- Le passkey utilizzano la crittografia a chiave pubblica e sostituiscono la memorizzazione delle password.
- Sono resistenti al phishing e non vengono esposti alle violazioni: la chiave privata non lascia mai il dispositivo.
- Ampia compatibilità con iOS, Android, Windows e browser moderni; adozione da parte dei principali servizi.
- Sono disponibili passkey sincronizzate e collegate al dispositivo per bilanciare comodità e controllo.
Se da anni hai difficoltà a ricordare combinazioni di password impossibili da memorizzare, non sei solo: le password sono diventate il prezzo da pagare per accedere ai servizi online. La buona notizia è che PassKeys è pronta a cambiare questa routine , rendendo gli accessi più sicuri e pratici, senza bisogno di memorizzare nulla.
Dietro questa rivoluzione si cela un forte consenso nel settore: Apple, Google e Microsoft, tra gli altri, hanno adottato uno standard comune per eliminare la dipendenza dalle password. L'obiettivo è ridurre frodi, fughe di dati e attriti con un sistema basato sulla crittografia moderna e sulla verifica dell'utente direttamente sul dispositivo.
Cos'è una passkey e come funziona?
Una chiave di accesso (o passkey) non è una password mascherata, bensì un metodo di autenticazione basato su coppie di chiavi crittografiche. Invece di digitare una sequenza di caratteri, si convalida la propria identità con il dispositivo utilizzando dati biometrici (impronta digitale o riconoscimento facciale) o un PIN locale.
Quando crei una password per un servizio, il tuo telefono cellulare o computer genera due elementi: una chiave pubblica e una chiave privata. La chiave pubblica viene memorizzata sul server del servizio , mentre la chiave privata rimane al sicuro sul tuo dispositivo e non viene mai condivisa.
Crittografia asimmetrica: due chiavi che lavorano insieme
Il sistema è noto come crittografia a chiave pubblica. La chiave privata firma le richieste inviate dal server e la chiave pubblica verifica tale firma. Ciò consente al servizio di verificare la tua identità senza dover conoscere o ricevere alcuna informazione sensibile.
È importante sottolineare quanto segue: la chiave privata non viene trasmessa al server né esposta. Viene utilizzata solo localmente per firmare la sfida temporanea , il che rappresenta una differenza cruciale rispetto alle password tradizionali.
Flusso di autenticazione passo dopo passo
Quando effettui l'accesso, il servizio genera una richiesta di verifica e il tuo dispositivo ti chiede di confermare l'identità (tramite dati biometrici o PIN). Se ti identifichi correttamente, il dispositivo firma la richiesta con la tua chiave privata e invia la risposta firmata. Il server, utilizzando la chiave pubblica memorizzata, convalida la firma e ti concede l'accesso.
Inoltre, per evitare il riutilizzo, queste verifiche hanno un periodo di validità limitato e sono associate al dominio corretto. Questo collegamento al dominio previene gli attacchi di phishing , anche se un impostore tenta di ingannarvi inducendovi ad acquistare un sito web falso dall'aspetto identico.
Dove viene conservata la chiave privata?
I dispositivi moderni memorizzano la chiave privata in aree sicure di hardware o software protetti. iPhone, iPad e Mac utilizzano Secure Enclave; Android e Windows utilizzano TPM o soluzioni equivalenti ; e i dispositivi Samsung utilizzano Knox. Questi "caveau" sono isolati per ridurre al minimo il rischio di malware o accessi non autorizzati.
In molti casi, le password vengono sincronizzate in modo sicuro tra i dispositivi tramite i servizi integrati in ciascun ecosistema (come iCloud o Google Password Manager). Questa sincronizzazione semplifica l'accesso da più dispositivi affidabili senza compromettere la sicurezza o la facilità d'uso.
Passkey vs. password: differenze chiave
La differenza rispetto alle password tradizionali è evidente. Con Passkeys non si creano né si memorizzano segreti deboli , eliminando così i tipici errori (riutilizzo, combinazioni deboli, digitazione su siti web falsi, ecc.).
Un'altra differenza fondamentale riguarda la posizione in cui risiede il valore. Le password sono solitamente memorizzate (o derivate) sui server e possono essere compromesse in caso di violazione dei dati; con le chiavi di accesso, il server possiede solo la chiave pubblica, che è inutile senza la chiave privata dell'utente.
Creazione e gestione
Creare una password sicura è complicato: deve essere lunga, univoca e casuale per ogni account. Con Passkeys, non devi configurare nulla: il tuo dispositivo genera la coppia di chiavi ed è subito pronto all'uso con il tuo solito metodo di sblocco.
Resistenza al phishing
Gli attacchi di spoofing cercano di indurti a inserire le tue credenziali su siti web falsi. Con le passkey, non devi digitare alcun segreto e la firma è collegata al dominio legittimo , quindi un sito web fraudolento non può rubare ciò che non viene inserito.
Esposizione in spazi vuoti
Se un servizio subisce una violazione e il suo database viene compromesso, con le password il disastro può estendersi ad altri account in cui sono state riutilizzate. Con le chiavi di accesso, sul server è presente solo la chiave pubblica, che è inutile senza la sua controparte privata , che si conserva personalmente.
Compatibilità attuale
Le password funzionano ovunque. Le chiavi di accesso sono già diffuse, ma non hanno ancora raggiunto tutte le piattaforme . Per questo motivo coesistono con le password e l'autenticazione a due fattori, sebbene la loro diffusione cresca di mese in mese.
Vantaggi delle chiavi di accesso
L'elenco dei vantaggi è allettante. Il principale: sicurezza "predefinita" senza dover fare affidamento sulla memoria . Non c'è bisogno di ricordare stringhe, niente riutilizzo e niente errori di battitura.
- Antiphishing e antikeylogger: Non si digitano password, quindi un sito falso o un keylogger non ottengono nulla.
- Maggiore privacy: I dati biometrici non lasciano il dispositivo e la chiave privata non viene mai condivisa.
- Vero comfort: La biometria o i PIN locali sostituiscono la noia delle password, con meno attriti e meno abbandoni di accesso.
- Impatto sui costi: meno ripristini e meno "patch" 2FA Riduce il carico di lavoro dei team tecnici e di supporto.
Oltre a tutto ciò, le passkey offrono un tipo di autenticazione a più fattori integrata: qualcosa che possiedi (il tuo dispositivo) e qualcosa che sei o conosci (dati biometrici o PIN). Questa combinazione è standard e, nella maggior parte dei casi, non richiede passaggi aggiuntivi da parte dell'utente.
Svantaggi e limitazioni attuali
Non tutto è perfetto. L'adozione è ancora incompleta e alcuni servizi non li supportano , quindi in certi casi dovrai continuare a usare le password.
Un altro punto critico è il ripristino. Se perdi tutti i tuoi dispositivi e non disponi di un backup/sincronizzazione , per riottenere l'accesso potrebbero essere necessari metodi alternativi o l'assistenza del fornitore.
Esiste anche una dipendenza dall'ecosistema. Molte chiavi di accesso si sincronizzano tramite iCloud, Google Password Manager o soluzioni equivalenti , che potrebbero non essere adatte a tutti gli ambienti o alle policy.
Infine, la gestione di sistemi diversi può risultare complessa se non si utilizza un gestore compatibile. A volte , per accedere a un'altra piattaforma, è necessario il dispositivo originale o un bridge di sincronizzazione .
Le basi tecniche sono mature e la compatibilità è ampia. Sui sistemi Apple, iOS 16 e versioni successive, e macOS Ventura 13+, è già supportato Passkeys , integrato con Face ID e Touch ID.
Per quanto riguarda Android, i dispositivi con Android 9 (Pie) o versioni successive sono compatibili , con Google Password Manager che gestisce la sincronizzazione tra i dispositivi dello stesso utente.
In Windows, Windows 10 e 11 integrano le password in Windows 11 tramite Windows Hello , che unifica la verifica tramite PIN locale, impronta digitale o riconoscimento facciale su dispositivi compatibili.
E per quanto riguarda i browser? Google Chrome 109+, Apple Safari 16+ e Microsoft Edge 109+ includono il supporto, mentre Firefox lo offre in modo più limitato e in continua evoluzione.
L'elenco dei servizi che hanno già aderito all'iniziativa è in continua crescita. Tra i nomi più noti figurano Apple, Google, Microsoft, Amazon, PayPal, Best Buy e Adobe , oltre a numerose piattaforme e rivenditori.
- Commercio elettronico: Amazon, Walmart, Best Buy, Target, Shopify, Kayak.
- Social Networking: X (Twitter), LinkedIn, TikTok.
- Finanze e pagamenti: Coinbase, Robinhood, Stripe, PayPal, Affirm.
- Sviluppo e repository: GitHub, Bitbucket; oltre al supporto per servizi come Dropbox.
Molte altre piattaforme sono in fase di implementazione o di test. Se durante l'aggiornamento del tuo account trovi l'opzione "Crea chiave di accesso", significa che il servizio la supporta già, almeno come alternativa alla password.
Tipi di passkey: sincronizzati e collegati al dispositivo
Non tutte le chiavi di accesso sono uguali. Le chiavi di accesso multi-dispositivo (sincronizzate) privilegiano la comodità dell'utente finale , replicandosi in modo sicuro su tutti i dispositivi di fiducia all'interno dello stesso ecosistema.
Al contrario, esistono chiavi di accesso legate a un singolo dispositivo che non possono essere copiate. Questo approccio è interessante per le aziende con politiche rigorose , dove la portabilità viene sacrificata a favore del controllo e della sicurezza.
Sicurezza avanzata: sfida alla scadenza, associazione di dominio e MFA
Oltre alla crittografia a chiave pubblica, il protocollo aggiunge ulteriori protezioni. Le firme digitali scadono immediatamente per impedirne il riutilizzo e sono associate al dominio corretto, impedendo a un sito web falso di "validare" le firme.
La verifica biometrica, o PIN, fornisce il secondo tassello del puzzle: senza questo passaggio locale, la chiave privata non può essere utilizzata . Ciò significa che anche se qualcuno ha il dispositivo in mano, non può autenticarsi senza la tua verifica.
Nel complesso, stiamo parlando di una sorta di autenticazione a più fattori in un unico passaggio. Il risultato è un'autenticazione forte con meno complicazioni rispetto alle tradizionali combinazioni nome utente+password+autenticazione a due fattori.
Buone pratiche, recupero password e coesistenza
Se perdi il telefono o il computer, non farti prendere dal panico. La maggior parte delle piattaforme offre meccanismi di recupero : un altro dispositivo precedentemente collegato, codici di backup o metodi alternativi.
È consigliabile abilitare le opzioni di copia e sincronizzazione delle password, quando disponibili. Se utilizzi più sistemi, valuta l'utilizzo di un gestore di password che supporti le password per mantenerle accessibili e sicure su tutte le piattaforme.
Poiché non tutti i servizi hanno ancora effettuato il passaggio, dovrete continuare a utilizzare le password per un po' di tempo. Laddove non siano disponibili le chiavi di accesso, utilizzate password complesse e l'autenticazione a due fattori (2FA) o a più fattori (MFA) (preferibilmente tramite app di autenticazione anziché SMS) per ridurre i rischi.
Ricorda inoltre che i dati biometrici vengono elaborati sul tuo dispositivo. Il fornitore non riceve la tua impronta digitale o il tuo volto , ma solo la conferma dell'avvenuta verifica locale, tutelando così la tua privacy.
Standard e supporto istituzionale
Non si tratta della magia di un singolo produttore. Le chiavi di accesso si basano sugli standard FIDO2 e WebAuthn del W3C , promossi dalla FIDO Alliance in collaborazione con i principali fornitori.
Questo framework aperto permette a browser, sistemi operativi e servizi di comunicare secondo lo stesso linguaggio. Grazie a ciò, l'esperienza utente è coerente e la sicurezza è verificabile da terze parti.
Una tappa fondamentale è stata il riconoscimento delle chiavi di accesso sincronizzate da parte del NIST nel suo supplemento allo standard SP 800-63B. Questo riconoscimento istituzionale sta favorendo la loro adozione in settori regolamentati come quello bancario e sanitario, dove il phishing e le frodi rappresentano problematiche critiche.
Per gli sviluppatori: integrazione senza problemi
Se sviluppate prodotti digitali, non c'è bisogno di reinventare la crittografia. I moderni provider di identità offrono già chiavi di accesso predefinite all'interno dei loro flussi di login.
Se hai bisogno di un controllo granulare sul backend, sono disponibili librerie WebAuthn per vari linguaggi per gestire la verifica delle sfide e l'archiviazione delle chiavi pubbliche. Su dispositivi mobili, Apple Authentication Services e Google Identity Services semplificano l'integrazione dell'esperienza nativa.
Esistono anche piattaforme dedicate che forniscono SDK, opzioni di personalizzazione e strumenti di analisi per accelerare i progetti di gestione delle password. Soluzioni come OwnID semplificano l'implementazione con poche righe di codice , garantendo al contempo la conformità e un'esperienza utente fluida.
Casi d'uso e scenari pratici
Nell'e-commerce, accessi rapidi e sicuri riducono l'abbandono del carrello. Nel settore finanziario, la protezione anti-phishing e l'autenticazione a più fattori integrata sono particolarmente preziose a causa del rischio di frode.
Nelle aziende, le chiavi di accesso collegate ai dispositivi consentono di controllare gli accessi interni. Per le piattaforme SaaS e per i consumatori, le chiavi di accesso sincronizzate offrono un migliore equilibrio tra sicurezza e praticità , riducendo le richieste di assistenza per "password dimenticata".
Domande frequenti
Le chiavi di accesso sono più sicure delle password?
Sì. Sono resistenti al phishing, impossibili da indovinare e non vengono esposte in caso di violazione dei dati perché la chiave privata non lascia mai il dispositivo.
Possono essere hackerati?
Nessun sistema di sicurezza è infallibile, ma la progettazione riduce al minimo le superfici di attacco. Anche se un server viene attaccato, si ottiene solo la chiave pubblica , che è inutile senza la corrispondente chiave privata e la verifica locale.
Funzionano ovunque?
Non ancora. La copertura sta crescendo rapidamente, ma dovrai ancora utilizzare le password per alcuni servizi . Abilita l'autenticazione a due fattori (2FA) dove non sono disponibili le password.
Cosa succede se perdo il telefono?
Attiva il ripristino utilizzando dispositivi o codici di backup. Se sincronizzi le chiavi di accesso con il tuo cloud di fiducia, puoi ripristinarle su un nuovo dispositivo con il tuo account.
Ho bisogno di gestori di password?
Non è obbligatorio, ma è utile se si utilizzano più sistemi o si desidera una copia più portatile. Alcuni gestori di password memorizzano già sia le password che le chiavi di accesso per centralizzare tutto.
Posso continuare a utilizzare la mia password se abilito le passkey?
In molti servizi, sì, per motivi di compatibilità. Se hai la possibilità, dai la priorità al codice di accesso e lascia la password come metodo di autenticazione tradizionale, permettendo ai due sistemi di coesistere.
Quali dati biometrici vengono utilizzati e inviati al server?
Vengono utilizzati i dati biometrici che già usi per sbloccare il tuo dispositivo (impronta digitale o riconoscimento facciale). Queste informazioni non vengono condivise; vengono utilizzate solo per confermare localmente che la verifica è andata a buon fine.
Le passkey sono state create per risolvere i problemi principali delle password: eliminano la necessità di memorizzarle, proteggono dal phishing e riducono l'impatto delle violazioni dei dati, offrendo al contempo un'esperienza fluida sul proprio dispositivo. Grazie al supporto di Apple, Google, Microsoft e standard aperti come FIDO2/WebAuthn , la loro adozione è in crescita su sistemi, browser e servizi principali (e-commerce, reti, finanza e sviluppo). Sebbene coesistano con le password, abilitare le passkey laddove disponibili e mantenere l'autenticazione a due fattori (2FA) altrove è attualmente il modo più sensato per migliorare la sicurezza senza complicare le cose.
