Passkey: capire e adottare l'alternativa alla password
Le passkey sostituiscono la password con una chiave crittografica legata al dispositivo. Niente più da memorizzare, digitare o reimpostare. Ecco come funzionano, cosa cambiano concretamente e cosa sapere prima di adottarle.
Cos'è una passkey e come funziona?
Una passkey è una coppia di chiavi crittografiche: una privata, conservata sul dispositivo, e una pubblica, registrata dal servizio online. Per accedere, il dispositivo dimostra di possedere la chiave privata senza trasmetterla mai.
In pratica, a ogni accesso il server invia una sfida univoca (un challenge casuale). Il dispositivo la firma con la chiave privata e il server verifica la firma con la chiave pubblica. Anche se qualcuno intercettasse questa risposta firmata, sarebbe inutilizzabile: vale solo per quel preciso challenge, già consumato. È qualcosa di fondamentalmente diverso da una password, sempre identica e sempre riproducibile.
L'autenticazione si attiva con un gesto semplice: Touch ID, Face ID, impronta digitale o PIN del dispositivo.
Le passkey sono davvero più sicure di una password?
Sì, e di gran lunga. Le passkey si basano sulla crittografia a curva ellittica (P-256 / ECDSA), che garantisce circa 128 bit di sicurezza effettiva. Per raggiungere un livello equivalente con una password, sarebbero necessari circa 20 caratteri completamente casuali tra i 95 caratteri ASCII stampabili — qualcosa che nessun essere umano genera né memorizza spontaneamente.
Al di là della robustezza pura, le passkey eliminano un'intera categoria di rischi:
- Nessuna password debole o riutilizzata da un sito all'altro
- Nessun database di password da sottrarre (il server conserva solo la chiave pubblica, inutile senza la chiave privata)
- Nessun credential stuffing (testare milioni di combinazioni username/password provenienti da fughe di dati)
- Nessuna policy di rinnovo forzato ogni 90 giorni
- Nessun modulo con regole assurde (maiuscola obbligatoria, carattere speciale, non più di 16 caratteri…)
Perché le passkey resistono al phishing?
Una passkey è legata crittograficamente al dominio esatto per cui è stata creata. Su un sito falso — anche visivamente identico — la passkey semplicemente non si attiva. Non c'è nulla da intercettare e nulla da riprodurre.
È una differenza strutturale rispetto alla password. Un sito falso può mostrare un modulo di accesso identico all'originale e raccogliere le credenziali inserite. Con una passkey, anche se l'utente non si accorge dell'inganno, l'autenticazione fallisce silenziosamente sul piano tecnico. Nessuna informazione utile viene trasmessa al sito fraudolento.
Questa protezione funziona anche contro gli attacchi AiTM (Adversary-in-the-Middle) in tempo reale, che nemmeno il classico 2FA riesce a bloccare.
La mia impronta digitale può essere rubata come una password?
No. L'impronta digitale (o Face ID) non lascia mai il dispositivo. Non transita sulla rete e non viene conservata sui server del sito. Serve esclusivamente a sbloccare localmente la chiave crittografica che, a sua volta, effettua l'autenticazione.
Il sito non vede mai l'impronta, non la riceve mai e quindi non può subirne il furto. È qualcosa di fondamentalmente diverso da una password, che viene inviata al server a ogni accesso e può essere compromessa se il database viene violato.
E se Touch ID o Face ID non è disponibile (dito ferito, sensore guasto), subentra il PIN del dispositivo. La biometria è una comodità, non una dipendenza.
Cosa succede se perdo il telefono o il computer?
Dipende da dove sono conservate le passkey. Se sono sincronizzate tramite iCloud Keychain (Apple) o Google Password Manager, sono automaticamente disponibili sugli altri dispositivi dello stesso ecosistema. Cambiare iPhone o PC con lo stesso account Google è del tutto trasparente.
Se invece la passkey è stata creata solo localmente, su un unico dispositivo, perderlo significa perdere l'accesso. Per questo la maggior parte dei servizi mantiene la password come metodo di accesso alternativo durante il periodo di transizione. Un gestore di password che sincronizza le passkey tra dispositivi e browser riduce notevolmente questo rischio.
Dove vengono conservate le passkey e chi può accedervi?
Le passkey vengono conservate dal provider scelto (o che si impone) al momento della creazione. I principali sono iCloud Keychain (Apple), Google Password Manager (Chrome) e i gestori di password di terze parti.
Ogni provider ha il proprio perimetro di sincronizzazione:
- iCloud Keychain sincronizza tra tutti i dispositivi Apple, ma non oltre
- Google Password Manager sincronizza su tutti i browser Chrome, indipendentemente dal sistema operativo, ma non su Safari
- Un gestore di password di terze parti può funzionare su tutti i dispositivi e browser
L'insidia più comune: al momento di creare una passkey, più provider possono proporsi contemporaneamente — l'estensione del gestore di password, il browser e il sistema operativo. Touch ID, ad esempio, dà l'impressione che "il Mac gestisca tutto", mentre dietro quel gesto è Chrome o macOS a conservare la passkey. Se non si presta attenzione alla scelta iniziale, si rischia di non ritrovare la passkey su un altro dispositivo.
Come gestire le passkey nel quotidiano?
Il punto più delicato oggi è la gestione. Non esiste un unico posto dove visualizzare tutte le proprie passkey: sono distribuite tra diverse interfacce a seconda del provider scelto al momento della creazione.
Per trovare o eliminare una passkey in base a dove è conservata:
- In Chrome: accedere alle impostazioni delle password del browser
- Su macOS: Impostazioni di Sistema, sezione Password
- In un gestore di terze parti: nel vault, nella sezione dedicata alle passkey
È possibile creare involontariamente più passkey per lo stesso account su provider diversi. Per evitare confusione, la soluzione più semplice è scegliere un unico provider e mantenerlo. Dal lato del servizio, i siti seri mostrano l'elenco delle passkey registrate per l'account con un'opzione di revoca.
Le passkey sostituiranno le password?
Non nell'immediato, ma la tendenza è chiara. Non tutti i siti supportano ancora le passkey e gli utenti devono destreggiarsi tra i due sistemi durante la transizione. La password rimane un metodo di riserva necessario per i servizi che non offrono ancora le passkey, o come sistema di accesso alternativo.
L'adozione avanza rapidamente: i grandi attori (Google, Apple, Microsoft) integrano le passkey nativamente nei loro sistemi. Nel lungo periodo, la password dovrebbe diventare l'eccezione piuttosto che la regola. Nel frattempo, un gestore di password in grado di gestire sia le password tradizionali sia le passkey offre la migliore esperienza durante la transizione.
Cosa tenere a mente
- Una passkey è una chiave crittografica legata al dispositivo, più robusta e più semplice di una password
- Le passkey resistono strutturalmente al phishing: funzionano solo sul dominio esatto per cui sono state create
- L'impronta digitale non lascia mai il dispositivo e non può essere rubata tramite un sito web
- Scegliere un unico provider per conservare le passkey ed evitare confusione tra dispositivi
- La password rimane necessaria in parallelo durante il periodo di transizione
- Un gestore di password che supporta le passkey semplifica la gestione multi-dispositivo
Un'autenticazione robusta va di pari passo con un hosting affidabile. Scoprite il nostro approccio alla sicurezza e alla sovranità dei dati.