Passkey

Le passkey sono una tecnologia di autenticazione che consente a un utente di accedere a un sito web senza usare un nome utente e una password. Invece, le passkey consentono di accedere usando il dispositivo personale già autenticato dell'utente e una coppia di chiavi crittografiche. Poiché le passkey usano la stessa impronta digitale, scansione del volto o PIN con cui l'utente sblocca il dispositivo, rendono l'accesso a un sito web più veloce, semplice e sicuro.

Quando una persona crea per la prima volta una passkey per un account, il dispositivo genera due chiavi crittografiche: una chiave privata memorizzata sul dispositivo e una chiave pubblica memorizzata sul server del sito web o del servizio associato all'account. Quando tenta di accedere, il server e il dispositivo dell'utente non si scambiano le chiavi; invece, il server invia al dispositivo dell'utente una sfida matematica, che il dispositivo risolve combinando un algoritmo e la chiave privata. Il dispositivo invia quindi la soluzione al server, che la convalida usando la chiave pubblica. Né il server né il dispositivo dell'utente possiedono mai entrambe le chiavi.

Eliminando nomi utente e password dal processo, le passkey possono prevenire diversi tipi di problemi di sicurezza. Innanzitutto, non ci sono nomi utente e password da rubare, né password deboli da indovinare o credenziali vulnerabili a una truffa di phishing. Se il server di un sito web viene compromesso, conosce solo la chiave pubblica. Se il dispositivo di un utente viene rubato, per accedere con una passkey è comunque necessaria una scansione biometrica o l'inserimento di un PIN.

NOTE: Per accedere a un sito web o a un servizio usando una passkey è necessario che il sistema operativo e il browser web del dispositivo la supportino. Lo standard delle passkey è il risultato della collaborazione tra Apple, Google, Microsoft, l'alleanza FIDO e il Consorzio WWW. Questo gruppo sta lavorando insieme per integrare il supporto alle passkey nei propri dispositivi software e hardware.