Indice dei contenuti
Per anni ci siamo sentiti ripetere gli stessi consigli: utilizzare password lunghe, non riutilizzarle su più servizi, attivare l’autenticazione a due fattori e diffidare dei messaggi sospetti.
Sono raccomandazioni ancora importanti, ma il problema di fondo rimane: le password sono difficili da gestire e possono essere rubate, indovinate o inserite accidentalmente su siti falsi.
Negli ultimi anni si è diffusa un’alternativa molto interessante: le passkey.
In molti casi permettono di accedere a un account utilizzando il riconoscimento biometrico del dispositivo, un PIN o un altro metodo di sblocco locale, senza dover digitare una password tradizionale.
Ma come funzionano davvero? E soprattutto, perché vengono considerate più resistenti al phishing? Vediamolo con calma. 🔐
Che cos’è una passkey?
Una passkey è una credenziale digitale basata su crittografia a chiave pubblica, progettata per autenticare un utente a un servizio.
Quando registri una passkey, il dispositivo o il gestore delle credenziali crea una coppia di chiavi crittografiche:
- Chiave privata: rimane sotto il controllo dell’autenticatore e viene utilizzata per dimostrare il possesso della credenziale.
- Chiave pubblica: viene registrata dal servizio online.
Durante l’accesso, il servizio invia una richiesta crittografica che viene soddisfatta attraverso la chiave privata.
Il server verifica la risposta utilizzando la chiave pubblica precedentemente registrata.
La differenza rispetto a una password è fondamentale: non devi inviare al sito un segreto condiviso che potrebbe essere riutilizzato da un attaccante.
Passkey, FIDO2 e WebAuthn: facciamo chiarezza
Quando si parla di passkey, compaiono spesso termini come FIDO2, WebAuthn e CTAP.
Non indicano esattamente la stessa cosa.
WebAuthn è uno standard web che permette ai siti di utilizzare autenticazione basata su credenziali crittografiche.
CTAP è un protocollo utilizzato per la comunicazione con determinati autenticatori esterni.
FIDO2 comprende tecnologie e specifiche che permettono di realizzare autenticazione moderna e resistente al phishing.
Le passkey rappresentano un modo particolarmente accessibile di utilizzare queste tecnologie.
Puoi approfondire consultando la FIDO Alliance e la specifica WebAuthn del W3C.
1. Come si crea una passkey?
Il processo di registrazione può variare leggermente in base al servizio e al dispositivo.
In generale, funziona così:
- accedi alle impostazioni di sicurezza dell’account;
- scegli di aggiungere una passkey;
- il dispositivo crea una nuova credenziale crittografica;
- confermi l’operazione attraverso il metodo di verifica previsto;
- il servizio registra la chiave pubblica associata all’account.
📱 Su uno smartphone, la conferma può avvenire attraverso impronta digitale, riconoscimento del volto o PIN.
La biometria non viene normalmente inviata al sito web come password: viene utilizzata localmente dal dispositivo per autorizzare l’operazione, secondo il sistema di autenticazione adottato.
2. Come funziona l’accesso senza password?
Quando torni sul sito, il browser può proporti di utilizzare la passkey già registrata.
Dopo aver selezionato la credenziale, il dispositivo richiede eventualmente una verifica locale.
L’autenticatore produce una risposta crittografica legata alla richiesta del servizio e al contesto dell’autenticazione.
Il server verifica la risposta e, se tutto è corretto, consente l’accesso.
✨ Dal punto di vista dell’utente, l’operazione può richiedere soltanto pochi secondi.
Non è necessario ricordare una stringa complessa o copiare codici temporanei, a condizione che il servizio e il dispositivo supportino il flusso previsto.
3. Perché le passkey sono resistenti al phishing?
Questo è uno dei vantaggi più importanti.
Con una password tradizionale, un attaccante può creare una pagina falsa che assomiglia a quella del servizio originale e convincerti a inserire le credenziali.
Se inserisci la password nel sito fraudolento, l’attaccante potrebbe utilizzarla sul servizio legittimo.
Le passkey basate su WebAuthn sono invece associate all’identità del servizio, attraverso il meccanismo di verifica dell’origine e del relying party ID.
Questo significa che una credenziale registrata per un determinato servizio non può essere semplicemente utilizzata da una pagina ospitata su un dominio fraudolento differente.
🔐 Il risultato è una protezione molto più forte contro numerosi attacchi di phishing delle credenziali.
Naturalmente, questo non rende impossibili tutte le forme di frode. Un attaccante può ancora tentare di ingannare l’utente attraverso procedure di recupero account, assistenza falsa o altri canali.
4. Le passkey sono tutte uguali?
Non esattamente.
Una distinzione importante riguarda le credenziali sincronizzabili e quelle legate a un singolo dispositivo.
Passkey sincronizzabili
Alcuni sistemi permettono di sincronizzare le passkey tra dispositivi attraverso un gestore di credenziali compatibile.
Questo rende più semplice utilizzare lo stesso account su smartphone, tablet e computer.
La sicurezza dipende anche dalla protezione del sistema di sincronizzazione e dell’account utilizzato per gestirlo.
Credenziali legate al dispositivo
Altre credenziali rimangono associate a un autenticatore specifico, come una chiave hardware di sicurezza.
Questa soluzione può essere particolarmente interessante in ambienti che richiedono controlli più rigidi sulla gestione delle credenziali.
Non esiste una scelta universale: comodità, recuperabilità e requisiti di sicurezza devono essere valutati insieme.
5. Cosa succede se perdi lo smartphone?
È una delle preoccupazioni più comuni.
Se una passkey è sincronizzata attraverso un gestore compatibile, potresti recuperarla su un altro dispositivo dopo aver ripristinato l’accesso al relativo account.
Se invece la credenziale è legata esclusivamente al dispositivo smarrito, potrebbe non essere recuperabile.
Per questo è importante verificare le opzioni offerte dal servizio:
- registrazione di più passkey;
- utilizzo di dispositivi differenti;
- chiavi hardware di riserva;
- metodi di recupero account;
- procedure per revocare credenziali non più disponibili.
📌 Una buona pratica consiste nel registrare più di un metodo di accesso affidabile, soprattutto per account amministrativi o particolarmente importanti.
6. Passkey e autenticazione a due fattori
Le passkey possono combinare il possesso di una credenziale crittografica con una verifica locale dell’utente, per esempio attraverso PIN o biometria.
In determinate configurazioni, questo permette di soddisfare requisiti di autenticazione multifattore attraverso un’unica esperienza di accesso.
Non significa però che qualsiasi utilizzo di una passkey soddisfi automaticamente ogni requisito MFA.
Dipende dal tipo di autenticatore, dalla verifica effettivamente eseguita e dalle politiche di sicurezza del servizio.
Per sistemi aziendali e ambienti regolamentati, è importante verificare che l’implementazione rispetti i requisiti applicabili.
7. Le passkey eliminano completamente le password?
Non ancora in tutti i servizi.
Molte piattaforme consentono di registrare una passkey mantenendo comunque la password come metodo alternativo.
Questo significa che l’account potrebbe continuare a essere esposto ai rischi legati alle credenziali tradizionali, soprattutto se il metodo alternativo non è protetto adeguatamente.
Per ottenere i maggiori benefici, il servizio deve progettare con attenzione anche:
- metodi di recupero;
- registrazione di nuovi dispositivi;
- revoca delle credenziali;
- protezione delle sessioni;
- eventuali metodi di accesso alternativi.
Una passkey molto sicura non può compensare completamente una procedura di recupero account vulnerabile.
8. Come integrare le passkey in un’applicazione web?
Per uno sviluppatore, l’integrazione passa generalmente attraverso le API WebAuthn disponibili nei browser compatibili.
Il processo comprende due fasi principali:
- Registrazione: creazione della credenziale e memorizzazione dei dati pubblici necessari sul server.
- Autenticazione: generazione di una challenge, verifica della risposta e associazione all’utente corretto.
È essenziale gestire correttamente challenge, origine, relying party ID, firme, contatori quando applicabili e verifica dell’utente secondo i requisiti del servizio.
Per questo è generalmente preferibile utilizzare librerie WebAuthn consolidate anziché implementare manualmente tutti i dettagli crittografici.
La documentazione di MDN sulla Web Authentication API è un ottimo punto di partenza per comprenderne il funzionamento.
9. Passkey e privacy: che cosa viene condiviso?
Le passkey non richiedono normalmente che il sito riceva un’impronta digitale o una scansione del volto.
La verifica biometrica, quando utilizzata, viene gestita localmente dall’autenticatore.
Il servizio riceve invece le informazioni crittografiche e i dati di autenticazione previsti dal protocollo.
Questo riduce la necessità di condividere segreti riutilizzabili e può migliorare la protezione dell’account.
Rimangono comunque importanti le normali misure di sicurezza applicativa: protezione delle sessioni, autorizzazione, monitoraggio degli accessi e gestione dei dati personali.
10. Conviene iniziare a utilizzare le passkey?
Per molti utenti, sì, soprattutto quando il servizio offre un’implementazione affidabile e procedure di recupero adeguate.
Le passkey possono rendere gli accessi più rapidi e ridurre significativamente il rischio di furto delle credenziali attraverso siti di phishing.
Prima di adottarle per account importanti, verifica però:
- 🔑 dove vengono conservate le credenziali;
- 📱 se possono essere sincronizzate;
- 💻 quali dispositivi sono compatibili;
- 🛟 come funziona il recupero account;
- 🔐 se sono disponibili credenziali di riserva;
- 🚫 come revocare una passkey in caso di smarrimento.
Conclusione: meno password, ma soprattutto accessi più sicuri 🚀
Le passkey rappresentano un’evoluzione importante dell’autenticazione digitale.
Il loro valore non consiste soltanto nella comodità di accedere con un’impronta digitale o con il PIN del dispositivo, ma soprattutto nell’utilizzo di credenziali crittografiche progettate per resistere a molti attacchi che colpiscono le password tradizionali.
Non eliminano ogni rischio e richiedono attenzione nella gestione dei dispositivi e delle procedure di recupero.
Ma segnano un cambiamento significativo: invece di chiedere continuamente agli utenti di inventare e ricordare segreti sempre più complessi, possiamo costruire sistemi in cui il segreto non deve essere digitato e condiviso a ogni accesso.
Ed è probabilmente questa la direzione più interessante per il futuro della sicurezza degli account. 🔑