- Le chiavi di accesso sostituiscono i segreti condivisi con la crittografia asimmetrica, eliminando la vulnerabilità dei database compromessi.
- Supportano gli standard FIDO2 e WebAuthn, il che li rende intrinsecamente resistenti agli attacchi di phishing e di furto di credenziali.
- L'integrazione della biometria e della sincronizzazione cloud ottimizza l'esperienza utente riducendo drasticamente gli errori di accesso.
Sono sicuro che sia capitato anche a voi: provate ad accedere a un account e vi viene detto che la password è errata, anche se giurereste che sia la stessa che usate sempre. Per anni siamo stati incatenati a sequenze di caratteri che dovevamo ricordare, cambiare e proteggere, ma la realtà è che le password tradizionali non sono più sufficienti contro le minacce odierne. Con miliardi di credenziali che circolano sul Dark Web, continuare a fare affidamento su un semplice testo significa, in sostanza, lasciare la porta spalancata ai criminali informatici.
È qui che entra in gioco Passkeys, una proposta che promette di rendere obsolete le password tradizionali. Non si tratta di un semplice miglioramento, ma di un vero e proprio cambio di paradigma nella sicurezza informatica . Invece di condividere un segreto con il server che può essere rubato, viene utilizzata una tecnologia molto più sofisticata, che rende l'accesso ai propri account semplice come sbloccare il telefono, ma infinitamente più sicuro.
Che cosa sono esattamente le password e come funzionano?
In parole semplici, una passkey è una chiave crittografica progettata per sostituire le password . Mentre le password tradizionali erano facili da indovinare o intercettare, le passkey funzionano utilizzando un sistema di coppie di chiavi: una pubblica e una privata. È come se il server avesse la serratura e tu fossi l'unico proprietario della chiave fisica, che non lascia mai il tuo dispositivo.
Tecnicamente, tutto si basa sulla crittografia asimmetrica . Quando si crea un account, vengono generati due elementi: la chiave pubblica, che rimane sul server del servizio ed è inutile da sola, e la chiave privata, che viene memorizzata nell'hardware del dispositivo. Quest'ultima è conservata in aree ultra-sicure, come Secure Enclave di Apple, TPM di Windows e Android o Samsung Knox , che fungono da caveau isolati dal processore principale per impedire che malware possano rubarla.
Il processo di accesso è semplicissimo. Il servizio invia una sfida crittografica e il tuo dispositivo la firma con la tua chiave privata. Poiché il server possiede la chiave pubblica, può verificare l'autenticità della firma senza che la chiave privata debba mai transitare su Internet. Inoltre, ogni tentativo ha una firma a tempo che scade rapidamente, impedendo a chiunque di intercettare il segnale e riutilizzarlo in seguito.
L'evoluzione: dal dito nell'argilla allo standard FIDO2
Sebbene possa sembrare futuristico, la biometria ha origini antiche; persino a Babilonia si utilizzavano le impronte digitali su tavolette d'argilla. Tuttavia, la vera svolta moderna è iniziata nel 2012 con la creazione della FIDO Alliance , il cui obiettivo era eliminare le password. Successivamente, l'arrivo del Touch ID sull'iPhone 5S ha normalizzato l'uso delle impronte digitali, aprendo la strada a ciò che conosciamo oggi.
La vera svolta si è avuta nel 2021, quando i giganti della tecnologia hanno adottato gli standard FIDO2 e WebAuthn . Un punto di svolta fondamentale è stata l'approvazione del NIST, che ha convalidato le chiavi di accesso sincronizzate come una soluzione valida e resistente al phishing, consentendo a settori altamente restrittivi, come quello bancario e sanitario, di iniziare a farvi affidamento per la gestione dell'identità digitale.
La sfida: Passkey contro password tradizionali
Per capire perché le passkey stanno prendendo il sopravvento, dobbiamo analizzare i punti deboli delle password. Le password si basano su un segreto condiviso; se un hacker ottiene l'accesso al database del server e ruba gli hash, può lanciare attacchi di forza bruta offline. Le passkey, d'altro canto, non sono memorizzate sui server , quindi non c'è nulla di sensibile da rubare in caso di violazione di massa dei dati.
- Immunità al phishing: Grazie a WebAuthn, la chiave funziona solo sul dominio registrato. Se si accede a un sito web falso, la chiave di accesso non si attiverà.
- Addio alla stanchezza mentale: Non dovrai più preoccuparti di lettere maiuscole, numeri o simboli strani. L'accesso è istantaneo. riconoscimento facciale o impronta digitale.
- Sicurezza intrinseca: Non importa se l'utente è negligente; ogni password è robusta per definizione e non può essere indovinata tramite ingegneria sociale.
Dal punto di vista aziendale, il cambiamento è radicale. Le aziende hanno riscontrato una diminuzione degli abbandoni da parte degli utenti durante il login e un calo delle chiamate all'assistenza tecnica per "password dimenticata" fino all'81%, con conseguenti enormi risparmi operativi.
Tipologie di password e compatibilità attuale
Non tutte le password sono uguali. Esistono password multi-dispositivo , le più comode per l'utente medio, poiché si sincronizzano tramite iCloud, Google Password Manager o Microsoft, consentendo di passare senza problemi da tablet a smartphone. Esistono poi le password vincolate al dispositivo , la soluzione ideale per le aziende con rigide politiche di sicurezza, in quanto la password non può essere copiata o spostata da uno specifico dispositivo hardware.
Per quanto riguarda chi ha già aderito, la lista è lunga. Nel campo dei sistemi operativi, Apple (iOS 16+), Android (9+) e Windows (10 e 11) sono all'avanguardia. Browser come Chrome, Edge e Safari li supportano già completamente, mentre Firefox lo fa in modo più limitato.
Osservando le app, colossi come Amazon, PayPal, GitHub, TikTok e Coinbase permettono già di fare a meno della password. Persino i gestori di password di terze parti come 1Password e Bitwarden si sono adattati per memorizzare queste chiavi, evitando di vincolarci completamente a un singolo ecosistema.
Sfide, limitazioni e strategia aziendale
Certo, non è tutto rose e fiori e ci sono ancora degli ostacoli da superare. La dipendenza dall'ecosistema rimane un problema; se si utilizza iCloud e si passa ad Android, il trasferimento delle chiavi non è ancora così semplice, sebbene il Credential Exchange Protocol di FIDO miri a risolvere questo problema. Inoltre, gli account condivisi tra più dipendenti rappresentano un grattacapo, poiché le chiavi di accesso sono per loro natura personali.
Per le aziende che desiderano effettuare il passaggio, l'approccio ideale è evitare cambiamenti drastici. Si consiglia di iniziare con un'implementazione ibrida , in cui la chiave di accesso è l'opzione preferita, ma la password rimane come backup. In seguito, si può eliminare l'incomodo obbligo di cambiare la password ogni 90 giorni e, in definitiva, l'obiettivo è quello di realizzare un ambiente completamente senza password , utilizzando solo chiavi fisiche FIDO2 o dati biometrici.
In termini di conformità, le passkey rappresentano la via più breve per raggiungere gli standard NIST AAL2 e AAL3 e l'architettura Zero Trust. Basate sul principio "mai fidarsi, sempre verificare", garantiscono che ogni sessione costituisca un'autentica prova crittografica della proprietà del dispositivo, rispettando al contempo normative come il GDPR, riducendo la quantità di dati personali esposti.
Il percorso verso la completa eliminazione delle password sembra inevitabile. Sebbene utilizziamo ancora gestori di chiavi e metodi tradizionali, la combinazione di biometria e crittografia asimmetrica ha creato uno scudo pressoché impenetrabile. In definitiva, l'obiettivo è che la sicurezza smetta di essere un peso per l'utente e diventi un processo invisibile che protegga la nostra identità digitale senza che dobbiamo ricordare un singolo carattere.
