un amministratore può bloccare o revocare l'applicazione1.
Di cosa si tratta
OAuth è uno standard aperto di autenticazione e autorizzazione basato su token. Consente a un servizio di terze parti di usare le informazioni di un account senza esporre la password del suo titolare1.
Si pensi a un'applicazione che analizza la Sua agenda per darLe consigli sull'organizzazione del lavoro. Ha bisogno di accedere all'agenda, ma invece di ricevere le Sue credenziali ottiene un token, creato quando Lei dà il consenso su una pagina dedicata1. Questa pagina si chiama schermata di consenso.
Domande dirette
Cosa succede quando accetto una schermata di consenso?
L'applicazione riceve un token di accesso che autorizza la condivisione di informazioni precise dell'account, e solo di quelle1. La password resta presso il fornitore dell'account.
Che cos'è un token di accesso?
È una credenziale pensata per l'autorizzazione: dà accesso a risorse precise per conto di un utente già autenticato. Microsoft lo paragona a chiavi che aprono porte precise in un edificio3. Poiché apre l'accesso, è sensibile e presenta un rischio se non è protetto bene3.
La sua durata è limitata. Sulla piattaforma di identità Microsoft, il valore predefinito viene scelto a caso tra 60 e 90 minuti, cioè 75 minuti in media3.
Che cos'è un token di aggiornamento?
Un token di aggiornamento serve a ottenere una nuova coppia di token quando il token di accesso scade. Il client lo riceve insieme al token di accesso4. Dura più a lungo: per impostazione predefinita 24 ore per le applicazioni a pagina singola e per quelle che usano il flusso di autenticazione con codice monouso inviato per e-mail, e 90 giorni in tutti gli altri scenari, sulla piattaforma Microsoft4. L'applicazione può così continuare a lavorare in background senza chiederLe il consenso a ogni scadenza.
Perché questi token interessano agli attaccanti?
Un token rubato permette di agire con i diritti dell'account. MITRE ATT&CK descrive attaccanti che usano token rubati al posto delle credenziali di accesso5. Il token di aggiornamento aggrava il rischio: se viene rubato, l'attaccante ottiene nuovi token di accesso senza coinvolgere l'utente2.
Si può togliere l'accesso a un'applicazione?
Sì. Sul lato amministrativo, un'applicazione può essere bloccata o revocata dalla pagina delle applicazioni OAuth, e una regola può automatizzare la revoca1. Sul lato dei token, il servizio può revocare un token di aggiornamento prima della scadenza, per esempio dopo un cambio di password o un'azione dell'utente o dell'amministratore4. Gli effetti variano secondo il tipo di token e la modifica effettuata4.
1Come funziona1 min
Intervengono tre attori. Il client è l'applicazione che chiede l'accesso. Il server di autorizzazione emette i token dopo aver autenticato il proprietario dei dati e ottenuto il suo consenso. Il server delle risorse ospita i dati e accetta le richieste accompagnate da un token6.
Il token di accesso sostituisce le diverse credenziali (per esempio nome utente e password) con un unico elemento comprensibile al server delle risorse. Può quindi avere una durata breve6. Il token di aggiornamento permette di ottenerne uno nuovo, con diritti identici o più ristretti: un token di accesso può avere una durata più breve e meno permessi di quelli concessi dal proprietario6.
Il token più comune è il bearer token: chiunque lo possieda può usarlo. L'OWASP raccomanda quindi di limitarlo, di preferenza, a un solo server delle risorse, per ridurre i danni in caso di fuga6. L'applicazione, da parte sua, deve trattare il token come una stringa opaca: solo l'API interessata deve leggerne il contenuto3.
2Cosa fa Lei1 min
Davanti a una schermata di consenso bastano alcune verifiche.
- Legga la richiesta prima di accettarla. Gli utenti spesso fanno clic su «Accetta» senza esaminare i dettagli, compresi i permessi concessi1.
- Confronti i permessi con lo scopo dell'applicazione. Un'applicazione dovrebbe chiedere solo permessi legati al suo scopo; Microsoft porta l'esempio di un'applicazione orologio con accesso completo a tutte le caselle di posta, cosa che non corrisponde al suo scopo1.
- Diffidi dei permessi più pesanti. MITRE ATT&CK segnala che l'accesso offline e l'accesso alla lettura delle e-mail devono destare più sospetto, perché gli attaccanti possono usare le API dei servizi online per cercarvi credenziali e comunicazioni sensibili2.
- Guardi l'indirizzo di reindirizzamento. Se è scritto male o forma una sequenza complicata di parole attorno a un servizio atteso, il sito sta probabilmente cercando di imitare un servizio vero2.
- Preferisca le applicazioni diffuse. Più un'applicazione è diffusa, nell'organizzazione come online, più è probabile che sia sicura1.
- Rifiuti un'applicazione che non riconosce. MITRE ATT&CK raccomanda di formare gli utenti a non autorizzare applicazioni di terze parti sconosciute2.
- Un amministratore può indagare sulle applicazioni sospette e rimuoverle2.
3Le insidie2 min
La falsa schermata di consenso
L'attaccante registra un'applicazione presso il server di autorizzazione, poi invia un link di phishing mirato per indurre la vittima a concederle l'accesso2. Un esempio fornito da Microsoft: una pagina di consenso può sembrare legittima a un utente medio, mentre «Google APIs Explorer» non ha alcun motivo di chiedere permessi a Google stessa. L'applicazione può quindi essere un tentativo di phishing senza alcun legame con Google1.
I nomi rassicuranti sono comuni. MITRE ATT&CK osserva che il gruppo APT28 ha usato applicazioni malevole che si spacciavano per «Google Defender», «Google Email Protection» e «Google Scanner» presso gli utenti di Gmail, e per «Delivery Service» e «McAfee Email Protection» presso gli utenti di Yahoo2.
Il token che dura
Una volta concesso il token, l'applicazione può ottenere un accesso potenzialmente duraturo alle funzioni dell'account2. Con un token di aggiornamento che consente l'accesso in background, un attaccante può per esempio cercare nelle e-mail ed elencare i contatti5. Cambiare la password non risolve sempre il problema: secondo la tabella di Microsoft, alcuni token restano attivi dopo un cambio di password da parte dell'utente4.
Il token rubato senza chiederLe nulla
Il furto di token non passa sempre da un consenso. MITRE ATT&CK cita anche token rubati in ambienti di container o in pipeline di sviluppo, dove servono ad autenticarsi presso altri servizi2. Il programma Kali365 è descritto come in grado di ottenere token di accesso e di aggiornamento OAuth ingannando le vittime perché approvassero richieste di autorizzazione del dispositivo avviate dall'attaccante2.
L'applicazione dimenticata
Un'applicazione autorizzata un giorno resta collegata finché nessuno la rimuove. Microsoft raccomanda di individuare le applicazioni la cui data di ultima autorizzazione non è recente: potrebbero non essere più necessarie1. MITRE ATT&CK chiede agli amministratori un audit di tutte le applicazioni OAuth e dei permessi concessi, seguito da audit periodici, con indagine e rimozione delle applicazioni sospette2. Per il dipendente, questo si traduce in un gesto semplice: ripassare ogni tanto l'elenco delle applicazioni collegate al proprio account e segnalare quelle che non riconosce.
Scheda
- Identificativo
- CP-194
- Ala
- 3. Protocolli e difesa
- Competenza Brain
- Controllare gli accessi (control_access)
- Riflesso Brain
- cr-026
- Schema
- G3 · Sezione anatomica
- Lingue
- de, en, es, fr, it
- Fonti
- 6 fonti verificate il 3 novembre 2026
Fonti6 fonti
- Microsoft, «Investigate and remediate risky OAuth apps». https://learn.microsoft.com/en-us/defender-cloud-apps/investigate-risky-oauth (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Steal Application Access Token, Technique T1528 - Enterprise». https://attack.mitre.org/techniques/T1528/ (consultato il 3 novembre 2026)
- Microsoft, «Access tokens in the Microsoft identity platform». https://learn.microsoft.com/en-us/entra/identity-platform/access-tokens (consultato il 3 novembre 2026)
- Microsoft, «Refresh tokens in the Microsoft identity platform». https://learn.microsoft.com/en-us/entra/identity-platform/refresh-tokens (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Use Alternate Authentication Material: Application Access Token, Sub-technique T1550.001 - Enterprise». https://attack.mitre.org/techniques/T1550/001/ (consultato il 3 novembre 2026)
- OWASP, «OAuth2 - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/OAuth2_Cheat_Sheet.html (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «OAuth 2.0 e i token di accesso», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp194_it_2026,
author = {Brain},
title = {OAuth 2.0 e i token di accesso},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/oauth-2-delega-accesso-token/},
note = {CC BY 4.0}
}