Passkey e FIDO: accedere senza password in modo più sicuro
Le passkey hanno trasformato in realtà l'accesso senza password. Vediamo come funzionano, perché resistono al phishing e cosa considerare quando vengono integrate in un sito o in un'applicazione.
Quando pubblicai la prima versione di questo articolo, nel 2022, l’accesso senza password era soprattutto una promessa. Apple, Google e Microsoft stavano iniziando a integrare nei propri sistemi una tecnologia basata sugli standard FIDO.
Oggi quella tecnologia ha un nome riconoscibile: passkey. È già disponibile nei principali sistemi operativi e browser e viene utilizzata da un numero crescente di servizi.
Una passkey permette di accedere a un sito o a un’applicazione usando lo stesso gesto con cui si sblocca il proprio dispositivo: impronta digitale, riconoscimento del volto, PIN o codice del dispositivo. Non bisogna inventare, ricordare o digitare una nuova password.
Che cosa sono FIDO e le passkey
FIDO definisce standard aperti per autenticare una persona senza trasmettere un segreto condiviso, come avviene con una password.
Le passkey sono credenziali costruite sugli standard FIDO2, che comprendono WebAuthn per i siti web e i protocolli necessari per comunicare con i dispositivi di autenticazione.
Quando crei una passkey vengono generate due chiavi crittografiche collegate:
- una chiave pubblica, conservata dal sito o dall’applicazione;
- una chiave privata, custodita sul dispositivo, in un gestore di credenziali oppure in una chiave di sicurezza fisica.
Durante l’accesso il servizio invia una richiesta che può essere soddisfatta soltanto con la chiave privata corretta. Il dispositivo chiede quindi di confermare l’operazione con il metodo di sblocco configurato.
La chiave privata non viene comunicata al sito. Anche i dati biometrici restano sul dispositivo: il server riceve la conferma che la verifica è riuscita, non l’impronta digitale o l’immagine del volto.
Perché una passkey protegge meglio dal phishing
Una password può essere copiata, riutilizzata su più servizi o inserita per errore in un sito contraffatto. Una passkey, invece, è associata al sito per cui è stata creata.
Se una pagina di phishing imita perfettamente il servizio originale ma utilizza un altro dominio, il browser non le mette a disposizione la passkey corretta. Non esiste inoltre una password che la persona possa essere convinta a comunicare.
Anche un’eventuale violazione dell’archivio del servizio espone soltanto le chiavi pubbliche. Queste non permettono di ricostruire le chiavi private necessarie per accedere agli account.
Passkey sincronizzate e legate a un dispositivo
Non tutte le passkey vengono conservate nello stesso modo.
Le passkey sincronizzate possono essere rese disponibili sugli altri dispositivi collegati allo stesso gestore di credenziali. È il caso, per esempio, dei sistemi integrati nei principali ecosistemi e di alcuni gestori di password. La sincronizzazione è cifrata end-to-end.
Le passkey legate a un dispositivo restano invece su uno specifico computer, telefono o dispositivo hardware. Le chiavi di sicurezza fisiche sono utili soprattutto quando è richiesto un livello di garanzia elevato o quando non si desidera dipendere dalla sincronizzazione tramite cloud.
È inoltre possibile accedere su un computer utilizzando la passkey presente sul telefono. In genere viene mostrato un codice QR e la vicinanza tra i dispositivi viene verificata tramite Bluetooth; l’autenticazione vera e propria resta protetta crittograficamente.
Le password sono davvero scomparse?
Non ancora. Molti servizi affiancano le passkey alle password e mantengono procedure tradizionali per il recupero dell’account.
Questo passaggio è importante: un accesso è sicuro quanto il suo percorso più debole. Se una passkey protegge l’ingresso principale ma il recupero dell’account dipende da domande prevedibili o da un indirizzo email non protetto, il rischio non è stato eliminato.
Chi utilizza le passkey dovrebbe quindi:
- proteggere bene l’account del proprio gestore di credenziali;
- registrare più di un metodo di accesso quando il servizio lo consente;
- conservare con attenzione eventuali codici di recupero;
- rimuovere le passkey associate a dispositivi venduti, persi o non più utilizzati;
- mantenere aggiornati dispositivi e browser.
Cosa valutare in un sito o in un’applicazione
Integrare le passkey non significa soltanto aggiungere un nuovo pulsante alla schermata di accesso.
Occorre progettare almeno questi aspetti:
- Registrazione: spiegare con parole comprensibili che cosa viene creato e su quale dispositivo.
- Accesso: permettere al browser di proporre la passkey senza introdurre passaggi inutili.
- Dispositivi multipli: consentire di registrare e riconoscere più passkey per lo stesso account.
- Recupero: definire una procedura sicura quando la persona perde tutti i propri dispositivi.
- Revoca: mostrare le passkey registrate e permettere di eliminare quelle non più affidabili.
- Transizione: accompagnare chi utilizza ancora password o autenticazione a due fattori.
Per un’applicazione esistente può essere prudente introdurre prima le passkey come metodo aggiuntivo, osservare come vengono utilizzate e ridurre progressivamente la dipendenza dalle password.
Una tecnologia ormai concreta
Secondo la FIDO Alliance, le passkey sono supportate dai principali sistemi operativi, browser e gestori di credenziali. La questione non è più se arriveranno, ma come integrarle senza creare confusione o indebolire le procedure di recupero.
Per chi sviluppa un applicativo, questo significa considerare insieme sicurezza ed esperienza d’uso. Un accesso più semplice può essere anche più sicuro, purché l’intero percorso sia progettato con attenzione.
Se stai sviluppando un’applicazione e vuoi valutare l’autenticazione con passkey, possiamo partire dai suoi utenti, dai dati che protegge e dai metodi di accesso già presenti.