A partire dal 10 ottobre scorso, Google sta cominciando a chiedere agli utenti di passare dalle password alle passkey . Microsoft ha incluso il supporto alle passkey nell'aggiornamento di settembre di Windows 11, e Apple lo integra già a partire da iOS 16 e macOS 13.

Nonostante l'assonanza, una passkey è molto differente da una password. La password è una sequenza di caratteri che dobbiamo immettere per accedere a un account o a un servizio. La passkey, invece, non si deve digitare: è un codice custodito in parte sul nostro dispositivo e in parte sul server che gestisce un servizio online. Le due parti sono protette dalla crittografia a chiave pubblica, secondo uno standard aperto adottato da quasi tutte le principali aziende informatiche.

Il vantaggio principale delle passkey è che per accedere a un'app o a un sito non abbiamo più bisogno di digitare una password. Se accediamo usando uno smartphone, è sufficiente sbloccarlo usando il nostro PIN o l'impronta digitale o il riconoscimento facciale (o, per i più paranoici, un cosiddetto token di sicurezza hardware). Se accediamo usando invece un computer, è sufficiente avere il nostro smartphone nelle vicinanze del computer: sul telefono comparirà una richiesta di sblocco, e se la accettiamo il computer verrà autorizzato. Non ci servono più codici supplementari ricevuti via SMS o generati da app separate per l'autenticazione a due fattori.

L'altro vantaggio fondamentale è che le passkey resistono alle tecniche di furto più diffuse, come il phishing o il keylogging. Nel phishing, la vittima viene convinta con l'inganno a immettere la password in un sito che sembra quello reale ma è in realtà una copia gestita dai truffatori; nel keylogging, l'aggressore intercetta tutto quello che scriviamo con la tastiera e quindi riceve anche la password. Ma se usiamo le passkey, non c'è più nulla di intercettabile. Se un sito che usiamo viene attaccato, non è più possibile rubarne l'archivio delle password, perché non c'è: al suo posto ci sono le passkey parziali, che però sono inutilizzabili senza la parte di passkey che risiede sul nostro dispositivo.

Le passkey eliminano anche uno dei pericoli più frequenti delle password: dimenticarsela. Qui non c'è più nulla da dimenticare, perché è tutto memorizzato nel nostro dispositivo. Di conseguenza, viene eliminato anche un altro rischio ricorrente, ossia l'abitudine diffusissima di usare la stessa password dappertutto, col risultato che se un aggressore scopre la password di uno dei nostri account ha automaticamente le password di tutti gli altri. Con le passkey, invece, ogni servizio ha automaticamente una credenziale differente.

Una volta tanto, insomma, siamo di fronte a un'innovazione tecnologica che ci chiede di fare meno cose di prima in cambio di maggiore sicurezza. Ma in pratica, come funziona?

Ti invitiamo a leggere la pagina successiva di questo articolo:
Passkey in pratica: proteggere un account Google