Chiave d'accesso (passkey): l'alternativa alla password

Una chiave d'accesso, o passkey in inglese, sostituisce la password con una chiave crittografica legata al tuo dispositivo. Niente più da ricordare, digitare o reimpostare. Ecco come funziona, come crearne una e cosa sapere prima di adottarla.

Cos'è una chiave d'accesso (passkey) e come funziona?

Una chiave d'accesso è una coppia di chiavi crittografiche: una privata, conservata sul tuo dispositivo, e una pubblica, registrata dal servizio online. Per accedere, il tuo dispositivo dimostra di possedere la chiave privata senza mai trasmetterla.

In pratica, a ogni accesso il sito pone una domanda diversa, generata casualmente (una sequenza di numeri). Il tuo dispositivo risponde utilizzando la chiave privata, che non viene mai divulgata, e il sito verifica la risposta tramite la chiave pubblica. Poiché la domanda non è mai la stessa, una risposta intercettata non servirà a nulla: era valida solo per quella specifica domanda, già superata. È l'esatto contrario della password, sempre identica, che basta rubare una volta per riutilizzarla all'infinito.

L'autenticazione si avvia con un gesto semplice: Touch ID, Face ID, impronta digitale o PIN del dispositivo.

Una chiave d'accesso è più sicura di una password?

Sì, e di gran lunga. La differenza sostanziale è che una password è un segreto condiviso, inviato al server e quindi sottraibile, mentre una chiave d'accesso non trasmette mai il suo segreto. Le chiavi d'accesso si basano sulla crittografia a curva ellittica (P-256 / ECDSA), con circa 128 bit di sicurezza effettiva. Per un livello equivalente con una password, sarebbero necessari una ventina di caratteri completamente casuali, che nessun essere umano genera o memorizza spontaneamente.

Oltre alla robustezza intrinseca, la chiave d'accesso elimina un'intera categoria di rischi:

Nessuna password debole o riutilizzata da un sito all'altro
Nessun database di password da rubare (il server conserva solo la chiave pubblica, inutile senza la chiave privata)
Nessun credential stuffing (testare milioni di combinazioni provenienti da violazioni di dati)
Nessun rinnovo forzato ogni 90 giorni
Nessun modulo con regole assurde (maiuscola obbligatoria, carattere speciale, massimo 16 caratteri)

Perché le chiavi d'accesso resistono al phishing?

Una chiave d'accesso è crittograficamente legata al dominio esatto per cui è stata creata. Su un sito falso, anche visivamente identico all'originale, semplicemente non si attiva. Non c'è nulla da intercettare e nulla da riprodurre.

Questa è una differenza strutturale rispetto alla password. Un sito falso può mostrare un modulo di accesso identico a quello reale e raccogliere le tue credenziali. Con una chiave d'accesso, anche se l'utente non si accorge dell'inganno, l'autenticazione fallisce silenziosamente sul piano tecnico e nessuna informazione sfruttabile viene trasmessa al sito fraudolento.

Questa protezione funziona anche contro gli attacchi AiTM (Adversary-in-the-Middle) in tempo reale, che nemmeno il classico 2FA riesce a bloccare.

La mia impronta digitale può essere rubata come una password?

No. L'impronta digitale (o Face ID) non lascia mai il tuo dispositivo. Non transita sulla rete e non è memorizzata sul server del sito. Serve esclusivamente a sbloccare localmente la chiave crittografica che, quella sì, esegue l'autenticazione.

Il sito non vede mai la tua impronta, non la riceve mai e quindi non può esserne privato in caso di violazione. È fondamentalmente diverso da una password, inviata al server a ogni accesso e compromessa se il database viene violato.

E se Touch ID o Face ID non è disponibile (dito ferito, sensore difettoso), il PIN del dispositivo subentra. La biometria è una comodità, non una dipendenza.

Come si crea una chiave d'accesso?

Si crea una chiave d'accesso dalle impostazioni di sicurezza dell'account interessato, selezionando "crea una chiave d'accesso" e confermando con lo sblocco del dispositivo (Face ID, impronta o PIN). L'operazione richiede pochi secondi e va ripetuta per ogni servizio compatibile.

A seconda dell'ambiente:

Su un account Google: sezione Sicurezza dell'account, poi "Chiavi d'accesso", poi "Crea una chiave d'accesso".
Su un dispositivo Apple: al momento dell'accesso a un servizio compatibile, iOS o macOS propone di salvare una chiave d'accesso nel portachiavi iCloud.
Sulla maggior parte dei siti compatibili: un'opzione "accedi senza password" o "aggiungi una chiave d'accesso" compare nelle impostazioni di sicurezza dell'account.

Un aspetto importante si gioca al momento della creazione: spesso senza rendersene conto, si sceglie dove la chiave verrà conservata (il portachiavi di sistema, il browser o un gestore di password). Questa scelta determina su quali dispositivi la ritroverai in seguito. Nulla impedisce di creare più chiavi d'accesso per uno stesso account, ad esempio una per dispositivo. Alcuni servizi, tra cui Octopussian, consentono di accedere direttamente con una chiave d'accesso.

Cosa succede se perdo il telefono o il computer?

La risposta dipende da dove sono conservate le tue chiavi d'accesso. Se sono sincronizzate tramite iCloud Keychain (Apple) o Google Password Manager, sono automaticamente disponibili sugli altri dispositivi dello stesso ecosistema. Cambiare iPhone o PC con lo stesso account è trasparente.

Al contrario, se la chiave d'accesso è stata creata solo localmente, su un unico dispositivo, perderlo significa perdere l'accesso. Ecco perché la maggior parte dei servizi mantiene un metodo di accesso alternativo durante il periodo di transizione. Un gestore di password che sincronizza le chiavi d'accesso tra dispositivi e browser riduce considerevolmente questo rischio.

Dove sono conservate le mie chiavi d'accesso?

Le chiavi d'accesso sono conservate dal "provider" scelto (o che si impone) al momento della creazione. I principali sono iCloud Keychain (Apple), Google Password Manager (Chrome), Windows Hello (Windows) e i gestori di password di terze parti.

Ogni provider ha il proprio perimetro di sincronizzazione:

iCloud Keychain sincronizza tra tutti i dispositivi Apple, ma non oltre
Google Password Manager sincronizza su tutti i browser Chrome, indipendentemente dal sistema operativo, ma non in Safari
Su Windows, Windows Hello gestisce le chiavi d'accesso a livello di sistema, con sincronizzazione tramite account Microsoft a seconda della versione di Windows
Un gestore di password di terze parti può funzionare su tutti i dispositivi e browser

L'insidia comune: al momento di creare una chiave d'accesso, più provider possono proporsi contemporaneamente (l'estensione del gestore di password, il browser e il sistema operativo). Touch ID, ad esempio, dà l'impressione che "il Mac gestisca tutto", mentre dietro quel gesto è Chrome oppure macOS a conservare la chiave. Se non si presta attenzione alla scelta iniziale, si rischia di non ritrovare la propria chiave d'accesso su un altro dispositivo.

Conseguenza concreta: una chiave d'accesso creata in Chrome non sarà proposta se si apre Safari sullo stesso Mac, poiché ogni fornitore gestisce la propria lista, non condivisa con gli altri. Al momento della creazione, nulla indica chiaramente chi prende il controllo, e l'interfaccia non aiuta nemmeno in seguito a capire quale provider detiene la chiave.

Come vedere, rinominare o eliminare una chiave d'accesso?

Non esiste ancora un unico posto dove visualizzare tutte le proprie chiavi d'accesso: sono distribuite tra diverse interfacce a seconda del provider scelto al momento della creazione. La gestione avviene quindi in due punti, lato dispositivo e lato servizio.

Per trovare o eliminare una chiave d'accesso in base a dove è conservata:

In Chrome: impostazioni delle password del browser
Su macOS: Impostazioni di Sistema, sezione Password
In un gestore di terze parti: nel vault, nella sezione dedicata alle chiavi d'accesso

Lato servizio, i siti seri mostrano l'elenco delle chiavi d'accesso registrate per il tuo account, con la possibilità di rinominarle (per identificare il dispositivo corrispondente) e di revocarle. Poiché è facile creare involontariamente più chiavi per lo stesso account su provider diversi, la soluzione più semplice resta scegliere un unico provider e mantenerlo nel tempo.

Le chiavi d'accesso sostituiranno le password?

Non nell'immediato. I grandi player (Google, Apple, Microsoft) spingono verso un futuro senza password, ma finché non tutti i servizi supportano le chiavi d'accesso, la password rimane necessaria, e non solo per comodità.

C'è una ragione concreta: una chiave d'accesso da sola può lasciarti fuori. Se un sito accetta solo la chiave d'accesso e questa non è sincronizzata, cambiare dispositivo può impedire l'accesso. Un metodo di riserva rimane quindi indispensabile oggi: una password, un link di accesso unico inviato via email o dei codici di recupero. Le chiavi d'accesso sincronizzate (portachiavi iCloud, Google, gestore di terze parti) riducono notevolmente questo rischio seguendo l'utente da un dispositivo all'altro, ma questa rete di sicurezza mantiene tutto il suo senso durante la transizione.

L'adozione avanza comunque rapidamente, e nel lungo periodo la password dovrebbe diventare l'eccezione piuttosto che la regola. Nel frattempo, un gestore di password in grado di gestire sia le password classiche che le chiavi d'accesso offre la migliore esperienza di transizione.

Cosa ricordare

Una chiave d'accesso (passkey) è una chiave crittografica legata al tuo dispositivo, più robusta e più semplice di una password
È strutturalmente resistente al phishing: funziona solo sul dominio esatto per cui è stata creata
La tua impronta digitale non lascia mai il tuo dispositivo e non può essere rubata tramite un sito web
Scegli un unico provider per conservare le tue chiavi d'accesso ed evitare confusione tra dispositivi
Mantieni un metodo di riserva (password, link via email, codici di recupero): una chiave d'accesso non sincronizzata può lasciarti fuori
Un gestore di password che supporta le chiavi d'accesso semplifica la gestione multi-dispositivo

Un'autenticazione robusta va di pari passo con un hosting affidabile. Scopri il nostro approccio alla sicurezza e alla sovranità.