Cos’è una passkey?
Una passkey è una credenziale di autenticazione senza password basata sullo standard FIDO2/WebAuthn. Invece di digitare una password, verifichi la tua identità con il sensore biometrico del dispositivo (impronta digitale o riconoscimento del volto) o con il PIN del dispositivo. Dietro le quinte, le passkey usano la crittografia a chiave pubblica: una chiave privata rimane bloccata nell’hardware sicuro del dispositivo, mentre una chiave pubblica viene registrata presso il servizio. Poiché la chiave privata non lascia mai il dispositivo e nessun segreto condiviso transita in rete, le passkey sono intrinsecamente resistenti al phishing, al credential stuffing e agli attacchi brute-force.
Apple, Google e Microsoft si sono impegnate congiuntamente a supportare le passkey su tutte le loro piattaforme, e la lista dei servizi che le accettano — tra cui GitHub, Amazon, PayPal e molti altri — cresce rapidamente. Le passkey rappresentano il cambiamento più significativo nell’autenticazione consumer degli ultimi decenni.
Approfondimento
Come funzionano le passkey sotto il cofano
Quando registri una passkey presso un servizio, il dispositivo genera una coppia di chiavi crittografiche. La chiave privata viene archiviata in un’area a prova di manomissione — come il Secure Enclave di Apple o il chip Titan M2 di Google — da cui non può essere estratta. La chiave pubblica viene inviata al server del servizio. Al momento dell’accesso, il server invia una sfida casuale; il dispositivo la firma con la chiave privata e il server verifica la firma con la chiave pubblica. In nessun momento una password o un token segreto attraversa la rete — ecco perché le passkey eliminano intere categorie di attacchi.
Come le passkey differiscono dalle password
Le password sono “segreti condivisi” archiviati sia dal lato dell’utente che dal lato del server. Se il server subisce una violazione, ogni password nel suo database è a rischio. Le passkey sono asimmetriche: il server detiene solo la chiave pubblica, inutile per un attaccante. Questo significa che il riutilizzo delle password, il phishing e le fughe di dati diventano tutti irrilevanti. Un gestore di password rende la vita con le password più semplice, ma una passkey elimina del tutto il concetto di password.
Sincronizzazione e condivisione delle passkey
iCloud Keychain di Apple, Google Password Manager e gli account Microsoft sincronizzano ciascuno le passkey tra i dispositivi all’interno del proprio ecosistema. Se usi un iPhone e un Mac con lo stesso Apple ID, le tue passkey ti seguono automaticamente. Per l’uso cross-platform, gestori di password di terze parti come 1Password e Bitwarden possono archiviare e sincronizzare le passkey tra Windows, macOS, Android e iOS. Puoi anche archiviare le passkey su una chiave di sicurezza hardware, che funziona indipendentemente da qualsiasi dispositivo o ecosistema specifico.
Passkey e sicurezza enterprise
Le passkey non sono solo una comodità consumer: vengono adottate sempre più spesso dalle aziende per proteggere gli account dei dipendenti. Le organizzazioni sostengono costi enormi a causa delle chiamate all’helpdesk per il reset delle password e delle violazioni legate alle credenziali. L’adozione delle passkey elimina entrambi i problemi. Gli amministratori IT possono richiedere l’autenticazione solo tramite passkey per i sistemi interni sensibili, eliminando il rischio che i dipendenti cadano in trappole di phishing. Molti provider di identità e piattaforme single-sign-on supportano ora le passkey nativamente, rendendo il rollout a livello aziendale semplice.
Limitazioni e sfide attuali
Nonostante i loro vantaggi, le passkey devono ancora affrontare alcune difficoltà iniziali. Non tutti i siti web e le app supportano ancora le passkey, quindi le password rimangono necessarie come fallback in molti casi. La portabilità cross-platform delle passkey sta migliorando ma è ancora imperfetta; trasferire le passkey da un ecosistema all’altro (ad es. da Apple ad Android) richiede un gestore di password compatibile o una nuova registrazione manuale. Gli utenti non familiari con il concetto potrebbero trovare il processo di configurazione inizialmente confuso. Man mano che l’adozione accelera e le interfacce utente migliorano, questi punti di attrito dovrebbero diminuire nei prossimi anni.
Come scegliere
1. Inizia dai servizi che già usi
Google, Apple, Microsoft, GitHub, Amazon e PayPal supportano tutti le passkey oggi. Inizia abilitando le passkey sui tuoi account più importanti. Puoi mantenere l’accesso con password come fallback durante la transizione, quindi non c’è rischio di essere esclusi.
2. Comprendi l’ecosistema di sincronizzazione
Le passkey di iCloud Keychain si sincronizzano solo tra i dispositivi Apple. Google Password Manager copre Android e Chrome. Se lavori su più piattaforme, un gestore di password cross-platform che supporta le passkey — come 1Password o Bitwarden — offre l’esperienza più fluida.
3. Prepara le opzioni di recupero
Se perdi tutti i dispositivi che contengono le tue passkey, sarai escluso. Mitiga questo rischio registrando le passkey su più dispositivi e tenendo una chiave di sicurezza hardware di backup in un luogo sicuro. Alcuni servizi offrono anche codici di recupero monouso che andrebbero stampati e conservati in modo sicuro.
Passkey e accessibilità
Le passkey migliorano l’accessibilità per gli utenti che hanno difficoltà con la gestione delle password a causa di difficoltà di memoria, disabilità motorie che rendono difficile digitare password complesse, o disabilità visive che rendono difficile leggere i prompt CAPTCHA. Poiché l’autenticazione tramite passkey si basa sulla biometria (un tocco o uno sguardo) o su un semplice PIN del dispositivo, abbassa la barriera per un’autenticazione sicura per una gamma più ampia di utenti.
Come le passkey si affiancano alla sicurezza esistente
Le passkey non richiedono di abbandonare dall’oggi al domani il setup di sicurezza attuale. La maggior parte dei servizi consente la coesistenza di passkey e password, quindi puoi abilitare una passkey mantenendo attivi la password e l’autenticazione a due fattori come fallback. Nel tempo, man mano che acquisisci fiducia nel flusso di lavoro delle passkey e più servizi adottano lo standard, puoi gradualmente eliminare le password del tutto. Questo approccio di transizione riduce il rischio di blocchi e ti permette di adottare la tecnologia al tuo ritmo.
In sintesi
Le passkey sono il sostituto delle password più promettente che l’industria abbia mai prodotto. Combinano una forte resistenza al phishing con un’esperienza utente che è effettivamente più semplice della digitazione di una password — una scansione dell’impronta digitale o il riconoscimento del volto è tutto ciò che serve. Man mano che il supporto si diffonde su piattaforme e servizi principali, è il momento di iniziare ad abilitare le passkey ovunque sia possibile. Configura la sincronizzazione su tutti i dispositivi, tieni pronto un metodo di recupero di backup, e sarai sulla buona strada verso un futuro senza password.