Chiave d'accesso (passkey): l'alternativa alla password

Una chiave d'accesso, o passkey in inglese, sostituisce la password con una chiave crittografica legata al tuo dispositivo. Niente più da ricordare, digitare o reimpostare. Ecco come funziona, come crearne una e cosa sapere prima di adottarla.

Cos'è una chiave d'accesso (passkey) e come funziona?

Una chiave d'accesso è una coppia di chiavi crittografiche: una privata, conservata sul tuo dispositivo, e una pubblica, registrata dal servizio online. Per accedere, il tuo dispositivo dimostra di possedere la chiave privata senza mai trasmetterla.

In pratica, a ogni accesso il sito pone una domanda diversa, estratta casualmente (una sequenza di numeri). Il tuo dispositivo risponde usando la chiave privata, che non rivela mai, e il sito verifica la risposta tramite la chiave pubblica. Poiché la domanda non è mai la stessa due volte, una risposta intercettata non servirà a nulla: era valida solo per quella specifica domanda, ormai superata. È l'esatto contrario della password, sempre identica, che basta sottrarre una volta per riutilizzarla all'infinito.

L'autenticazione si avvia con un gesto semplice: Touch ID, Face ID, impronta digitale o PIN del dispositivo.

Una chiave d'accesso è più sicura di una password?

Sì, e di gran lunga. La differenza fondamentale è che una password è un segreto condiviso, inviato al server e quindi sottraibile, mentre una chiave d'accesso non trasmette mai il proprio segreto. Le chiavi d'accesso si basano sulla crittografia a curva ellittica (P-256 / ECDSA), che offre circa 128 bit di sicurezza effettiva. Per raggiungere un livello equivalente con una password, sarebbero necessari una ventina di caratteri completamente casuali, qualcosa che nessun essere umano genera o memorizza spontaneamente.

Oltre alla robustezza intrinseca, la chiave d'accesso elimina un'intera categoria di rischi:

Nessuna password debole o riutilizzata da un sito all'altro
Nessun database di password da violare (il server conserva solo la chiave pubblica, inutile senza quella privata)
Nessun credential stuffing (testare milioni di combinazioni provenienti da data breach)
Nessun rinnovo forzato ogni 90 giorni
Nessun modulo con regole assurde (maiuscola obbligatoria, carattere speciale, massimo 16 caratteri)

Perché le chiavi d'accesso resistono al phishing?

Una chiave d'accesso è legata crittograficamente al dominio esatto per cui è stata creata. Su un sito falso, anche visivamente identico all'originale, semplicemente non si attiva. Non c'è nulla da intercettare e nulla da riprodurre.

È una differenza strutturale rispetto alla password. Un sito falso può mostrare un modulo di accesso identico a quello reale e raccogliere le credenziali inserite. Con una chiave d'accesso, anche se l'utente non si accorge dell'inganno, l'autenticazione fallisce silenziosamente sul piano tecnico e nessuna informazione sfruttabile viene trasmessa al sito pirata.

Questa protezione è efficace anche contro gli attacchi AiTM (Adversary-in-the-Middle) in tempo reale, che nemmeno il classico 2FA è in grado di bloccare.

La mia impronta digitale può essere rubata come una password?

No. L'impronta digitale (o Face ID) non lascia mai il tuo dispositivo. Non transita sulla rete e non viene conservata sul server del sito. Serve esclusivamente a sbloccare localmente la chiave crittografica che, a sua volta, esegue l'autenticazione.

Il sito non vede mai la tua impronta, non la riceve mai e quindi non può vederla sottratta. È fondamentalmente diverso da una password, inviata al server a ogni accesso e compromessa se il database viene violato.

E se Touch ID o Face ID non è disponibile (dito ferito, sensore guasto), il PIN del dispositivo subentra. La biometria è una comodità, non una dipendenza.

Come si crea una chiave d'accesso?

Si crea una chiave d'accesso dalle impostazioni di sicurezza dell'account interessato, scegliendo "crea una chiave d'accesso" e confermando con lo sblocco del dispositivo (Face ID, impronta o PIN). L'operazione richiede pochi secondi e va ripetuta per ogni servizio compatibile.

A seconda dell'ambiente:

Su un account Google: sezione Sicurezza dell'account, poi "Chiavi d'accesso", poi "Crea una chiave d'accesso".
Su un dispositivo Apple: durante l'accesso a un servizio compatibile, iOS o macOS propone di salvare una chiave d'accesso nel portachiavi iCloud.
Sulla maggior parte dei siti compatibili: un'opzione "accedi senza password" o "aggiungi una chiave d'accesso" compare nelle impostazioni di sicurezza dell'account.

Un aspetto importante si gioca al momento della creazione: spesso senza rendersene conto, si sceglie dove la chiave verrà conservata (il portachiavi di sistema, il browser o un gestore di password). Questa scelta determina su quali dispositivi la ritroverai in seguito. Nulla impedisce di creare più chiavi d'accesso per lo stesso account, ad esempio una per ogni dispositivo. Alcuni servizi, tra cui Octopussian, permettono di accedere direttamente con una chiave d'accesso.

Cosa succede se perdo il telefono o il computer?

La risposta dipende da dove sono conservate le tue chiavi d'accesso. Se sono sincronizzate tramite iCloud Keychain (Apple) o Google Password Manager, sono automaticamente disponibili sugli altri dispositivi dello stesso ecosistema. Cambiare iPhone o PC con lo stesso account è del tutto trasparente.

Se invece la chiave d'accesso è stata creata solo localmente, su un unico dispositivo, perderlo significa perdere l'accesso. Per questo la maggior parte dei servizi mantiene un metodo di accesso alternativo durante il periodo di transizione. Un gestore di password che sincronizza le chiavi d'accesso tra dispositivi e browser riduce considerevolmente questo rischio.

Dove vengono conservate le mie chiavi d'accesso?

Le chiavi d'accesso vengono conservate dal provider che scegli (o che si impone) al momento della creazione. I principali sono iCloud Keychain (Apple), Google Password Manager (Chrome), Windows Hello (Windows) e i gestori di password di terze parti.

Ogni provider ha il proprio perimetro di sincronizzazione:

iCloud Keychain sincronizza tra tutti i dispositivi Apple, ma non oltre
Google Password Manager sincronizza su tutti i browser Chrome, indipendentemente dal sistema operativo, ma non in Safari
Su Windows, Windows Hello gestisce le chiavi d'accesso a livello di sistema, con sincronizzazione tramite account Microsoft a seconda della versione di Windows
Un gestore di password di terze parti può funzionare su tutti i dispositivi e browser

L'insidia più comune: al momento di creare una chiave d'accesso, più provider possono proporsi contemporaneamente (l'estensione del gestore di password, il browser e il sistema operativo). Touch ID, ad esempio, dà l'impressione che "il Mac gestisca tutto", mentre in realtà dietro quel gesto è Chrome o macOS a conservare la chiave. Se non si presta attenzione alla scelta iniziale, si rischia di non ritrovare la chiave d'accesso su un altro dispositivo.

Conseguenza pratica: una chiave d'accesso creata in Chrome non verrà proposta aprendo Safari sullo stesso Mac, perché ogni provider gestisce la propria lista, non condivisa con gli altri. Al momento della creazione nulla indica chiaramente chi prende il controllo, e l'interfaccia non facilita nemmeno, in seguito, capire quale provider detiene la chiave.

Come visualizzare, rinominare o eliminare una chiave d'accesso?

Non esiste ancora un unico punto dove vedere tutte le proprie chiavi d'accesso: sono distribuite tra diverse interfacce in base al provider scelto al momento della creazione. La gestione avviene quindi in due luoghi: sul dispositivo e sul servizio.

Per trovare o eliminare una chiave d'accesso in base a dove è conservata:

In Chrome: impostazioni delle password del browser
Su macOS: Impostazioni di Sistema, sezione Password
In un gestore di terze parti: nel vault, nella sezione dedicata alle chiavi d'accesso

Lato servizio, i siti affidabili mostrano l'elenco delle chiavi d'accesso registrate per il tuo account, con la possibilità di rinominarle (per identificare il dispositivo corrispondente) e di revocarle. Poiché è facile creare involontariamente più chiavi per lo stesso account su provider diversi, la soluzione più semplice è scegliere un unico provider e mantenerlo.

Le chiavi d'accesso sostituiranno le password?

Non nell'immediato. I grandi player (Google, Apple, Microsoft) spingono verso un futuro senza password, ma finché non tutti i servizi supportano le chiavi d'accesso, la password rimane necessaria, e non solo per comodità.

C'è una ragione concreta: una chiave di accesso da sola può lasciarti fuori. Se un sito accetta solo la chiave di accesso e questa non è sincronizzata, cambiare dispositivo può impedirti l'accesso. Un metodo di riserva rimane quindi indispensabile oggi: una password solida, ad esempio una passphrase, un link di accesso univoco inviato via email, o dei codici di recupero. Le chiavi di accesso sincronizzate (portachiavi iCloud, Google, gestore di terze parti) riducono notevolmente questo rischio seguendo l'utente da un dispositivo all'altro, ma questa rete di sicurezza mantiene tutto il suo valore durante il periodo di transizione.

L'adozione avanza comunque rapidamente e, a lungo termine, la password dovrebbe diventare l'eccezione piuttosto che la regola. Nel frattempo, un gestore di password in grado di gestire sia le password tradizionali sia le chiavi d'accesso offre la migliore esperienza di transizione.

Cosa ricordare

Una chiave d'accesso (passkey) è una chiave crittografica legata al tuo dispositivo, più robusta e più semplice di una password
È strutturalmente resistente al phishing: funziona solo sul dominio esatto per cui è stata creata
La tua impronta digitale non lascia mai il tuo dispositivo e non può essere sottratta tramite un sito web
Scegli un unico provider per conservare le tue chiavi d'accesso ed evitare confusione tra dispositivi
Mantieni un metodo di riserva (password, link via email, codici di recupero): una chiave d'accesso non sincronizzata può escluderti
Un gestore di password che supporta le chiavi d'accesso semplifica la gestione multi-dispositivo

Un'autenticazione robusta va di pari passo con un hosting affidabile. Scopri il nostro approccio alla sicurezza e alla sovranità.