Gli attacchi alle passkey non richiedono necessariamente di spezzare la crittografia di FIDO2. Il materiale di ricerca segnala 39 metodi che agiscono attorno all’autenticazione: prompt, credenziali sincronizzate, registrazione, recupero e altri confini di fiducia. La distinzione è decisiva. Una tecnologia può proteggere bene il segreto crittografico e restare esposta quando una persona approva la richiesta sbagliata, un account di sincronizzazione viene controllato male o il percorso di recupero è più debole dell’accesso normale.
Attacchi alle passkey: che cosa cambia rispetto alle password
Una passkey sostituisce il segreto digitato con una credenziale crittografica legata al servizio e autorizzata dal dispositivo. Questo modello riduce molti attacchi tipici delle password, perché l’utente non deve consegnare la stessa stringa a un sito. Tuttavia l’autenticazione resta un processo composto da più passaggi e più soggetti.
Il servizio deve associare correttamente la credenziale all’account. Il dispositivo deve mostrare una richiesta comprensibile. L’utente deve riconoscere ciò che sta approvando. La sincronizzazione deve proteggere la copia tra dispositivi. Il recupero deve consentire il rientro al legittimo proprietario senza offrire una scorciatoia all’attaccante.
I 39 metodi documentati non equivalgono quindi a 39 rotture della crittografia. La lezione più utile è che la sicurezza va misurata lungo l’intero percorso. Concentrarsi soltanto sul momento in cui il sensore o il PIN autorizzano la passkey lascia fuori le fasi in cui l’account viene preparato, trasferito o recuperato.
Il primo confine di fiducia è il prompt
Il prompt è la finestra o il messaggio con cui il sistema chiede di autorizzare un accesso. Se appare nel momento giusto e mostra un contesto chiaro, aiuta l’utente a decidere. Se arriva senza spiegazioni oppure durante un’attività confusa, può essere approvato per abitudine.
Non bisogna accettare una richiesta soltanto perché proviene dal dispositivo. Prima di confermare, verifichiamo quale servizio stiamo aprendo, se abbiamo iniziato noi l’accesso e quale account è coinvolto. Una richiesta inattesa va annullata. Se si ripete, controlliamo le sessioni e segnaliamo l’evento.
Ridurre le approvazioni automatiche
Un’interfaccia veloce non deve cancellare la consapevolezza. Evitiamo di avviare contemporaneamente molti accessi o di confermare mentre una chiamata o un messaggio urgente ci distrae. Nei processi aziendali, la formazione dovrebbe mostrare prompt inattesi e spiegare che il rifiuto non danneggia l’account: crea lo spazio necessario per verificare.
Il servizio può aiutare indicando dispositivo, posizione approssimativa o attività richiesta quando queste informazioni sono disponibili e affidabili. L’utente, però, non deve interpretare un singolo dettaglio come prova assoluta. La coerenza dell’intera operazione conta più di un’etichetta rassicurante.
Registrazione: proteggere il momento in cui nasce la passkey
La registrazione associa una nuova passkey a un account esistente. Se un attaccante riesce a inserirsi in questa fase, può creare un metodo di accesso che in seguito sembrerà legittimo. Per questo aggiungere una passkey deve richiedere un’autenticazione adeguata e una comunicazione chiara al proprietario.
Controlliamo periodicamente l’elenco dei metodi registrati. Rimuoviamo quelli legati a dispositivi venduti, persi o non più usati. Ogni nuova registrazione dovrebbe produrre una notifica indipendente, così il proprietario può reagire anche se non si trova nella sessione in cui è avvenuta la modifica.
Una verifica utile dopo la configurazione
Dopo aver creato la passkey, usciamo dall’account e proviamo un nuovo accesso controllato. Verifichiamo quale dispositivo riceve la richiesta e come viene mostrato il nome dell’account. Controlliamo anche che i metodi precedenti siano ancora quelli previsti. Non cancelliamo subito l’unico percorso di recupero prima di aver provato il nuovo meccanismo.
In azienda, la registrazione dovrebbe seguire una procedura con identità verificata, dispositivo gestito e registrazione dell’evento. Se si consente l’uso di dispositivi personali, il perimetro deve essere esplicito: chi può aggiungere una credenziale, come viene rimossa e cosa accade quando la persona lascia l’organizzazione.
Passkey sincronizzate: comodità e dipendenze
Le credenziali sincronizzate consentono di usare la passkey su più dispositivi collegati allo stesso ecosistema. Questa comodità modifica il confine di fiducia. Non proteggiamo più soltanto il singolo computer o telefono, ma anche l’account che governa la sincronizzazione e le procedure con cui un nuovo dispositivo entra nel gruppo.
L’account di sincronizzazione merita quindi una protezione pari o superiore a quella dei servizi più importanti. Controlliamo dispositivi associati, sessioni attive, recapiti di recupero e notifiche di sicurezza. Un vecchio telefono dimenticato in un cassetto può diventare un elemento del modello di rischio se conserva ancora accesso utile.
Non confondiamo sincronizzazione con backup universale. Il comportamento può dipendere dal sistema e dal servizio. Prima di sostituire un dispositivo, verifichiamo come trasferire l’accesso e quale alternativa rimane se la sincronizzazione non funziona. Questo controllo evita di indebolire l’account per risolvere in fretta un blocco.
Recupero account: la porta laterale da rafforzare
Un’autenticazione forte perde valore se il recupero accetta prove deboli. Il percorso di emergenza deve bilanciare disponibilità e sicurezza: permettere al proprietario di rientrare, ma non offrire un metodo più facile a chi conosce qualche informazione personale.
Rivediamo indirizzi secondari, numeri di telefono, codici di recupero e domande eventualmente ancora presenti. Eliminiamo recapiti non più controllati. Conserviamo i codici in un luogo protetto e separato dal dispositivo principale. Una fotografia non cifrata nella galleria o un file lasciato sul desktop non costituiscono una buona copia di emergenza.
Testare il recupero senza bloccare l’account
Non è necessario completare ogni volta l’intero recupero. Possiamo verificare che i recapiti mostrati siano corretti, che i codici esistano e che la documentazione interna indichi chi contattare. Le organizzazioni dovrebbero simulare il caso di un dispositivo perso usando un account di prova, non l’account critico di un amministratore.
Ogni modifica al recupero dovrebbe generare un avviso. Se riceviamo una notifica non riconosciuta, trattiamola come un incidente: cambiamo le credenziali ancora presenti, revochiamo le sessioni sospette e controlliamo i metodi registrati seguendo la procedura del servizio.
Dispositivi, sessioni e accesso locale
La passkey viene autorizzata attraverso un dispositivo. Il blocco schermo, il PIN locale e la gestione degli utenti fanno quindi parte della protezione. Lasciare una sessione aperta su un computer condiviso può rendere inutile la resistenza al phishing del meccanismo principale.
Aggiorniamo sistema operativo e browser, attiviamo il blocco automatico e separiamo gli account personali da quelli amministrativi. Se un dispositivo viene perso, usiamo le funzioni disponibili per revocare l’accesso e rimuoverlo dall’elenco associato. Non aspettiamo che compaia un tentativo sospetto.
Per i computer aziendali, l’inventario deve collegare utente, dispositivo e stato di gestione. Quando un portatile viene riassegnato, non basta cancellare i file visibili: bisogna seguire la procedura prevista per rimuovere profili, credenziali e accessi residui.
Servizi che mantengono metodi alternativi
Durante la transizione, molti account possono conservare password, email di recupero o altri metodi. La passkey non rende automaticamente sicure queste alternative. Dobbiamo sapere quali porte restano aperte e perché.
Se una password rimane necessaria, rendiamola unica e gestiamola in modo adeguato. Se il servizio permette di disattivare un metodo debole dopo aver verificato la passkey e il recupero, valutiamo la scelta in base all’importanza dell’account. Non eliminiamo però un’alternativa senza comprendere come rientrare in caso di guasto o perdita.
Un inventario semplice può riportare servizio, passkey registrate, dispositivi, metodo di recupero e ultima revisione. L’obiettivo non è accumulare dettagli sensibili, ma evitare account dimenticati con protezioni incoerenti.
Un piano operativo per utenti e organizzazioni
Per un utente singolo, la revisione può partire dagli account più importanti: posta, gestione del dispositivo, lavoro e servizi che custodiscono dati personali. Per ogni account controlliamo passkey, dispositivi, sessioni e recupero. Procediamo uno alla volta per non perdere il controllo.
Un’organizzazione deve aggiungere ruoli e responsabilità. Il team identità definisce i metodi ammessi; il supporto gestisce dispositivi persi e recuperi; la sicurezza monitora registrazioni e accessi anomali. Gli utenti devono sapere dove segnalare un prompt inatteso senza essere costretti a scegliere tra ignorarlo e approvarlo.
Una checklist minima comprende:
- verificare chi può registrare una nuova passkey;
- controllare le notifiche di aggiunta e rimozione;
- proteggere l’account usato per la sincronizzazione;
- rivedere i dispositivi associati;
- rafforzare il recupero e conservare codici protetti;
- provare la revoca con un account non critico;
- documentare il percorso di assistenza.
Errori da evitare quando si adottano le passkey
Il primo errore è presentare le passkey come invulnerabili. Il secondo è rinunciare a una tecnologia utile perché esistono attacchi contro il processo. La valutazione corretta distingue la robustezza della crittografia dai punti deboli dell’implementazione e delle procedure.
Evitiamo anche di:
- approvare prompt non iniziati da noi;
- lasciare dispositivi vecchi associati agli account;
- usare un recupero debole per un accesso forte;
- registrare credenziali su dispositivi non controllati;
- ignorare le notifiche di sicurezza;
- considerare il sensore biometrico come unica difesa;
- eliminare ogni alternativa prima di aver verificato il recupero.
Questi comportamenti non richiedono di comprendere ogni dettaglio di FIDO2. Richiedono una gestione coerente dell’identità e dei dispositivi.
Come interpretare correttamente i 39 metodi
Il numero 39 descrive l’ampiezza delle strade analizzate, non una probabilità di compromissione per ogni account. Senza il dettaglio completo di ciascun metodo non bisogna inventare una graduatoria, attribuire vulnerabilità a servizi specifici o concludere che tutte le implementazioni siano equivalenti.
La classificazione disponibile è già utile: prompt, sincronizzazione, registrazione, recupero e confini di fiducia. Possiamo usare queste aree per una revisione strutturata. Se una fase non ha proprietario, notifiche o procedura di revoca, rappresenta un punto da migliorare anche prima di conoscere una tecnica particolare.
La domanda pratica non è soltanto se la passkey resista a un attacco crittografico. Dobbiamo chiederci chi può crearla, dove viene copiata, cosa vede l’utente, come viene rimossa e quale percorso sostituisce l’accesso quando qualcosa va storto.
Passkey più sicure con processi verificabili
Gli attacchi alle passkey mostrano che la sicurezza dell’autenticazione dipende dall’intero ciclo di vita. FIDO2 può eliminare molte debolezze delle password senza proteggere automaticamente prompt, sincronizzazione, registrazione e recupero. La risposta non è tornare a segreti riutilizzabili, ma rendere visibili e controllabili questi confini.
Cominciamo dagli account critici, rimuoviamo dispositivi inutilizzati, rafforziamo il recupero e rifiutiamo le richieste inattese. In azienda aggiungiamo inventario, notifiche, revoca e prove su account non critici. Una passkey gestita bene resta un miglioramento concreto; una passkey lasciata senza processo può ereditare debolezze dalle porte laterali che la circondano.
