Le passkey vengono spesso raccontate come il rimedio definitivo alle password: niente credenziali da ricordare, meno phishing e fine dei codici OTP. In realtà, il cambiamento più importante è un altro: con le passkey il bersaglio degli attaccanti non è più la password, ma il dispositivo dell’utente.
Questo non significa che le passkey siano insicure. Al contrario, rappresentano un passo avanti enorme rispetto ai sistemi tradizionali. Però spostano il centro della fiducia dallo username e dalla password allo smartphone, al browser e ai componenti hardware che custodiscono la chiave privata.
Passkey e sicurezza: il ruolo del dispositivo
Le passkey si basano su FIDO2 e WebAuthn e usano la crittografia asimmetrica: una chiave pubblica resta sul server, mentre la chiave privata rimane sul dispositivo. Quando l’utente accede a un servizio, il server invia una sfida crittografica e il dispositivo la firma con la chiave privata. La verifica avviene usando la chiave pubblica associata all’account.
Il punto decisivo è che la chiave privata non esce mai dal dispositivo. Per questo una passkey è molto più resistente al furto rispetto a una password tradizionale e non può essere riutilizzata su un sito clone creato per fare phishing.
Perché il phishing perde efficacia
Con una password, l’utente può essere ingannato e inserire i dati su una pagina falsa quasi identica a quella vera. Con una passkey, invece, il browser controlla il dominio corretto e lega l’autenticazione all’origine giusta. La passkey non verifica solo l’utente: verifica anche il sito.
Se il dominio non corrisponde, la sfida non viene completata e la credenziale non può essere usata altrove. È uno dei motivi per cui le passkey eliminano anche il rischio legato al credential stuffing e al riutilizzo delle password tra servizi diversi.
I limiti: sessioni, malware e attacchi al device
Le passkey però non cancellano tutti i pericoli. Molti criminali oggi evitano il login e puntano direttamente a sessioni già attive, cookie, token OAuth o autenticazioni persistenti. In questi casi malware e infostealer possono rubare dati utili senza dover conoscere la password o la passkey.
Anche la compromissione del browser o del sistema operativo resta un problema serio. Estensioni malevole, vulnerabilità software o accessi fisici al dispositivo possono indebolire la protezione. In altre parole, le passkey riducono le credenziali statiche, ma rendono ancora più centrale la sicurezza dell’endpoint.
Per questo il futuro dell’autenticazione passa sempre più da Secure Enclave, TPM, TEE, Android Keystore e sistemi cloud come iCloud Keychain o Google Password Manager. La biometria, infine, non identifica davvero la persona: serve soprattutto a sbloccare il dispositivo e ad autorizzare l’uso della chiave privata.
