Passkey: cosa sono e perché stanno sostituendo le password

Per decenni l'accesso ai servizi digitali si è basato su un segreto da ricordare: la password. Abbiamo imparato a renderla lunga, unica, a custodirla in un gestore e ad affiancarle un secondo fattore. Ma il problema di fondo resta: una password può essere indovinata, rubata, riutilizzata o consegnata per errore a un sito falso.

Le passkey nascono per risolvere proprio questo. Le stanno adottando i grandi servizi online, i sistemi operativi dei computer e dei telefoni e, sempre più spesso, le piattaforme usate dalle organizzazioni.

Come funzionano, in parole semplici

Quando crei una passkey per un servizio, il tuo dispositivo genera una coppia di chiavi crittografiche:

• una chiave privata, che resta sul tuo telefono, sul computer o su una chiavetta di sicurezza e non viene mai inviata a nessuno;
• una chiave pubblica, che viene consegnata al servizio.

Quando accedi, il servizio invia una richiesta che solo la tua chiave privata può firmare. Il dispositivo ti chiede di sbloccarla con l'impronta, il riconoscimento del volto o il PIN, e la firma viene inviata. Non digiti nulla e nessun segreto viaggia in rete.

Perché sono più sicure

Resistono al phishing. Una passkey è legata al dominio del sito per cui è stata creata. Se arrivi su una pagina falsa, anche identica all'originale, il dispositivo semplicemente non la userà. È il vantaggio più importante, perché il phishing resta il modo più diffuso per rubare credenziali.

Non possono essere riutilizzate. Ogni passkey vale per un solo servizio. Il furto di dati da un sito non mette a rischio gli altri.

Non si possono indovinare. Non esistono passkey deboli o prevedibili.

Combinano due fattori in uno. Serve il dispositivo, e serve sbloccarlo con qualcosa che sei o che sai. È per questo che molti servizi le considerano già un'autenticazione a più fattori.

Cosa cambia per chi le usa

All'inizio può sembrare strano non digitare una password. In pratica l'accesso diventa più rapido: un tocco sul sensore, uno sguardo al telefono. Alcuni punti da sapere:

• le passkey possono essere sincronizzate tra i tuoi dispositivi attraverso il gestore di password o l'account del sistema operativo, oppure restare legate a un singolo dispositivo o a una chiavetta;
• se perdi il dispositivo, servono metodi di recupero: un altro dispositivo con la passkey, una chiavetta di riserva o la procedura prevista dall'organizzazione;
• su un computer che non è il tuo puoi spesso accedere inquadrando un codice con il telefono, che conserva la passkey.

Al lavoro

Per gli account di lavoro la scelta spetta all'organizzazione, che deve abilitare le passkey nei propri sistemi e decidere come gestirle, ad esempio se usare chiavette fisiche per i ruoli più delicati. Se la tua organizzazione le supporta, attivarle è una delle scelte migliori che puoi fare. Se non le supporta ancora, vale la pena chiedere se è in programma.

Per gli account personali, molti servizi le offrono già nelle impostazioni di sicurezza.

In sintesi

Le passkey non chiedono di ricordare nulla e non cadono nelle trappole delle pagine false. Non elimineranno le password da un giorno all'altro, ma sono la direzione in cui sta andando l'accesso sicuro.