Passkey: addio password, senza comprare nulla
Google ci ricorda che forse è arrivato il momento di mandare in pensione le password.
blog.google/innovation-and-ai/…
Ma cosa sono le passkey?
Sono un sistema di autenticazione basato sulla crittografia a chiave pubblica. Il sito conserva una chiave pubblica, mentre quella privata rimane protetta sul nostro dispositivo o nel gestore delle passkey.
Per accedere basta sbloccare il telefono o il computer con impronta digitale, riconoscimento facciale o PIN. Non dobbiamo ricordare password, ricevere SMS o copiare codici.
E soprattutto, una passkey è legata al sito autentico: anche se finiamo su una pagina di phishing, non possiamo usarla per autenticarci sul sito contraffatto.
Serve comprare qualcosa? Assolutamente no!
Google Password Manager, integrato in Android e Chrome, può creare, custodire e sincronizzare le passkey tra dispositivi compatibili.
Apple fa altrettanto con il Portachiavi iCloud, oggi accessibile anche attraverso l'app Password, sincronizzando le credenziali tra iPhone, iPad e Mac.
Entrambi proteggono le passkey sincronizzate con crittografia end-to-end. E se cambiamo telefono, non dobbiamo necessariamente ricrearle tutte.
E le chiavette di sicurezza?
YubiKey e Token2 (quest'ultima offre soluzioni davvero interessanti!) permettono di custodire le credenziali in hardware dedicato, separato dal computer e dallo smartphone.
Sono particolarmente utili per account critici, amministratori di sistema e persone esposte ad attacchi mirati. Possono offrire maggiore isolamento, ma richiedono anche di gestire una chiave fisica ed eventualmente una di riserva.
La vera rivoluzione? La sicurezza diventa più semplice.
Per moltissimi utenti, le passkey già disponibili sul telefono rappresentano un enorme passo avanti rispetto alle password tradizionali.
Naturalmente dobbiamo proteggere bene i nostri dispositivi e i sistemi di recupero degli account. E non tutti i servizi supportano ancora le passkey.
Ma finalmente possiamo aumentare la sicurezza senza acquistare hardware, installare applicazioni complicate o diventare esperti informatici.
E se il problema della sicurezza informatica fosse stato, per anni, pretendere che gli esseri umani si comportassero come computer, invece di lasciare ai computer il compito di proteggerci?
#Passkeys #Cybersecurity #SicurezzaInformatica #FIDO2 #passwordless
@informatica @cybersecurity
@dietilico
in caso di furto, però, almeno finché non resetto tutto, i ladri possono agire come se fossi io nel mio account. Sbaglio?
@cybersecurity
@6al @cybersecurity
Non proprio! 😀
La passkey non è una password che il ladro può leggere e copiare dal telefono.
Per utilizzarla normalmente deve superare la verifica locale: impronta digitale, riconoscimento facciale oppure PIN del dispositivo.
In pratica, serve qualcosa che possiedi (il telefono) e una verifica che dimostri che sei autorizzato ad usarlo.
Solo che il «qualcosa che sai» non deve più essere una password come "6hfghHf+°®π•©HggVT54°"! Basta il PIN, oppure la biometria.
C'è però una distinzione importante: se il ladro conosce il PIN, qualche rischio rimane.
Quindi il furto del telefono non equivale automaticamente al furto delle passkey. E bloccare tempestivamente il dispositivo resta una buona precauzione.
La sicurezza non diventa assoluta, ma decisamente più comoda! Molto più comoda, molto più sicura (praticamente il phishing non funziona più)