Cos’è una chiave di sicurezza fisica?
Una chiave di sicurezza fisica è un piccolo dispositivo hardware — solitamente portato sul portachiavi — che si inserisce in una porta USB o si avvicina a uno smartphone NFC per verificare la propria identità durante il login. È la forma più concreta di chiave di sicurezza hardware e costituisce un metodo di autenticazione a due fattori praticamente immune al phishing, agli attacchi SIM-swap e ad altri exploit remoti. Dopo aver inserito la password, basta inserire la chiave e premere il pulsante (o avvicinarla al telefono), e l’autenticazione è completa in pochi secondi.
Le chiavi di sicurezza fisiche sono state adottate da organizzazioni come Google, che attribuisce loro l’eliminazione di ogni attacco di phishing riuscito contro i suoi dipendenti dopo la diffusione capillare in azienda.
Approfondimento
Le chiavi di sicurezza fisiche più diffuse
La linea di prodotti più nota è la serie YubiKey di Yubico, disponibile in varianti USB-A, USB-C, Lightning e NFC, con supporto a più protocolli di autenticazione tra cui FIDO2/WebAuthn, U2F, OTP e OpenPGP. La Google Titan Security Key è un’altra opzione popolare, con modello USB-C e NFC e supporto a FIDO2. Entrambi i brand si collocano tra i 25 e i 55 dollari e sono ampiamente disponibili online.
Perché una chiave fisica batte i codici SMS
I codici OTP via SMS possono essere intercettati tramite SIM-swap — dove un aggressore convince il gestore a trasferire il proprio numero su una nuova SIM — o attraverso exploit della rete SS7. Una chiave di sicurezza fisica elimina questi rischi perché l’autenticazione richiede il possesso fisico del dispositivo. Inoltre, la chiave verifica il dominio del sito che richiede l’autenticazione: si rifiuterà quindi di rispondere su un sito di phishing che imita la pagina di login originale.
Usare una chiave fisica con le passkey
Le chiavi di sicurezza fisiche compatibili con FIDO2 possono memorizzare passkey, diventando credenziali portatili e indipendenti dalla piattaforma. A differenza delle passkey sincronizzate tramite iCloud Keychain o Google Password Manager, una passkey su una chiave fisica non è legata a uno specifico ecosistema di dispositivi. Ciò rende le chiavi fisiche una soluzione eccellente per gli utenti multi-piattaforma che lavorano sia su Apple sia su Windows/Android.
Le chiavi fisiche negli ambienti ad alta sicurezza
Le organizzazioni che gestiscono infrastrutture critiche, sistemi finanziari o dati classificati richiedono spesso chiavi di sicurezza fisiche per tutti i login dei dipendenti. Google ha dichiarato di non aver registrato alcun attacco di phishing riuscito tra i suoi oltre 85.000 dipendenti dopo il deployment capillare delle YubiKey. Enti governativi, exchange di criptovalute e strutture sanitarie seguono sempre più lo stesso approccio. Il costo di una chiave (circa 25-55 dollari) è trascurabile rispetto al potenziale danno causato da un singolo account compromesso in contesti ad alto rischio.
Durabilità e fattore di forma
Le chiavi di sicurezza fisiche sono progettate per resistere all’uso quotidiano. La maggior parte è impermeabile, resistente alla pressione e priva di batteria o parti mobili da usurarsi. Il formato portachiavi permette di attaccarla alle chiavi di casa o a un cordino. Alcuni modelli integrano un lettore di impronte digitali per l’autenticazione biometrica direttamente sulla chiave, aggiungendo un terzo fattore (qualcosa che hai più qualcosa che sei) senza bisogno del telefono.
Come scegliere
1. Abbina il tipo di connessione ai tuoi dispositivi
Se usi un laptop USB-C e uno smartphone con NFC, una chiave USB-C + NFC offre la massima compatibilità. Se hai anche macchine con sole porte USB-A, considera l’acquisto di una seconda chiave in formato USB-A + NFC per coprire tutto il parco hardware.
2. Verifica i protocolli supportati
Il supporto a FIDO2/WebAuthn è imprescindibile per la sicurezza moderna. Se hai bisogno anche di password monouso basate su tempo (TOTP), crittografia OpenPGP per le email o gestione delle chiavi SSH, scegli una chiave che supporti quei protocolli aggiuntivi. La serie YubiKey 5, ad esempio, gestisce tutto questo.
3. Mantieni sempre una configurazione a due chiavi
Le chiavi fisiche possono perdersi o danneggiarsi, quindi è importante registrare almeno due chiavi per ogni servizio. Porta quella principale sempre con te e conserva il backup in un posto sicuro, come una cassaforte di casa o un cassetto con lucchetto. Questa strategia a due chiavi garantisce di non rimanere mai esclusi dai propri account.
Configurare la prima chiave di sicurezza
Iniziare con una chiave di sicurezza fisica è semplice. Accedi a un servizio che supporti le chiavi hardware (Google, Microsoft, GitHub, Facebook e molti altri), vai alle impostazioni di sicurezza e seleziona “Aggiungi chiave di sicurezza”. Il servizio guiderà a inserire o avvicinare la chiave e premere il pulsante. L’intera procedura richiede meno di un minuto per servizio. Va ripetuta per ogni account che si vuole proteggere, facendo lo stesso con la chiave di backup. La maggior parte dei servizi permette anche di mantenere altri metodi di secondo fattore (come le app di autenticazione) come alternativa durante la transizione.
Confronto tra modelli: YubiKey vs. Titan vs. altri
La serie YubiKey 5 supporta la gamma più ampia di protocolli (FIDO2, U2F, OTP, PIV, OpenPGP) e viene prodotta nel maggior numero di formati, risultando la scelta più versatile. La Google Titan Security Key si concentra su FIDO2 ed è una scelta solida e senza fronzoli a un prezzo più accessibile. Feitian offre chiavi FIDO2 economiche, adatte alle esigenze di autenticazione di base. Per la maggior parte degli utenti, una YubiKey 5C NFC offre la migliore combinazione di USB-C, NFC e supporto multiprotocollo.
Limitazioni da tenere a mente
Le chiavi di sicurezza fisiche non sono prive di difetti. Non tutti i siti o le app le supportano, quindi sarà comunque necessario mantenere altri metodi di autenticazione per alcuni servizi. La chiave deve essere fisicamente presente al login, il che può essere scomodo se la si dimentica a casa. La funzione NFC potrebbe non funzionare in modo affidabile con alcune custodie per smartphone. E sebbene le chiavi siano robuste, non sono indistruttibili: cadute ripetute sul cemento o immersioni in acqua salata potrebbero alla fine causare guasti. Tutti questi rischi si mitigano mantenendo la configurazione a due chiavi e tenendo attivo almeno un metodo di backup software.
In sintesi
Una chiave di sicurezza fisica è la forma più solida di autenticazione a due fattori disponibile ai consumatori: immune al phishing, agli attacchi SIM-swap e agli exploit remoti perché richiede la presenza fisica. Occorre verificare il tipo di connessione compatibile con i propri dispositivi, confermare il supporto a FIDO2 e registrare sempre una chiave di backup. Per chiunque gestisca account sensibili — finanze personali, infrastrutture cloud o social media — una chiave di sicurezza fisica trasforma la sicurezza degli account da una preoccupazione costante in un problema risolto.