Come ho sostituito le password con un’alternativa più sicura e semplice

Da un po’ di tempo non uso più le mie password per accedere ai miei account Google e Microsoft. Inserisco semplicemente il mio indirizzo email, seguito dal PIN che uso sul mio PC Windows. Una volta inserito il PIN corretto, accedo senza problemi, senza dover ricordare o digitare una password lunga e complessa.

Questo è il tipo di esperienza fluida offerta dalle passkey, che migliorano la sicurezza rispetto alle password convenzionali, che possono essere compromesse tramite attacchi di phishing o semplicemente dimenticate. Il passaggio dalle password alle passkey si è rivelato un cambiamento vantaggioso per me e ora apprezzo la maggiore sicurezza che offrono.

Definizione delle passkey: un’alternativa migliore alle password

La meccanica dietro la stretta di mano crittografica

Schermata di accesso di Google che richiede la passkey — Crediti immagine – autoscatto (Tashreef Shareef) – Nessuna attribuzione richiesta

Una passkey funziona come un sostituto digitale delle password tradizionali, sfruttando la crittografia a chiave pubblica anziché affidarsi a una sequenza di caratteri memorizzata. Quando si crea una passkey per un sito web specifico, il dispositivo genera due chiavi interconnesse. La chiave pubblica viene inviata al servizio, mentre la chiave privata rimane protetta sul dispositivo, utilizzando il chip TPM (Trusted Platform Module) presente in Windows Hello o l’enclave sicura degli smartphone.

Il vantaggio esclusivo delle passkey risiede nella loro incapacità di essere raggirate; funzionano solo su siti designati. Anche se visiti inavvertitamente un sito di phishing che imita Gmail, il tuo dispositivo si rifiuterà di rivelare la chiave privata, riconoscendolo come un dominio fraudolento. Di conseguenza, non si verifica alcuna esposizione di password o credenziali, con conseguente tentativo di accesso non riuscito senza il rischio di un attacco di phishing.

Le passkey risolvono due sfide cruciali associate ai metodi di accesso tradizionali. In primo luogo, autenticano l’accesso al sito legittimo verificando il dominio prima di utilizzare la chiave, contrastando così i tentativi di phishing. In secondo luogo, generano una firma crittografica monouso anziché rivelare una password riutilizzabile, confermando l’identità dell’utente in modo sicuro.

Le passkey mantengono la sicurezza anche quando i dispositivi vengono smarriti

Utilizzo di più chiavi per lo stesso account

Icona del sensore di impronte digitali a ultrasuoni su OnePlus 13 — Foto di Justin Duino / MakeUseOf

Una frequente fonte di confusione riguardo alle passkey riguarda la loro funzionalità in caso di smarrimento del dispositivo. La conclusione importante è che perdere lo smartphone o il laptop non significa essere bloccati fuori dai propri account, poiché ogni dispositivo conserva la propria passkey univoca. In caso di smarrimento del telefono, è comunque possibile accedere da un altro dispositivo utilizzando la sua passkey specifica o ripristinare la password del proprio account, se necessario.

In caso di furto del dispositivo, non sarà possibile accedere alle passkey senza l’autenticazione biometrica o il PIN richiesti. Inoltre, è possibile gestire tutte le passkey registrate tramite le impostazioni dell’account, revocando l’accesso a qualsiasi dispositivo smarrito o compromesso.

Una volta acquistato un nuovo dispositivo, ti basterà creare una nuova passkey per i tuoi account dopo aver effettuato l’autenticazione tramite un altro dispositivo attendibile o utilizzando un metodo di backup come la tua password.

Creazione e archiviazione sicura delle chiavi di accesso

Come iniziare su diverse piattaforme

Per consentire al tuo computer Windows di utilizzare le passkey, abilita Windows Hello. Se attualmente utilizzi un PIN o uno scanner di impronte digitali, è probabile che sia già attivato. In caso contrario, vai su Impostazioni > Account > Opzioni di accesso per configurare un metodo di accesso biometrico. Quando i siti web consentono la creazione di passkey, Windows Hello gestirà automaticamente l’archiviazione sicura.

Sui dispositivi Android con versione 9 o successiva, le passkey vengono salvate automaticamente in Google Password Manager, sincronizzandosi su tutti i dispositivi collegati allo stesso account Google. Android 14 supporta ora l’integrazione con gestori di password di terze parti per chi preferisce strumenti di sicurezza specializzati.

Apple semplifica ulteriormente il processo memorizzando le passkey nel Portachiavi iCloud sia sui dispositivi iOS che macOS, garantendo la sincronizzazione su tutti i dispositivi Apple. Assicurati che l’autenticazione a due fattori sia abilitata per il tuo ID Apple per facilitare questa funzionalità senza interruzioni.

Una richiesta di inserimento della password nella barra Password in Portachiavi iCloud — Screenshot di Adaeze Uche

Per la compatibilità multipiattaforma, si consiglia di utilizzare gestori di password come 1Password, Bitwarden o Dashlane, che ora supportano le passkey. Questo fornisce un metodo unificato per gestire le passkey indipendentemente dal dispositivo utilizzato.

Personalmente, propendo per soluzioni basate su piattaforme native, poiché lavoro principalmente su Windows e Android. Tuttavia, utilizzare un gestore di password è pratico per chi passa frequentemente da un sistema operativo all’altro, come Windows, Mac, iPhone e Android.

Passaggi per creare le passkey

Molti siti web che supportano le passkey ti offriranno automaticamente la possibilità di crearne una dopo aver effettuato l’accesso con la tua password.

Se non viene visualizzato alcun messaggio, è possibile creare manualmente una passkey accedendo alle impostazioni dell’account sul rispettivo sito web e individuando la sezione “Sicurezza”.Ad esempio, per impostare una passkey per il tuo account Google, vai su g.co/passkeys, clicca su “Crea una passkey” e segui i passaggi descritti.

Supporto attuale per le passkey

Ampia adozione tra le principali piattaforme

Segno della chiave di accesso di Google che mostra la finestra di dialogo di Windows Hello — Foto di Tashreef Shareef / MakeUseOf

Numerosi siti web importanti, tra cui Google, Microsoft, Apple, Amazon, Adobe e Meta (che comprende Facebook e Instagram), hanno adottato le passkey. Personalmente, le ho implementate sul mio account Google Workspace, Microsoft e persino PayPal. Ogni volta che accedo, scelgo di utilizzare una passkey e di autenticarmi tramite il mio PIN.

L’esperienza può variare leggermente da un servizio all’altro. Ad esempio, Google consente agli utenti di passare all’utilizzo di passkey per gli accessi giornalieri, con la possibilità di rimuovere la password se lo desiderano. Tuttavia, alcuni servizi richiedono ancora di conservare una password come alternativa. Attualmente, tutte le principali piattaforme consentono la creazione di una password per i nuovi account, ma una volta impostate le passkey, le password diventano meno essenziali.

Il futuro duraturo delle passkey

Adottare l’accesso senza password

Sebbene l’adozione delle passkey stia gradualmente prendendo piede, molti siti sono ancora nelle fasi iniziali di questa transizione. Tuttavia, una volta disponibili, l’esperienza di accesso diventa notevolmente più comoda.È importante notare che le password sono ancora necessarie per creare nuovi account e fungono da opzioni di backup per l’accesso da dispositivi non supportati o in caso di problemi con le passkey.

Ciò indica che, sebbene le password non siano ancora scomparse, continueranno a esistere per garantire compatibilità, recupero e per quei servizi che non sono ancora stati modernizzati. Tuttavia, per l’accesso quotidiano, la facilità di evitare l’inserimento della password e la maggiore protezione contro le minacce di phishing sottolineano perché adottare le passkey sia una scelta saggia.

Fonte e immagini