**PASSKEY: LA NUOVA SFIDA DELLA Sicurezza INFORMATICA**
Nel campo della sicurezza informatica è raro imbattersi in una soluzione in grado di coniugare pienamente praticità e protezione. Eppure, le **passkey** si prefiggono proprio questo obiettivo ambendo a rivestire il ruolo di “*password killer*“. Una Tecnologia, cioè, capace di sostituire le password, così odiate ma allo stesso tempo essenziali per difendere i propri dati e i flussi di lavoro.
Al contrario delle password tradizionali, le passkey non utilizzano un segreto condiviso tra utente e server. Invece, poggiano il loro funzionamento su una coppia di chiavi crittografiche, una pubblica e una privata. La chiave pubblica è trasmessa al server che gestisce l’account dell’utente; la chiave privata è invece conservata in un’area sicura presente nel dispositivo dell’utente.
**COME FUNZIONANO LE PASSWORD**
Prima di addentrarci nei “pro” e “contro” delle passkey, ricordiamo brevemente come funziona l’autenticazione con la classica coppia username-password.
Abbiamo detto nell’introduzione che l’autenticazione tradizionale affonda le sue radici sulla condivisione di un segreto tra utente e server remoto. La password che l’utente usa per accedere ai servizi, è nota al server.
Le password non dovrebbero mai essere salvate in chiaro sui server remoti: nell’articolo dedicato a come conservano le password i siti Web, abbiamo visto che l’hashing (attraverso l’uso di un algoritmo sicuro), è una pratica irrinunciabile. L’hash di una password è una sua rappresentazione derivata: è facile calcolare l’hash di una password, ma deve risultare di fatto impossibile tornare alla password in chiaro a partire dal suo valore hash.
Quando si digita la password per accedere a un servizio, la password è dapprima sottoposta ad hashing in locale quindi il valore hash è inviato al server. Se questo valore corrisponde all’hash della password conservato sui server del fornitore del servizio, l’accesso è autorizzato.
In un mondo ideale, se un qualunque malintenzionato riuscisse a rubare gli hash delle password lato server, l’operazione dovrebbe essere di fatto infruttuosa perché il processo di hashing non è invertibile. In realtà, se l’utente si fosse servito di una password semplice, i criminali informatici potrebbero avere già precalcolato tutte le versioni “hashed” delle password più comuni. Imbattendosi in un hash noto, possono risalire immediatamente alla password usata. Ecco perché è bene seguire alcune regole fondamentali per creare password e utilizzarle in sicurezza.
**I VANTAGGI DEL PROCESSO DI AUTENTICAZIONE MEDIANTE PASSKEY**
L’approccio alla base del funzionamento delle passkey offre diversi vantaggi. Innanzitutto, semplifica il processo di autenticazione, in quanto le chiavi sono generate e gestite automaticamente, senza la necessità di ricordarle o digitarle (come avviene invece nel caso delle password).
Ogni passkey, inoltre, è legata a uno specifico sito/server: la coppia di chiavi non può essere quindi utilizzata su siti “fasulli”. Decade quindi l’efficacia degli attacchi phishing: i criminali informatici non possono più creare una…
**I PRINCIPALI SVANTAGGI DELLE PASSKEY**
Presentate come vere e proprie sostitute delle password, le passkey pongono comunque diverse sfide.
Partiamo dal principio. Abbiamo detto che la chiave privata usata ai fini dell’autenticazione, è conservata in un’area sicura (vault) disponibile in ciascun device client. È tuttavia cosa assai comune, per gli utenti, servirsi di più dispositivi diversi. Autenticarsi correttamente usando dispositivi differenti può risultare complicato, se le chiavi private sono memorizzate in un unico dispositivo.
Attualmente, la soluzione prevalente prevede l’autenticazione tramite un dispositivo secondario utilizzando un codice QR, un collegamento con il telefono (Bluetooth, NFC o USB) e un server cloud (a sua volta chiamato in causa come parte del processo). Questa procedura, sebbene apparentemente semplice per l’utente, presuppone l’effettuazione di molteplici operazioni “dietro le quinte”.
Un altro tema cruciale è legato al recupero dell’account in caso di perdita del dispositivo contenente le chiavi private. Attualmente, molte piattaforme offrono opzioni di recupero basate su domande di sicurezza o invio di link per il reset della password. Tuttavia, ciò potrebbe compromettere la sicurezza delle stesse passkey, poiché si ricorre di nuovo alle password tradizionali. Questo documento approfondisce le strategie di recupero dell’account nel caso delle passkey.
**IL PROBLEMA DELLA SINCRONIZZAZIONE DELLE CHIAVI**
La sincronizzazione sicura e continua delle chiavi private tra dispositivi diversi rappresenta di per sé un problema importante. Sebbene alcuni fornitori di password manager stiano lavorando su soluzioni per gestire le passkey in modo intelligente, al momento non esiste un metodo universalmente accettato e interoperabile.
Apple, Google e Microsoft hanno tutte implementato il supporto iniziale per le passkey. Poiché, evidentemente, queste aziende non sono disposte a gestire le richieste di supporto degli utenti che perdono i loro dispositivi, hanno creato meccanismi per il backup e la sincronizzazione delle passkey tra i dispositivi. Al momento, però, si tratta di meccanismi proprietari: un computer basato su Windows e un iPhone, ad esempio, non potranno sincronizzare le chiavi personali degli utenti. A meno che l’utente non ricorra al metodo basato sull’utilizzo del codice QR, citato in precedenza.
**LE PASSKEY SONO VULNERABILI AGLI ATTACCHI DI SESSION HIJACKING**
Pur rappresentando un vero e proprio baluardo contro il phishing, le passkey restano comunque vulnerabili (così come accade con le modalità di autenticazione di tipo tradizionale) agli attacchi di session hijacking.
Dopo che un utente ha effettuato il login tramite passkey, un criminale informatico può ad esempio intercettare il cookie di sessione creato sul client e utilizzarlo per impersonare l’identità di un altro utente.
Anche nel contesto delle passkey, gli attacchi di session hijacking possono essere particolarmente pericolosi. Poiché le passkey sono associate a una specifica sessione, un attaccante potrebbe intercettare o manipolare tale sessione per ottenere accesso all’account dell’utente, senza la necessità di conoscere direttamente le chiavi private.
**È BENE ADOTTARE LE PASSKEY SIN DA SUBITO?**
Sebbene le passkey abbiano effettivamente il potenziale per rimpiazzare non soltanto le password tradizionali ma anche l’autenticazione a due fattori, per adesso suggeriamo ancora di muoversi con i proverbiali piedi di piombo.
Come sappiamo, per Google le passkey sono diventate meccanismo predefinito di autenticazione e tanti vendor si sono gettati a capofitto nel supporto di questo nuovo strumento. Da parte nostra, ci sentiamo di suggerire di adottare le passkey con cautela.
Sono infatti necessarie soluzioni che affrontino in modo efficace i nodi legati con la gestione multi-dispositivo e il recupero degli account. È inoltre essenziale che le soluzioni basate sulle passkey siano interoperabili sulle varie piattaforme, al fine di assicurarne un’adozione sicura su larga scala.
Nel frattempo, c’è una directory che raccoglie l’elenco dei siti Web compatibili con il sistema delle passkey. Il numero delle piattaforme compatibili crescerà indubbiamente nel prossimo futuro ma è necessaria una specifica aperta per gestire e risolvere i problemi residui che le passkey hanno lasciato sul tavolo.
Insomma, le passkey rappresentano un passo avanti enorme ma, diversamente da quello che riportano tante testate online, per sostituire davvero le password tradizionali passerà ancora del tempo.
*Credit immagine in apertura: iStock.com – D3Damon*