In questo articolo Indice dei contenuti 3 sezioni
Le passkey stanno lentamente prendendo il posto delle vecchie password, e non si tratta di una moda passeggera: la sostituzione è già cominciata, anche se procede a ritmo lento e senza strappi. Il motivo di fondo è semplice, quasi banale da dire ad alta voce: le password, così come le usiamo da decenni, hanno smesso da un pezzo di essere uno strumento affidabile per proteggere gli account.
Basta guardare le abitudini di chiunque abbia più di tre profili online. La stessa combinazione riciclata su siti diversi, magari con una variazione minima alla fine, magari appuntata da qualche parte per non dimenticarla. Funziona finché funziona. Poi arriva la fuga di dati da un servizio qualsiasi, quella chiave finisce in circolazione e il castello di carte crolla in un attimo. Non serve un attacco sofisticato, serve solo un po’ di pazienza da parte di chi prova la stessa credenziale su decine di piattaforme.
Perché le password hanno fatto il loro tempo
Il problema della sicurezza online legata alle password non è nato ieri. È strutturale. Una password è un segreto condiviso: la conosciamo noi e la conosce il servizio a cui ci colleghiamo. Questo significa che esiste sempre un punto in cui quel segreto può essere intercettato, copiato, indovinato oppure semplicemente estratto da un archivio mal protetto. Aggiungiamo il fattore umano, che è quello che pesa di più. Le combinazioni davvero robuste sono difficili da ricordare, quelle facili da ricordare sono deboli, e nel mezzo c’è tutta la fascia grigia di chi si arrangia come può.
Proprio per questo le grandi piattaforme lavorano da tempo su alternative concrete. Non si tratta di aggiungere l’ennesimo passaggio in più, tipo il codice via messaggio che arriva quando ormai abbiamo perso la pazienza, ma di cambiare proprio il meccanismo alla radice. L’idea è togliere di mezzo il segreto condiviso, quindi togliere di mezzo l’oggetto che i malintenzionati cercano di rubare.
Cosa cambia davvero con le passkey
Qui entra in gioco il login senza password, che poi è la promessa centrale delle passkey. L’accesso avviene attraverso il dispositivo che abbiamo già in mano o sulla scrivania, sbloccato con il metodo che usiamo tutti i giorni. Niente da digitare, niente da ricordare, niente da annotare su un foglietto. Il vantaggio è doppio: da una parte la protezione degli account sale parecchio, dall’altra l’esperienza quotidiana diventa più rapida.
C’è anche un aspetto meno evidente ma non meno importante. Con le password, la sicurezza dipende in buona parte dal comportamento dell’utente. Con le passkey, gran parte di quella responsabilità si sposta sul sistema, che gestisce il processo in modo automatico. Meno margine di errore, meno tentazione di prendere scorciatoie.
La transizione sarà lunga, non immediata
Detto questo, non conviene immaginare un cambio di scenario dall’oggi al domani. La diffusione delle passkey è ancora limitata e riguarda soprattutto i servizi più grandi, quelli che hanno le risorse per riprogettare i propri sistemi di accesso. Moltissimi siti, portali e applicazioni continuano a funzionare esclusivamente con le credenziali tradizionali, e continueranno a farlo per un bel po’.
Il risultato è una fase intermedia in cui i due mondi convivono. Su alcune piattaforme si entra con il volto o con l’impronta, su altre si torna alla combinazione di lettere e numeri di sempre. Questa autenticazione ibrida non è elegantissima, ma è la strada obbligata di qualsiasi cambiamento che coinvolga miliardi di utenti e infrastrutture costruite anni fa. Nel frattempo, chi usa ancora le password farebbe bene a non riciclarle tra un servizio e l’altro, perché finché quel sistema resta in piedi rimane anche il suo punto debole più evidente. Il passaggio alle passkey andrà avanti servizio dopo servizio, con tempi diversi a seconda della piattaforma.
