Da anni si parla della "fine delle password", e per la prima volta esiste una tecnologia che la rende concreta per l'utente comune: le passkey. Molti servizi le propongono già al momento dell'accesso con un messaggio del tipo "Vuoi creare una passkey?". Capire cosa succede dietro quel pulsante aiuta a usarle con fiducia e a evitare sorprese.
Il problema che risolvono
Una password è un segreto condiviso: lo conosci tu e lo conosce, in qualche forma, il server. Questo crea due debolezze. La prima è che il segreto può essere rubato dal server durante una violazione. La seconda è che tu puoi essere indotto a digitarlo su un sito falso. Le passkey eliminano entrambe le debolezze perché non c'è più un segreto da digitare né da conservare sul server.
Come funzionano, senza formule
Quando crei una passkey per un servizio, il tuo dispositivo genera una coppia di chiavi:
- una chiave privata, che resta sul dispositivo (o nel tuo portachiavi cifrato) e non viene mai inviata a nessuno;
- una chiave pubblica, che viene consegnata al servizio.
Al momento dell'accesso il servizio invia una sfida, cioè un dato casuale. Il dispositivo la firma con la chiave privata, dopo che tu hai confermato con impronta, volto o PIN. Il server verifica la firma con la chiave pubblica. Se corrisponde, sei dentro.
Il punto cruciale è che la passkey è legata al dominio del sito per cui è stata creata. Se un truffatore ti porta su una copia della pagina della tua banca con un indirizzo diverso, il dispositivo non trova alcuna passkey valida per quel dominio e non firma nulla. Non c'è niente da rubare e niente da digitare per errore.
Tecnicamente si basano sugli standard FIDO2 e WebAuthn, gli stessi delle chiavi di sicurezza fisiche.
Impronta e volto: chi li vede?
Una preoccupazione frequente riguarda i dati biometrici. Con le passkey, l'impronta o il volto servono solo a sbloccare localmente il dispositivo: non vengono inviati al sito. Il servizio riceve soltanto una firma crittografica. Se preferisci, puoi usare il PIN del dispositivo al posto della biometria.
Dove vengono salvate
Ci sono due modalità principali:
- Passkey sincronizzate: vengono salvate nel portachiavi del sistema (per esempio quello di Apple o di Google) o in un password manager compatibile, cifrate e sincronizzate tra i tuoi dispositivi. Se cambi telefono, le ritrovi.
- Passkey legate a un solo dispositivo: restano su una chiave di sicurezza fisica o su un singolo dispositivo. Sono le più controllabili, ma se perdi quel dispositivo perdi anche la passkey.
Per la maggior parte delle persone le passkey sincronizzate sono la scelta più pratica. Chi gestisce account particolarmente sensibili può preferire una chiave fisica.
Accedere da un computer non tuo
Se devi entrare da un computer su cui non hai la passkey, molti servizi mostrano un codice QR: lo inquadri con il telefono, confermi con l'impronta, e il telefono autorizza l'accesso tramite una connessione Bluetooth di prossimità. La vicinanza fisica richiesta rende difficile sfruttare questo meccanismo a distanza.
Cosa fare se perdi il telefono
È la domanda più importante, e la risposta dipende da come ti sei preparato:
- se le passkey sono sincronizzate, recuperi l'accesso ripristinando il tuo account Apple, Google o del password manager su un nuovo dispositivo; per questo l'account che custodisce le passkey deve avere metodi di recupero aggiornati;
- conviene registrare più di un metodo su ogni servizio importante: una seconda passkey su un altro dispositivo, una chiave fisica, o un'app di autenticazione;
- conserva i codici di recupero offerti dai servizi.
Limiti attuali
Le passkey non sono ancora disponibili ovunque, e l'esperienza varia tra sistemi operativi, browser e password manager. Alcuni servizi mantengono comunque la password come alternativa: in quel caso la sicurezza complessiva dipende anche da quella password, che conviene rendere unica e lunga. Lo spostamento delle passkey tra ecosistemi diversi è in miglioramento, ma richiede ancora attenzione.
Come iniziare
- Parti dagli account dove l'opzione è già offerta: email, account del telefono, password manager.
- Crea la passkey dalle impostazioni di sicurezza del servizio, non da link ricevuti.
- Verifica che sia stata sincronizzata, accedendo da un secondo dispositivo.
- Mantieni almeno un metodo di riserva per ciascun account.
In sintesi
- Le passkey sostituiscono la password con una coppia di chiavi: quella privata non lascia mai il dispositivo.
- Sono legate al dominio del sito, quindi resistono al phishing per costruzione.
- Impronta o volto restano sul dispositivo e servono solo a sbloccarlo.
- Le passkey sincronizzate sopravvivono al cambio di telefono, se l'account che le custodisce è ben protetto.
- Registra sempre un metodo di accesso di riserva.