Da anni gli entusiasti delle passkey le descrivono come il futuro dell'autenticazione, mentre le password tradizionali sarebbero destinate all'oblio. Tuttavia, nella pratica quotidiana, molti utenti continuano a digitare password decine di volte al giorno. Nonostante l'adozione delle passkey sia cresciuta in modo impressionante, con oltre 15 miliardi di account ora compatibili secondo la FIDO Alliance, il loro utilizzo resta ancora minoritario. Google ha registrato oltre un miliardo di autenticazioni tramite passkey su più di 400 milioni di account, e Apple ha introdotto con iOS 26 un nuovo strumento per la creazione di account che elimina la necessità di impostare una password iniziale. Microsoft, dal canto suo, ha reso i nuovi account senza password per impostazione predefinita. Ma nonostante questi progressi, le password sono ancora ben lontane dallo scomparire.
Il funzionamento tecnico delle passkey spiega perché sono più sicure
Una passkey è composta da due chiavi crittografiche: una privata, che non lascia mai il dispositivo dell'utente, e una pubblica, conservata sul sito che si sta utilizzando. Quando si effettua l'accesso, il dispositivo dimostra di possedere la chiave privata senza mai inviare dati che un cybercriminale potrebbe intercettare. Questo le rende immuni ai tentativi di phishing, a differenza delle password digitate. Sui dispositivi Apple, Face ID o Touch ID verificano l'identità dell'utente, mentre la chiave privata risiede nel Secure Enclave. Se si possiedono più dispositivi, il Portachiavi iCloud sincronizza le chiavi private tra iPhone, iPad e Mac, sempre all'interno dei confini protetti del Secure Enclave.
Sponsored Protocol
La resistenza delle aziende all'adozione delle passkey rallenta la transizione
Nonostante i vantaggi, molte aziende sono riluttanti ad abbandonare le password. Un nuovo sito web è stato creato per mettere in evidenza i servizi popolari che ancora non supportano le passkey, tra cui Instagram, Spotify e Netflix. Il motivo principale della resistenza riguarda il recupero dell'account. Il protocollo FIDO2, alla base delle passkey, non include un flusso di recupero integrato. Se un utente perde tutti i dispositivi che contengono le sue passkey, l'unica alternativa è un link di reset via email, esattamente il punto debole che le passkey avrebbero dovuto eliminare. Per questo motivo, molte piattaforme SaaS mantengono ancora il campo password sulla schermata di accesso come backup.
Portabilità e interoperabilità: le sfide ancora aperte
La portabilità delle passkey rappresenta un altro ostacolo. Poiché le passkey risiedono in diversi gestori di password e cloud (Portachiavi iCloud, Google Password Manager, browser vari), questi vault non comunicano tra loro. Di conseguenza, passare da un ecosistema all'altro può diventare problematico. Apple ha compiuto un passo importante con iOS 26, introducendo l'esportazione e l'importazione multipiattaforma delle passkey, un cambiamento significativo rispetto alla precedente chiusura del Portachiavi. Tuttavia, fino a che il Credential Exchange Protocol non funzionerà senza intoppi su tutte le piattaforme, il passaggio da un ecosistema all'altro potrebbe trasformare l'assenza di password in una forma di lock-in.
Sponsored Protocol
Il futuro delle passkey è promettente ma ancora lontano
La crittografia alla base delle passkey è solida e offre una protezione superiore contro il phishing. Tuttavia, il vero problema non è tecnico ma operativo: il recupero deve essere affidabile, la portabilità deve essere fluida e i siti web devono effettivamente rimuovere il campo password. Apple ha fatto passi da gigante con l'esperienza di ecosistema più fluida e il supporto all'esportazione anticipato rispetto a Google. Ma fino a quando queste lacune non saranno colmate, le password continueranno a essere il metodo di autenticazione dominante. Per approfondire tematiche simili legate alla sicurezza dei dispositivi e delle reti, leggi il nostro articolo su MQTT per IoT. Per una panoramica generale sulle passkey, consulta la pagina Wikipedia.
Sponsored Protocol
