In pratica, permettono di entrare in siti e app senza digitare una password, tagliando alla radice molti rischi legati al furto di credenziali e alle truffe di phishing. Il punto è semplice: le password sono scomode, spesso si riusano e, quando finiscono in un archivio rubato, possono diventare una porta spalancata. I passkey funzionano in modo diverso.
Non vanno ricordati a memoria: restano su smartphone, computer, tablet o chiavi hardware e si sbloccano con impronta, volto, Pin o altri sistemi di riconoscimento.
Password, l’anello debole degli account online
Le password restano il punto fragile della vita digitale perché chiedono agli utenti una cosa che, nella realtà, funziona poco: inventare codici lunghi, diversi per ogni servizio, cambiarli quando serve e non inserirli per errore in pagine false. Tra posta elettronica, acquisti online e app della banca, molti finiscono per usare combinazioni simili. Qualcuno le salva in una nota del telefono, altri le conservano in modo confuso. Ed è lì che il sistema comincia a cedere.
Il problema, però, non è solo ricordarle. Quando un sito subisce una violazione, gli archivi con le credenziali possono finire online e venire usati per tentativi automatici di accesso su altri servizi. Le indicazioni arrivate negli ultimi anni da aziende come Google, Apple e Microsoft vanno tutte nella stessa direzione: alleggerire, e in molti casi superare, l’uso quotidiano delle password. Non in un futuro lontano. Già oggi, per molti account.
I passkey si basano sulla crittografia a chiave pubblica, chiamata anche crittografia asimmetrica. Quando l’utente crea un accesso, vengono generate una chiave pubblica e una chiave privata. La prima viene comunicata al sito o all’app. La seconda resta sul dispositivo dell’utente, oppure in un gestore di password compatibile o in una chiave hardware, come una YubiKey. Per chi clicca semplicemente su “accedi” cambia poco. Ma sotto il cofano cambia molto.
Al momento del login, il servizio invia una richiesta di verifica al dispositivo. L’utente conferma con impronta digitale, riconoscimento del volto, Pin o con il metodo previsto dal proprio sistema. La chiave privata non viene mai spedita al sito: serve a creare una firma digitale, che il servizio controlla usando la chiave pubblica già registrata. Se tutto torna, l’accesso viene autorizzato.
È questo il motivo per cui i passkey sono considerati più solidi delle password tradizionali. La chiave privata non dovrebbe poter essere ricavata da quella pubblica e, se il sistema è configurato correttamente, non lascia il dispositivo o lo spazio sicuro in cui è custodita. Il principio è chiaro: l’utente non deve ricordare nulla, ma deve dimostrare di avere con sé il dispositivo autorizzato. Detto così sembra tecnico. Nella pratica, è molto concreto.
Phishing e furti di dati: perché i passkey riducono il rischio
Il vantaggio più immediato dei passkey riguarda il phishing. Una password può essere digitata per sbaglio su una pagina falsa, magari identica a quella della banca o della posta elettronica. Un passkey, invece, è legato al dominio per cui è stato creato e non funziona su un sito diverso. Se l’indirizzo è truccato, l’accesso non va a buon fine. E la truffa perde il suo strumento principale.
C’è poi il tema dei database violati. Se un servizio viene colpito da un attacco informatico, chi entra nei server può ottenere alcuni dati, ma non la chiave privata conservata dall’utente. Questo non azzera ogni rischio — nessuna tecnologia lo fa — però riduce il valore di ciò che viene rubato rispetto a un archivio pieno di password riutilizzabili. Per chi gestisce pagamenti, documenti o email, non è un dettaglio.
Resta una precauzione pratica. Se un passkey viene salvato solo su un dispositivo e quel dispositivo si perde o si rompe, l’utente può restare fuori dall’account. Per questo molti esperti consigliano di avere un secondo dispositivo, una chiave di sicurezza hardware o un metodo di recupero protetto da una password forte e da autenticazione a due fattori. Una soluzione forse meno pulita. Ma più sicura.
Per chi vuole abbandonare poco alla volta le password, il passo più semplice è partire dai servizi usati ogni giorno e da quelli che custodiscono dati sensibili. Google, Apple e Microsoft supportano da tempo i passkey nei loro sistemi. Anche grandi piattaforme commerciali come Amazon hanno introdotto l’accesso senza password in diversi mercati. Di solito basta controllare le impostazioni dell’account, nella sezione sicurezza o accesso.
Non serve fare tutto in una volta. Prima la posta elettronica principale, poi gli account legati ai pagamenti, quindi cloud, marketplace e social network. Un tecnico della sicurezza direbbe di partire dai servizi dove un furto d’accesso farebbe più danni. Per quelli che non supportano ancora i passkey, resta valido l’uso di un password manager, con password uniche e autenticazione a due fattori.
Alla fine, il punto è pratico: i passkey non chiedono all’utente di diventare un esperto di sicurezza informatica. Chiedono solo di usare ciò che già usa per sbloccare telefono o computer. Meno codici da ricordare, meno occasioni per consegnarli al sito sbagliato, meno danni se un database viene violato. La password non sparirà da un giorno all’altro. Ma il suo ruolo nei servizi online è già cambiato.
>> Home