Che cos’è una passkey e in cosa differisce da una password?

Siamo tutti stanchi delle password. Sebbene i più recenti gestori di password li rendano più facili da creare e controllare, sono comunque fastidiosi e pericolosi se rubati. Quando si tratta di sicurezza, le password spesso sembrano un male necessario.

Negli ultimi anni, le password sono state sostituite da nuove opzioni. Dal FaceID iOS di Apple al piccolo schema di scorrimento che alcuni telefoni Android ti consentono di utilizzare, sempre più accessi stanno abbandonando password e passcode. Da un punto di vista tecnico, cosa sta prendendo il suo posto?

Si chiama passkey. Questa tecnologia funziona dietro le quinte ed è responsabile di una quantità crescente di sicurezza quotidiana. Ecco come funziona.

Passkey e password: come funziona la tecnologia passkey

Una passkey è una forma di tecnologia di crittografia che ti consente di accedere a dispositivi, app e servizi senza password. La tecnologia passkey crea una chiave privata e una chiave pubblica. Entrambi sono codici lunghi e complicati. La chiave privata risiede sul tuo dispositivo. Nessuno, nemmeno i creatori della piattaforma, sa di cosa si tratta, quindi i servizi possono riutilizzarlo in sicurezza. La chiave pubblica risiede sui server o sul software aziendale che stai tentando di utilizzare. Non dice molto di te. Se vengono rubati, gli hacker non possono accedere agli account o vendere le informazioni ad altri.

Quando accedi a un dispositivo o servizio, le chiavi di sicurezza private e pubbliche passano attraverso un rapido processo di handshake (è come un piccolo puzzle matematico), risolvono il puzzle e lo sbloccano. Non c’è niente da memorizzare, nessuna preoccupazione di non includere abbastanza simboli casuali nella password e nessun passaggio aggiuntivo. Le tue credenziali di accesso rimangono al sicuro per i motivi che tratteremo più avanti.

Il concetto è stato creato dalla FIDO Alliance, che è un’alleanza di importanti società tecnologiche, finanziarie e di sicurezza come Apple, Google, Microsoft, Amazon, Dashlane, PayPal, Samsung, Visa e Mastercard. Il suo obiettivo è spingere i consumatori verso un futuro senza password, perché la protezione tramite password (e la sua mancanza) è un grattacapo per aziende come queste.

Una passkey è più sicura di una password?

In generale sì. Innanzitutto, non è necessario memorizzare una password e nessuno lascerà una passkey sui post-it sul proprio PC Windows o Mac affinché altri possano trovarla. Non esiste una passkey “debole” e gli hacker non possono tentare di forzarla con frasi comuni. Se si verificano violazioni dei dati, le chiavi pubbliche da sole non attivano nulla. Ciò rende inutili anche molti attacchi di phishing volti a ottenere i nomi da nubile delle madri e i nomi dei primi animali domestici. Ma qualcosa di più profondo è all’opera.

Quando usi una passkey, devi comunque effettuare l’accesso. Come fa la passkey a sapere che sei tu e non qualcuno con il dispositivo giusto? La risposta è solitamente la biometria, utilizzando il tuo volto, l’impronta digitale o qualcosa di simile che ti identifica come proprietario dell’account. In altre situazioni, come su alcuni servizi Chrome, ti viene chiesto di inserire un codice tramite l’autenticazione a due fattori . A volte ti viene assegnato un PIN privato o puoi creare un processo di accesso per qualcosa come un telefono. Le chiavi vengono create con WebAuthn o lo standard di autenticazione Web, che utilizza la crittografia a chiave pubblica, per eseguire il processo sopra descritto e mantenere tutto al sicuro.

Le passkey hanno vantaggi aggiuntivi?

Sono veloci. Le passkey sono veloci da configurare e utilizzare. Gli input fisici sono ridotti al minimo. Poiché risiedono sul tuo dispositivo, consentono varie cose che le password non possono, come lo scorrimento per pagare o i portafogli in cui archiviare i tuoi biglietti. Inoltre, non devi continuare a pensare o memorizzare password complesse, nemmeno le password principali che utilizzeresti per qualcosa come 1password.

Come posso ottenere una chiave di accesso?

Se utilizzi un dispositivo o un servizio dotato di passkey, ti verrà richiesto di scegliere un PIN o di creare un processo di accesso con informazioni biometriche. Ecco perché i telefoni Galaxy ti chiedono di far rotolare la tua impronta digitale per un po’ e perché gli iPhone vogliono vederti bene in faccia. Di solito, è tutto ciò che devi fare. È un’esperienza comune quando gestisci il tuo account Google, il portachiavi iCloud o altre configurazioni comuni.

In alcuni casi, come quando si accede ai servizi online, ti viene chiesto di impostare l’autenticazione a due fattori con un’e-mail o un SMS. Alcuni usano i codici QR, ma è raro.

Una password è mai migliore di una passkey?

Le passkey offrono vantaggi incredibili in situazioni specifiche, ma non sono ancora disponibili ovunque. Fanno ancora fatica in alcune situazioni. È più probabile trovarli presso le aziende che fanno parte dell’Alleanza FIDO, tra cui PayPal, Google, Microsoft e Apple. Apple è stata una delle prime a utilizzare le passkey e quella con il supporto più completo per la tecnologia delle passkey grazie al suo ecosistema chiuso. Sebbene l’accettazione continui a crescere, il supporto non è ovunque e alcuni settori sono più lenti nell’adottare le passkey rispetto ad altri. Quindi le password sono tutt’altro che morte.