Digital Passkeys: l'autenticazione senza password per ridurre il rischio di attacchi informatici

Le password rappresentano da anni uno dei principali punti di esposizione nella sicurezza degli account aziendali. Credenziali deboli, riutilizzate su più servizi o sottratte attraverso campagne di phishing possono consentire agli attaccanti di accedere a caselle di posta, applicazioni cloud, sistemi aziendali e informazioni riservate.

Le Digital Passkeys introducono un modello di autenticazione alternativo, basato sulla crittografia a chiave pubblica e progettato per ridurre la dipendenza dalle password tradizionali. L'obiettivo non è soltanto semplificare l'accesso agli account, ma intervenire su una delle tecniche più utilizzate per compromettere le identità digitali: il furto delle credenziali.

Le Novità

Le passkey sono credenziali digitali basate sugli standard FIDO (Fast Identity Online), che consentono agli utenti di autenticarsi senza dover digitare una password. L'accesso viene autorizzato attraverso il dispositivo dell'utente, utilizzando ad esempio il riconoscimento biometrico, un PIN o il sistema di sblocco del dispositivo.

A differenza delle password tradizionali, le passkey utilizzano una coppia di chiavi crittografiche: una chiave privata, utilizzata per dimostrare l'identità dell'utente, e una chiave pubblica, registrata presso il servizio a cui si intende accedere.

Questo modello modifica in modo sostanziale il processo di autenticazione. Il servizio non deve più verificare una password condivisa con l'utente, ma la validità di una risposta crittografica generata utilizzando la credenziale registrata.

Le passkey si basano sugli standard FIDO2 (FIDO2 è uno standard di autenticazione senza password che combina il protocollo Client to Authenticator Protocol (CTAP) e lo standard web WebAuthn, consentendo l'autenticazione tramite passkey e chiavi di sicurezza hardware, con una maggiore resistenza agli attacchi di phishing.) e WebAuthn e sono supportate dai principali sistemi operativi, browser e servizi di gestione delle credenziali. Possono essere conservate sul dispositivo, in un gestore di passkey sincronizzato tra dispositivi compatibili oppure, nei casi previsti, in una chiave di sicurezza hardware.

Un ulteriore elemento riguarda la verifica biometrica: quando viene utilizzata per autorizzare l'accesso, l'impronta digitale o il riconoscimento del volto servono normalmente a sbloccare la credenziale sul dispositivo. Il dato biometrico non viene trasmesso al sito web come se fosse una password.

Come funzionano le Digital Passkeys?

Il funzionamento delle passkey si basa su un processo crittografico che riduce la necessità di trasmettere o conservare segreti condivisi.

Durante la registrazione, il dispositivo o l'autenticatore genera una coppia di chiavi associata allo specifico account. La chiave pubblica viene registrata dal servizio, mentre la chiave privata rimane protetta nell'autenticatore o nel gestore di credenziali utilizzato, secondo la modalità di implementazione.

Quando l'utente tenta di accedere, il servizio genera una richiesta di autenticazione. L'autenticatore utilizza la chiave privata per produrre una risposta crittografica valida, che il servizio verifica attraverso la chiave pubblica precedentemente registrata.

Se la verifica ha esito positivo e sono soddisfatte le condizioni di autenticazione previste, l'accesso viene autorizzato.

Questo meccanismo presenta una differenza importante rispetto alle password: il servizio non deve conservare una password riutilizzabile che possa essere sottratta e successivamente impiegata da un attaccante.

Le passkey sono inoltre legate all'identità del sito o dell'applicazione per cui sono state registrate. Un sito fraudolento che imita un portale aziendale non può normalmente utilizzare una passkey registrata per il dominio legittimo.

Perché le passkey riducono il rischio di phishing

Il phishing continua a essere una minaccia rilevante perché sfrutta la possibilità di indurre una persona a comunicare credenziali valide a un sito o a un interlocutore fraudolento.

Con le password tradizionali, anche un utente formato e attento può essere ingannato da una pagina di accesso ben costruita. Se la password viene inserita nel sito sbagliato, l'attaccante può provare a riutilizzarla per accedere al servizio autentico.

Le passkey riducono questo rischio grazie al legame crittografico tra la credenziale e il servizio destinatario. L'autenticazione viene verificata rispetto all'identità del sito e non dipende dalla capacità dell'utente di riconoscere visivamente una pagina contraffatta.

Questo contribuisce a contrastare diverse tipologie di attacco, tra cui:

-       il phishing finalizzato al furto delle credenziali;

-       il credential stuffing, che sfrutta password rubate da altri servizi;

-       il riutilizzo di password compromesse;

-       alcune forme di attacco basate sull'intercettazione o sul trasferimento fraudolento delle credenziali.

La resistenza al phishing è uno dei principali vantaggi delle passkey conformi agli standard FIDO. Non significa, tuttavia, che ogni attacco contro un account diventi impossibile. Malware, furto di sessioni già autenticate, compromissione dei dispositivi e procedure di recupero deboli possono continuare a rappresentare rischi concreti.

Quali vantaggi per le aziende?

L'introduzione delle passkey può contribuire a rafforzare la sicurezza delle identità digitali, semplificando allo stesso tempo l'esperienza di accesso per dipendenti, collaboratori e utenti esterni.

Il primo vantaggio riguarda la riduzione dell'esposizione al furto delle credenziali. Eliminando la password dal normale flusso di autenticazione, viene meno uno degli elementi più frequentemente sfruttati nelle campagne di phishing e negli attacchi basati su credenziali sottratte.

Un secondo beneficio riguarda la gestione operativa. Ridurre la dipendenza dalle password può diminuire la necessità di reimpostazioni, sblocchi degli account e interventi del servizio IT legati a credenziali dimenticate o compromesse.

Le passkey possono inoltre rendere più rapido il processo di autenticazione, utilizzando meccanismi che gli utenti conoscono già, come lo sblocco biometrico o il PIN del dispositivo.

In ambito aziendale, questi benefici devono però essere valutati insieme ai requisiti di sicurezza e alle modalità di gestione delle identità. Le credenziali destinate agli utenti standard, agli amministratori IT e agli account privilegiati possono richiedere livelli di controllo differenti.

L'adozione in azienda: cosa valutare

L'introduzione delle passkey non dovrebbe essere considerata una semplice sostituzione tecnica delle password. Per ottenere benefici concreti è necessario inserirle in una strategia più ampia di Identity and Access Management.

Il primo passo consiste nel verificare la compatibilità delle passkey con i sistemi di autenticazione, i provider di identità, le applicazioni aziendali e gli strumenti utilizzati per l'accesso remoto.

È inoltre importante definire quale tipologia di passkey adottare. Le credenziali sincronizzate tra dispositivi possono offrire maggiore comodità e facilitare il recupero in caso di sostituzione di un dispositivo. Le passkey vincolate a uno specifico dispositivo o a una chiave hardware possono invece rispondere a esigenze di controllo più stringenti, in funzione dell'implementazione e delle policy adottate.

Un'attenzione particolare deve essere riservata agli account privilegiati, ai sistemi critici e agli utenti con accesso a informazioni sensibili. In questi casi è necessario valutare i requisiti di autenticazione, la gestione dei dispositivi, le modalità di registrazione delle credenziali e le procedure per revocarle in caso di smarrimento o compromissione.

Anche il recupero dell'account è un elemento fondamentale. Un sistema di autenticazione robusto può perdere parte dei propri benefici se un attaccante riesce ad aggirarlo attraverso procedure di recupero basate su verifiche insufficienti.

Per questo motivo, un progetto di adozione dovrebbe prevedere almeno:

·      una valutazione preliminare delle applicazioni e dei sistemi compatibili;

·      un progetto pilota con un gruppo controllato di utenti;

·      procedure sicure di registrazione, recupero e revoca delle credenziali;

·      regole specifiche per account privilegiati e dispositivi aziendali;

·      formazione degli utenti e monitoraggio degli eventi di autenticazione;

·      un piano progressivo per estendere l'utilizzo delle passkey e ridurre la dipendenza dalle password tradizionali.

Passkey e strategia di cybersecurity

Le Digital Passkeys rappresentano un'evoluzione importante nella protezione delle identità digitali, ma la loro efficacia dipende dal contesto in cui vengono implementate.

La sicurezza dell'autenticazione deve essere integrata con la gestione degli accessi, la protezione dei dispositivi, il monitoraggio degli eventi e la capacità di individuare e gestire eventuali compromissioni. Le passkey possono ridurre significativamente l'esposizione ad alcuni attacchi basati sulle credenziali, ma non sostituiscono le altre misure necessarie per proteggere sistemi, dati e processi aziendali.

Conclusione

Le Digital Passkeys segnano un passaggio importante verso un modello di autenticazione più sicuro e meno dipendente dalle password.

Grazie alla crittografia a chiave pubblica e al legame con l'identità del servizio, contribuiscono a contrastare il phishing, il furto delle credenziali e il riutilizzo delle password compromesse, migliorando allo stesso tempo l'esperienza di accesso. Per le aziende, la sfida consiste nell'introdurre questa tecnologia in modo strutturato, considerando non soltanto l'autenticazione, ma anche la gestione delle identità, dei dispositivi e delle procedure di recupero.

Ridurre la dipendenza dalle password è un passo concreto verso una maggiore protezione degli accessi. Inserire le passkey in una strategia di sicurezza coerente significa rendere più resiliente uno dei punti più esposti dell'infrastruttura digitale aziendale.