Le passkey sono il tentativo più serio, finora, di mandare in pensione la password. Grandi aziende come Google, Apple e Microsoft le stanno introducendo ovunque, e sempre più siti le supportano. Ma cosa sono davvero, come funzionano e perché rappresentano un passo avanti per la sicurezza? Vediamolo in modo semplice.
Cos’è una passkey
Una passkey è una credenziale di accesso che sostituisce la password. Invece di digitare una parola segreta, ci si autentica sbloccando il proprio dispositivo con l’impronta, il volto o il PIN, esattamente come si sblocca lo smartphone. Dietro le quinte lavora la crittografia a chiave pubblica: quando crei una passkey, il dispositivo genera una coppia di chiavi. Quella pubblica viene consegnata al sito, quella privata resta sul tuo dispositivo e non lo lascia mai.
Al momento dell’accesso, il sito invia una sfida che solo la chiave privata può risolvere. Il dispositivo la firma dopo che hai confermato la tua identità in locale, e il sito verifica la firma con la chiave pubblica. Non viaggia mai alcun segreto riutilizzabile sulla rete.
Perché è più sicura della password
I vantaggi non sono teorici, riguardano i modi in cui gli account vengono realmente violati:
- Resiste al phishing: la passkey è legata al sito reale per cui è stata creata. Un sito clone non riesce a farsela usare, perché il browser sa che l’indirizzo non corrisponde.
- Niente da rubare in un data breach: il server conserva solo la chiave pubblica, che da sola non serve a nulla. Non ci sono password da trafugare o da decifrare.
- Nessun riutilizzo: ogni passkey è unica per ogni servizio. Cade il problema, diffusissimo, della stessa password usata su decine di siti.
- Niente da ricordare o digitare: non può essere carpita guardando la tastiera né indovinata, perché non è una parola.
Dove sono conservate
Le passkey vengono salvate nel gestore del sistema operativo o in un password manager. In genere si sincronizzano in modo cifrato tra i tuoi dispositivi collegati allo stesso account (per esempio tutti quelli Apple, o tramite il gestore password di Google), così se cambi telefono le ritrovi. Esistono anche passkey legate a un singolo dispositivo o a una chiave di sicurezza fisica, più rigide ma adatte a chi cerca il massimo controllo.
Come iniziare
Passare alle passkey è graduale e non obbligatorio da un giorno all’altro. Alcuni passi pratici:
- Attivale sugli account principali: molti servizi importanti offrono già l’opzione nelle impostazioni di sicurezza. Vale la pena partire da lì.
- Tieni comunque attivi i metodi di recupero: durante la transizione, la password e l’autenticazione a più fattori restano una rete di sicurezza. A questo proposito, dai un’occhiata alla nostra guida all’autenticazione a più fattori.
- Usa un password manager: aiuta a gestire passkey e credenziali residue in un unico posto ordinato.
In sintesi
Le passkey spostano la sicurezza da un segreto che devi custodire tu a una chiave crittografica che il tuo dispositivo custodisce per te, resistente al phishing e inutile da rubare. Non spariranno tutte le password domani, ma la direzione è tracciata. Attivarle dove è possibile è uno dei pochi cambiamenti che rendono un account, allo stesso tempo, più sicuro e più comodo da usare.