Passkey: cosa sono e perché stanno sostituendo le password
Google, Apple, Microsoft, Amazon e PayPal le supportano già. Le passkey eliminano le password e sono progettate per resistere al phishing. Ecco come funzionano e come attivarle.
- Livello
- principiante
- Tempo
- 5 minuti
- Cosa serve
- Niente, solo curiosità
Le password hanno un difetto di fondo. Per funzionare devono essere segrete, ma per usarle devi scriverle da qualche parte, e tutto ciò che scrivi può essere rubato, indovinato o carpito con un sito fasullo. Le passkey nascono per risolvere il problema alla radice, e nel giro di pochi anni sono passate da esperimento a standard adottato dai principali servizi online.
Passkey (in italiano "chiave d'accesso", ma nei menu la trovi sempre in inglese): una chiave segreta che il telefono crea e custodisce al posto tuo, al posto della password. Chiave privata e chiave pubblica (in inglese private key e public key): la prima resta nel tuo dispositivo e non esce mai, la seconda la riceve il sito e da sola non serve a nessuno. Biometria (biometrics): impronta o volto, che qui servono solo a sbloccare il dispositivo, non vengono mandati al sito.
Come funzionano
Una passkey è una coppia di chiavi crittografiche creata dal tuo dispositivo quando ti registri a un sito. La chiave privata resta protetta dal sistema e non viene mai mostrata al sito: se hai attivato la sincronizzazione viaggia solo cifrata tra i tuoi dispositivi, dentro il portachiavi di Apple, di Google o del gestore che usi. Al sito viene inviata solo la chiave pubblica. Quando accedi, il sito manda una “sfida” e il tuo dispositivo la firma con la chiave privata, dopo averti chiesto l’impronta digitale, il volto o il PIN di sblocco.
Nella pratica vuol dire niente password da ricordare, niente da digitare sul sito e nessuna parola segreta che un malintenzionato possa farsi consegnare con una pagina falsa. Quello che resta da proteggere è il codice di sblocco del dispositivo. E un sito di phishing che imita la tua banca non riceve nessuna password, perché la passkey funziona solo sul dominio esatto per cui è stata creata.
Dove sono già disponibili
Google, Apple, Microsoft, Amazon, PayPal, eBay, GitHub, WhatsApp e molti altri permettono già di accedere con passkey. In Italia qualche banca ha cominciato a offrirle, mentre per i servizi pubblici si continua a entrare con SPID o con la CIE. Le passkey si sincronizzano tra dispositivi tramite il Portachiavi iCloud, Google Password Manager o gestori di password come 1Password e Bitwarden, quindi non resti chiuso fuori se cambi telefono.
Come attivarle
Vai nelle impostazioni di sicurezza dell’account (di solito alla voce “Accesso” o “Password e sicurezza”), cerca “Passkey” e segui la procedura. Il dispositivo ti chiederà una conferma biometrica e la passkey sarà pronta. Io però terrei attiva anche la password come metodo di riserva finché non sei sicuro di avere la passkey su almeno due dispositivi.
Cosa cambia per la sicurezza
Le passkey tolgono di mezzo i due attacchi più diffusi, il phishing e il riutilizzo delle password rubate altrove. Con un però: valgono davvero quando la password viene disattivata, perché finché resta lì come riserva chi ti imbroglia punta a quella. Restano importanti il blocco del dispositivo con un codice robusto e il backup dell’account cloud che sincronizza le chiavi.
Se il tuo servizio preferito le offre, attivarle è probabilmente il miglioramento di sicurezza più semplice che puoi fare oggi. Comincia dall’account email, poi passa a quelli dove c’è di mezzo il denaro.