Passkey e WebAuthn: l'autenticazione senza password, spiegata e pronta per l'azienda

Il problema delle password

Le password sono il punto debole di quasi ogni sistema. Gli utenti le riusano, gli attaccanti le rubano con il phishing o le estraggono da database violati, e anche le regole di complessità non risolvono il problema di fondo: un segreto condiviso che viaggia e può essere intercettato. Per anni la risposta è stata aggiungere un secondo fattore; le passkey cambiano proprio il primo.

Cosa sono le passkey

Una passkey è una credenziale crittografica che sostituisce la password. Al momento della registrazione il dispositivo dell'utente genera una coppia di chiavi: quella privata resta sul dispositivo, protetta dal suo meccanismo di sblocco (impronta, volto, PIN), quella pubblica viene consegnata al servizio. Per accedere, il dispositivo firma una sfida con la chiave privata: non si digita né si trasmette alcun segreto riutilizzabile.

Come funziona WebAuthn/FIDO2

Le passkey poggiano su standard aperti: WebAuthn, definito dal W3C, e FIDO2 della FIDO Alliance. Il browser fa da intermediario tra il servizio e l'autenticatore (il dispositivo o una chiave hardware). Il servizio invia una sfida, l'autenticatore la firma dopo aver verificato l'utente, il servizio valida la firma con la chiave pubblica registrata. Tutto senza che un segreto condiviso esca dal dispositivo.

Resistenza al phishing

Il vantaggio decisivo è la resistenza al phishing. Una passkey è legata all'origine (il dominio) per cui è stata creata: il browser non la userà su un sito diverso, per quanto somigliante. Anche se l'utente finisce su una pagina clone, non c'è una password da digitare e consegnare all'attaccante. Questo chiude in un colpo solo la categoria di attacchi più diffusa.

Come adottarle in azienda

L'adozione conviene graduale. Si parte offrendo le passkey come secondo fattore accanto alla password, per far prendere confidenza agli utenti; poi si abilita il login con sola passkey, mantenendo un percorso di recupero sicuro; infine si riduce la dipendenza dalla password. Una piattaforma di identità moderna gestisce la registrazione di più passkey per utente, i dispositivi persi e il ciclo di vita delle credenziali.

Limiti e fallback

Le passkey non eliminano ogni problema: vanno gestiti il recupero dell'account, i dispositivi condivisi e gli scenari senza biometria. Serve sempre un fallback sicuro, che non reintroduca le debolezze della password. La buona notizia è che gli standard sono maturi e supportati dai principali sistemi operativi e browser, quindi la base tecnologica è solida.