Passkey, addio password: come funzionano e perché conviene

Capita sempre più spesso di ricevere l’invito ad aggiungere una passkey ai propri account, e la proposta merita attenzione perché risolve buona parte dei problemi che le password si portano dietro da decenni. Le password sono familiari, comode nella loro semplicità, ma piene di difetti. Le passkey correggono molti di quei difetti, con il limite che non tutti i servizi online le supportano ancora. Vale comunque la pena capirle, perché una volta impostate fanno risparmiare parecchi passaggi noiosi ogni giorno. Qualche particolarità c’è. Essendo legate a un dispositivo o a un software invece che alla memoria di chi le usa, serve attenzione per non restare chiusi fuori dal posto in cui sono state salvate. E condividerle non è immediato come passare una password a un amico. Detto questo, per la maggior parte delle persone il passaggio conviene, soprattutto per chi non usa già un gestore di password per proteggere i propri accessi.

Come funzionano passkey e password

Una password classica è un codice segreto in forma di testo che autentica l’account. I siti non dovrebbero conservarla in chiaro, perché sarebbe una scelta pessima: una violazione dei dati esporrebbe tutte le credenziali. Al posto del testo viene applicata una funzione a senso unico che produce una versione mescolata, chiamata hash. Quando la password inserita è corretta, l’hash generato coincide con quello nel database e l’accesso va a buon fine. Esistono accorgimenti ulteriori come il salting, cioè l’aggiunta di una stringa casuale che rende diversi gli hash di password identiche, ma la sostanza è quella.

Le passkey non chiedono di ricordare nulla. Si basano su due chiavi: una chiave pubblica conservata dal sito e una chiave privata che resta sul dispositivo. Al momento del login il sito chiede conferma tramite la passkey salvata sul telefono o sul computer. Quelle chiavi vivono in una porzione protetta della memoria e sfruttano il metodo di autenticazione già in uso sul dispositivo, che sia Face ID, il PIN di Windows Hello o il lettore di impronte. Se il concetto sembra astratto, aiuta immaginare una cassetta della posta chiusa a chiave. Chiunque può infilare una lettera nella fessura pubblica, ma solo chi possiede la chiave può aprirla e firmare quella lettera. Guardare la cassetta non rivela nulla sulla chiave. Nel caso delle passkey ci sono due strati in più: la chiave sul dispositivo è protetta dalla biometria ed è progettata per non funzionare mai con una cassetta falsa, cioè un sito di phishing. Motivo in più per impostare un blocco schermo serio: un PIN come 1234 non è il massimo come porta d’ingresso a tutti gli accessi.

I difetti che le passkey correggono

Creare e ricordare credenziali uniche e robuste per ogni servizio è faticoso, così moltissimi riciclano le stesse password deboli ovunque. Ci si può far ingannare e digitarle su un sito fasullo. E anche quando sono conservate in forma mescolata, chi entra in possesso dei dati di una violazione ha comunque modi per sfruttarli. I gestori di password aiutano parecchio, però non sono perfetti: dentro ci si possono salvare credenziali fragili, incollarle su una pagina clone o dimenticare la master password. Le passkey agiscono più a monte. Non esiste una passkey debole, perché lo standard è robusto per costruzione. Soprattutto, non possono essere usate sul sito sbagliato: nascono legate a un dominio specifico, quindi su una pagina imitazione non c’è nulla da consegnare. Il riutilizzo, di conseguenza, è impossibile. In più coprono insieme il fattore “qualcosa che si possiede” e “qualcosa che si sa” oppure “qualcosa che si è”, riducendo la necessità della classica autenticazione a due fattori. E in caso di violazione non c’è nulla da rubare, visto che le chiavi pubbliche sono per definizione pubbliche.

Come iniziare

Basta aprire le impostazioni di un account online e cercare la sezione Sicurezza o Accesso. I servizi compatibili accompagnano nella creazione dopo aver attivato l’apposita opzione. Poi va scelto dove salvare la chiave: macOS e iOS usano di default l’app Password di Apple, Android si appoggia a Google Password Manager, Windows 11 le tiene sul dispositivo in Impostazioni, Account, Passkey. Linux non ha ancora un supporto nativo.

Conservarle in un buon gestore di password resta la scelta più sensata, soprattutto passando da un ecosistema all’altro. Avere tutto in Apple Password diventa scomodo quando serve entrare da un telefono Android. Alcuni servizi permettono di scansionare un codice QR per autenticarsi da un altro apparecchio, ma non è agile. La condivisione con persone fidate funziona solo tramite le cassaforti condivise dei gestori, e la sincronizzazione su più dispositivi evita guai se uno smette di funzionare. Chi vuole spingersi oltre può conservare le passkey su una chiave fisica di sicurezza come una YubiKey. Una volta creata, la passkey serve per gli accessi successivi: compare la richiesta di autenticarsi con il dispositivo e in un attimo si è dentro. A seconda del servizio può sostituire la password o affiancarla, e nel secondo caso conviene comunque tenere una password solida, perché un account vale quanto il suo metodo di accesso più fragile.