Passkey: l’alternativa sicura alle password e i nuovi rischi da considerare

Le passkey sono sempre più proposte come un’alternativa alle tradizionali password, con l’obiettivo di migliorare la sicurezza degli accessi online. Aziende leader nel settore tecnologico, come Apple, Google e Microsoft, hanno già implementato questa tecnologia, rendendola disponibile su numerosi siti web come opzione di accesso. Tuttavia, nonostante i vantaggi, le passkey presentano anche nuove sfide e rischi che meritano attenzione.

Le password, da sempre utilizzate per proteggere le informazioni personali, mostrano limiti crescenti. Gli utenti spesso faticano a memorizzare le password, ricorrono a combinazioni ripetute tra diversi servizi e sono vulnerabili a furti di credenziali, specialmente in seguito a violazioni di sicurezza che portano alla diffusione di dati sensibili nel dark web. Sebbene i gestori di password possano mitigare alcuni di questi problemi, non eliminano il rischio di attacchi di phishing e richiedono una fiducia significativa in un singolo archivio centrale.

Le passkey si basano su un sistema di coppie di chiavi crittografiche: una chiave pubblica è memorizzata sul server, mentre una chiave privata rimane conservata sul dispositivo dell’utente. Questo metodo consente al dispositivo di dimostrare l’identità dell’utente tramite protocolli matematici, senza la necessità di trasmettere la chiave privata. Di conseguenza, si riduce notevolmente la superficie di attacco remota, poiché non è più necessario digitare una password.

L’accesso alle passkey avviene spesso tramite sblocco biometrico o PIN sul dispositivo. È importante notare che i dati biometrici non vengono trasferiti ai servizi remoti, ma servono esclusivamente a sbloccare un modulo sicuro che custodisce la chiave privata. Questa architettura offre un ulteriore livello di sicurezza, ma introduce anche nuove vulnerabilità.

I principali rischi emergenti legati all’uso delle passkey riguardano l’accesso fisico al dispositivo e la dipendenza dall’ecosistema tecnologico. Un malintenzionato che riesca a ottenere l’accesso fisico al dispositivo e al PIN potrebbe sfruttare le passkey, anche se molti dispositivi richiedono ulteriori conferme per ogni tentativo di accesso. Inoltre, le passkey sono spesso integrate nei gestori cloud di specifiche piattaforme, complicando il passaggio tra ecosistemi diversi e potenzialmente causando blocchi d’accesso se non vengono esportate correttamente.

In sintesi, le passkey offrono una protezione superiore rispetto alle password tradizionali, in particolare contro attacchi remoti e phishing. Tuttavia, è fondamentale considerare le nuove implicazioni operative e di sicurezza fisica e di portabilità che esse comportano. L’adozione delle passkey dovrebbe essere vista come un aggiornamento della strategia di autenticazione, da accompagnare a buone pratiche come aggiornamenti regolari del dispositivo e l’uso di blocchi schermo.