Passkey

Cos'è una passkey?

Una passkey è una credenziale di autenticazione senza password basata sulla crittografia a chiave pubblica. Invece di memorizzare un segreto condiviso come una password, una passkey consiste in una chiave privata memorizzata in modo sicuro sul dispositivo dell’utente e una corrispondente chiave pubblica memorizzata dal servizio.

Quando un utente si autentica, il dispositivo dimostra il possesso della chiave privata utilizzando una sfida crittografica. Questo processo elimina la necessità di trasmettere o memorizzare le password, riducendo l'esposizione al phishing e al furto di credenziali.

Come funziona l'autenticazione con passkey?

L'autenticazione Passkey si basa sulla crittografia asimmetrica e sulle credenziali legate al dispositivo:

1. Un utente si registra a un servizio, generando una coppia di chiavi pubblica/privata.
2. La chiave pubblica è memorizzata dal servizio; la chiave privata rimane sul dispositivo dell’utente.
3. Durante l'accesso, il servizio invia una sfida.
4. Il dispositivo firma la sfida utilizzando la chiave privata.
5. Il servizio verifica la firma utilizzando la chiave pubblica.

L'autenticazione viene solitamente sbloccata con dati biometrici o un PIN del dispositivo, combinando una crittografia forte con un controllo accessi intuitivo.

Passkey vs password: qual è la differenza?

Le passkey e le password rappresentano modelli di autenticazione fondamentalmente diversi:

• Password: Segreti condivisi che possono essere riutilizzati, indovinati o rubati
• Passkey: Credenziali crittografiche uniche che non lasciano mai il dispositivo

Differenze chiave:

• Le passkey sono resistenti al phishing; le password no
• Le passkey eliminano il riutilizzo delle credenziali tra i sistemi
• Le passkey si basano sulla sicurezza del dispositivo e sulla presenza dell'utente
• Le password dipendono dal comportamento dell'utente e dall'applicazione delle policy

Questo cambiamento elimina il vettore di attacco principale su cui si basano gli aggressori: credenziali compromesse.

Le passkey sono sicure?

Le passkey migliorano significativamente la sicurezza eliminando i segreti condivisi e affidandosi alla crittografia asimmetrica per l'autenticazione. Invece di trasmettere le credenziali sulla rete, l'autenticazione viene eseguita tramite un meccanismo di sfida-risposta in cui la chiave privata non lascia mai il dispositivo dell'utente. Questo design elimina intere classi di attacchi che dipendono dall'intercettazione o dal riutilizzo delle credenziali.

Poiché ogni passkey è legata a un dominio specifico e a una coppia di chiavi crittografiche, gli attacchi di phishing sono inefficaci. Anche se un utente viene ingannato a visitare un sito dannoso, l'autenticatore non produrrà una firma valida per un'origine diversa. Allo stesso modo, credential stuffing e password spraying falliscono perché non esiste un segreto riutilizzabile da riprodurre tra servizi o account. Gli attacchi di replay sono inoltre mitigati poiché ogni richiesta di autenticazione include una sfida unica e a tempo che non può essere riutilizzata.

Tuttavia, la sicurezza delle passkey non è assoluta e dipende da diversi controlli sottostanti. L'integrità dell'endpoint è fondamentale, poiché malware o un dispositivo compromesso potrebbero potenzialmente accedere o utilizzare in modo improprio la chiave privata tramite l'interfaccia dell'autenticatore. L'archiviazione sicura delle chiavi, tipicamente applicata tramite moduli supportati da hardware come TPM o enclave sicuri, è essenziale per prevenire l'estrazione delle chiavi. Inoltre, la gestione del ciclo di vita dell'identità rimane un requisito fondamentale, inclusi provisioning, recupero, revoca e sincronizzazione dei dispositivi, specialmente negli ambienti aziendali dove gli utenti operano su più dispositivi e provider di identità.

Casi d'uso

• Autenticazione senza password per l'accesso della forza lavoro
• Accesso sicuro per applicazioni SaaS e cloud
• Autenticazione dei consumatori per app web e mobile
• Ridurre il carico di lavoro dell'helpdesk per i reset delle password
• Rafforzare zero trust e le strategie di sicurezza basate sull’identità

Come Netwrix può aiutare

Le passkey stanno guadagnando adozione, ma le password rimangono ampiamente utilizzate nella maggior parte degli ambienti.

Le organizzazioni si affidano ancora alle password per service accounts, applicazioni legacy, configurazioni di identità ibride e sistemi offline. Queste aree spesso presentano il rischio più elevato perché sono più difficili da modernizzare e più facili da sfruttare per gli aggressori.

Ecco perché l'applicazione rigorosa della politica delle password rimane essenziale.

Netwrix Password Policy Enforcer integra l’adozione delle passkey proteggendo le parti del tuo ambiente dove sono ancora necessarie le password.

Con Netwrix, puoi:

• Blocca password deboli e compromesse prima che vengano utilizzate
• Applicare politiche granulari in ambienti ibridi Active Directory e Entra ID
• Riduci l'esposizione agli attacchi di password spraying e basati su credenziali
• Fornire feedback in tempo reale affinché gli utenti creino password conformi al primo tentativo
• Allinearsi a standard come NIST 800-63B e PCI DSS

La sicurezza non riguarda l'eliminazione delle password ovunque.

Si tratta di controllarli ovunque esistano ancora.