Sei interessato ai nostri servizi di consulenza?

1 Clicca nella sezione contatti
2 Compila il form
3 Ti ricontattiamo

Se hai bisogno urgente del nostro intervento puoi contattarci al numero 370 148 9430

RENOR & Partners

I nostri orari
Lun-Ven 9:00AM - 18:PM

Addio password? Il 2025 è l’anno dei passkey

by Simone Renzi / Maggio 9, 2025
Post Image

This post is also available in: English (Inglese)

Vi è mai capitato di aprire un sito, toccare il campo “e-mail” e ritrovarvi già autenticati grazie al Face ID del vostro iPhone o all’impronta digitale, senza digitare una sola lettera?

Dietro quel gesto, impercettibile eppure rivoluzionario, c’è una passkey ovvero una coppia di chiavi crittografiche, custodite dal vostro dispositivo, che manda definitivamente in pensione le password.

Perché l’anno dei passkey?

Questo è tutt’altro che uno slogan da titolo di copertina. A Maggio 2025 i dispositivi in grado di effettuare accessi con passkey sono il 90,93% del parco globale. Il 74% dei consumatori che hanno un dispositivo passkey-ready conoscono questa tecnologia. Di questi il 69% l’ha già abilitato ed il 50% dei sito della top 100 mondiale lo hanno già integrato nei loro sistemi.

Pertanto possiamo sicuramente affermare che il 2024 è stato l’anno pilota mentre il 2025 sarà quello di adozione di massa con numeri ormai superiori a qualsiasi precedente tecnologia di login.

Come funziona il passkey?

Te lo spiego in tre concetti chiave:

  1. Coppia di chiavi – Una pubblica che finisce sul server, una privata che non esce mai dal tuo rispositivo
  2. FIDO2 è WebAuthn – Sono due standard aperti, già inclusi in tutti i browser moderni
  3. Biometria come unlock, non come credenziali – È il tuo volto a sbloccare la chiave privata senza che questa “se ne vada in giro” per la rete.

Coppia di chiavi – La serratura a due mandate

Abbiamo detto che uno degli elementi chiave del sistema passkey è una coppia di chiavi (pubblica e privata).

La chiave pubblica è come l’indirizzo della tua cassetta postale: chiunque può conoscerlo e usarlo per “imbucare” una lettera. Questa chiave viene salvata nel database del servizio quando ti registri al servizio.

La chiave privata è la chiave che apre fisicamente la cassetta e questa resta sempre nella tua tasca (nel chip del telefono, o nel tuo browser). Non lascia mai la tua tasca/dispositivo.

Come funziona il login?

Il server lancia challenge casuale, il dispositivo firma la challenge con la chiave privata. Il server verifica la firma con la chiave pubblica che ha già.

Se la firma è valida, ti sei autenticato e nessuna password ha attraversato la rete.

Perché è un sistema più protetto questo?

Perché un hacker che riuscisse ad avere accesso al database è in grado di ottenere solamente chiavi pubbliche che sono inutili senza la corrispondente chiave privata.

FIDO2 + WebAuthn: lo standard che unisce hardware e web

Per capire perché le passkey funzionano ovunque senza che l’utente debba installare nulla basta vedere come FIDO2 ha unito due mondi che prima non si parlavano: quello del Web e quello dell’hardware di sicurezza.

Immaginati una tavola di leggi che stabilisce delle regole generali. I principi sono autenticazione senza password, protezione anti-phishing e interoperabilità tra dispositivi. Sotto queste leggi convivono due componenti:

WebAuthn

È un’API JavaScript ufficiale del W3C già presente in Chrome, Safari, Firefox, Edge ed altri browser minori. Dal punto di vista dello sviluppatore è l’unica interfaccia che serve, chiama:

navigator.credentials.create()

per registrare la passkey e

navigator.credentials.get()

per usarla.

 

Tutto il resto: generazione coppia di chiavi, visualizzazione e utilizzo di Face ID/Touch ID, firmare la challenge, accade dietro le quinte.

CTAP2

Una votla che il browser ha ricevuto la richiesta via WebAuthn, deve parlare con l’hardware che custodisce la chiave privata: può essere il chip Secure Enclave di un iPhone, il TPM di un laptop Windows, una YubiKey YSB-C o una chiavetta NFC. Il linguaggio usato per questo dialogo è CTAP2 (Client To Authenticator Protocol 2), definito dalla FIDO Alliance. Così l’autenticatore resta libero di evolvere (oggi può essere impronta digitale, domani impronta retinica), senza costringere i siti web a cambiare codice.

Perché questo doppio strato è importante?

Perché garantisce che lo stesso back-end che integra WebAuthn parlarà indistintamente con un telefono Android o con una chiave hardware, perché il livello CTAP2 è astratto. È importante perché ci da sicurezza antiphishing poiché la chiave privata è vincolata al dominio per la quale è stata creata; se un sito fasullo prova a infannare il browser, CTAP2 si rifiuta di firmare la challenge. Ha una compatibilità graduale, ovvero se un dispositivo non offre nativamente un autenticatore compatibile, il browser può ritornare ai metodi di autenticazione classici, ad esempio login con password e OTP senza rompere l’esperienza d’uso.

In sostanza, FIDO2 è il ponte, WebAuthn è la corsia per gli sviluppatori e CTAP2 è l’autostrada riservata ai chip di sicurezza. Grazie a questa architettura a strati possiamo abilitare le passkey con poche righe di codice e avere la certezza che continueranno a funzionare quando arriveranno nuovi dispositivi che potrebbero implementare altre forme di biometria.

Dove stiamo già utilizzando la tecnologia Passkey?

Da iOS 18 Apple integra l’app “Passwords” che centralizza password e passkey; Touch ID o Face ID le sbloccano.

Con Windows Hello in Windows 11 si possono creare e usare passkey su Edge, Chrome e Firefox senza installare nulla.

In Android 15 l’API Credential Manager consente “single-tap sign-in” fra passkey, Google Sign-In e password tradizionale.

Per l’utente è il telefono che fa il login da solo, per il reparto sicurezza è un addio al phishing.

 

Vantaggi solo per la sicurezza?

I vantaggi non sono solo nella sicurezza ma anche nella velocità. Google ha misurato una velocità di login dimezzata rispetto all’inserimento della combinazione user e password inoltre non è necessario ricordare nessuna password dal momento che la passkey è password-free.

Simone Renzi
Seguimi
 

Scegli un'area

CONTATTACI

Ti risponderemo entro 24 ore

TORNA SU