Le passkey dovevano mandare in pensione le password, eppure a distanza di anni la sensazione è che ci troviamo ancora a smanettare dentro il gestore delle password come sempre. La promessa era allettante, un sistema che combina una coppia di chiavi crittografiche, una pubblica e una privata, con un’autenticazione locale come l’impronta digitale o la scansione del volto. Il dispositivo dimostra la sua identità senza ombra di dubbio e l’idea di fondo è che solo il proprietario possa sbloccarlo. Quando funziona sembra una rivelazione, ma il più delle volte le vecchie password restano il metodo principale per accedere alle cose.
Quasi nessuno sa davvero cosa sia una passkey
Il problema più grande, probabilmente, è che le passkey sono arrivate un po’ di soppiatto. La gente stava tranquillamente navigando e a un certo punto, al momento del login, si è vista offrire l’opzione di usare una passkey. Da lì in poi succede di tutto. A seconda di quanto insiste il sito, molti scelgono semplicemente “salta” o qualsiasi altra cosa permetta di entrare come al solito.
Per i più curiosi, invece, toccare quell’opzione può aprire una specie di tunnel senza spiegazioni. Chi scrive di sicurezza informatica per mestiere fatica a capire cosa diavolo sia una passkey basandosi sulle informazioni che offrono i siti. Nemmeno uno, nemmeno tra i grandi nomi, spiega in parole semplici come funziona o perché conviene usarla. Ti spingono a completare i passaggi e ti ritrovi legato a un nuovo metodo di sicurezza che magari non è nemmeno adatto al tuo profilo di rischio.
I siti hanno paura di imporre le passkey
L’altra faccia della medaglia è quanto siano stati timidi i siti web. Invece di rendere le passkey obbligatorie, le hanno lasciate come una semplice opzione in più. Eppure non erano così timidi quando si trattava di imporre l’autenticazione a due fattori o le regole più assurde per le password “forti”. Come mai questo cambio di atteggiamento?
Qui salta fuori una delle debolezze più grandi del sistema. Dato che la passkey è legata a un dispositivo fisico che contiene una chiave privata locale, sei nei guai seri se quel dispositivo si perde o si rompe e non hai un backup sincronizzato sul cloud. Certo, si possono avere più dispositivi con le passkey, ma serve comunque un sistema di riserva per accedere in sicurezza quando il metodo principale fa cilecca.
Il problema è che quando qualcosa è facoltativo la maggior parte delle persone sceglie la via più comoda e resta col sistema che già conosce. E poi c’è un’altra questione. Se il vecchio sistema a password rimane come riserva, le passkey rendono davvero le cose più sicure? Il sistema a password è ancora lì come vettore d’attacco, esattamente come sempre.
Nella vita reale c’è troppo attrito
L’esperienza quotidiana con le passkey racconta qualcosa di ancora peggio. Spesso una passkey comporta più attrito che digitare un semplice codice per riempire il campo della password. Scansionare un codice QR per usare una passkey salvata su iPhone a volte richiede un’eternità, e anche dopo tutto quel giro non è detto che la cosa funzioni davvero. Capita che un sito aspetti l’ultimo momento per avvisare che la passkey non va bene, costringendo comunque a ripiegare sulla password con l’autenticazione a due fattori.
È uno dei motivi per cui molti sono costretti a creare passkey su più dispositivi, perché di solito la passkey sul dispositivo stesso è il modo più affidabile per accedere. Ma lasciarne in giro così tante su apparecchi diversi non è certo una scelta che fa dormire sonni tranquilli.
Le passkey sono un passo nella direzione giusta, questo è fuori discussione, ma il lancio e l’esecuzione sono stati parecchio grezzi. La verità è che quando dai alla persona media la scelta tra provare qualcosa di nuovo o tenere tutto com’è, tende a preferire ciò che è familiare e comodo. Se l’industria della cybersicurezza vuole un’adozione di massa delle passkey, i siti devono promuoverle attivamente, e serve lavorare parecchio sull’interoperabilità e sulla facilità d’uso. Se le persone non capiscono la cosa che dovrebbe sostituire le password, continueranno a digitare password.