Le password stanno per diventare un ricordo del passato? Stiamo davvero entrando in un mondo nuovo in cui non dovremo più inventarle, ricordarle o conservarle in modo sicuro?

Diamo un’occhiata più da vicino e scopriamo se è davvero così.

Partiamo dalle basi: che cosa c’è dietro la nuova tecnologia passwordless?

A dire il vero, la nuova tecnologia passwordless basata sulle passkey non è altro che la buona vecchia crittografia a chiave pubblica (asimmetrica): la chiave pubblica viene memorizzata presso il servizio, mentre la chiave privata resta sul vostro dispositivo. La chiave privata non viene mai trasmessa e serve a verificare le richieste di autenticazione del servizio.

Tra i punti di forza delle passkey c’è il fatto che sono considerate sempre robuste e resistenti al phishing.

A guidare la transizione verso l’autenticazione passwordless è la FIDO Alliance, un’associazione industriale aperta con una missione precisa: «ridurre la dipendenza del mondo dalle password». Gli sforzi dell’Alliance mirano a migliorare l’esperienza di autenticazione degli utenti.

Attualmente l’autenticazione passwordless FIDO tramite passkey è disponibile per Windows, macOS, Android, iOS, Chrome, Edge e Safari. Grandi servizi online come Apple, Google, Microsoft, Amazon, PayPal e Adobe offrono già l’accesso con passkey.

Naturalmente si tratta di pionieri, e la strada verso un’adozione diffusa è ancora lunga, soprattutto perché la tecnologia è ancora in fase di sviluppo e non offre funzionalità multipiattaforma. Di conseguenza, gli utenti devono creare più passkey per dispositivi diversi, il che rende per molti il passaggio al passwordless faticoso e ancora immaturo.

Per correttezza va detto che le passkey possono essere salvate su YubiKey e, con alcune limitazioni, in alcuni password manager, migliorando così l’esperienza d’uso multipiattaforma.

Quando diventerà passwordless il nostro mondo digitale?

Purtroppo non così presto come sperano i sostenitori della tecnologia passwordless. Ecco perché.

Diamo un’occhiata ad alcune statistiche sull’autenticazione.

Secondo il sondaggio FIDO, l’autenticazione con la sola password è ancora prevalente (oltre il 30% degli intervistati accede così ai computer e agli account di lavoro!). È interessante anche notare che l’utente medio deve digitare manualmente una password circa 4 volte al giorno.

I metodi preferiti per accedere ad account online, app e dispositivi smart sono: biometria (27%), password complesse e uniche (17%), codici monouso (14%), password manager (8%) e chiavi di sicurezza fisiche (4%).

In media, quasi quattro volte al mese una persona abbandona un acquisto o rinuncia ad accedere a un servizio online perché non ricorda la password. Questo dato, così come il numero di inserimenti manuali di password al giorno, si spiega facilmente con la scarsa diffusione dei password manager tra gli intervistati.

Finora la classifica dei metodi di autenticazione nelle aziende è la seguente: password (76%), autenticazione a più fattori (MFA) (43%), codici monouso (33%) e tecnologie di Single Sign-On (SSO) (27%). Tuttavia, il 92% prevede di utilizzare maggiormente le tecnologie passwordless in futuro.

Secondo gli intervistati, l’autenticazione passwordless ridurrà le soluzioni MFA non passwordless (50%), la necessità di SSO (48%) e quella di gestione degli accessi privilegiati (46%). Non è però ancora chiaro in quale misura.

L’89% dei responsabili IT intervistati prevede che entro cinque anni la propria azienda utilizzerà le password per meno del 25% degli accessi. In media, quasi un terzo delle aziende intende introdurre, utilizzare o continuare a utilizzare l’autenticazione passwordless nei prossimi 1-3 anni.

Il 39% dei responsabili IT ammette che gli utenti sono restii al cambiamento e il 49% afferma che le applicazioni in uso non sono progettate per l’autenticazione passwordless.

Nonostante il clamore mediatico, un futuro completamente senza password sembra irrealistico. Ma il mondo digitale si sta muovendo in quella direzione, lentamente ma inesorabilmente.

E le password e i password manager? Che posto avranno in un futuro «passwordless»?

Resteranno: non affrettatevi quindi a disdire l’abbonamento al vostro password manager.

Il principale svantaggio delle password rispetto alle passkey è che vengono memorizzate sui server dei servizi (di norma non in chiaro, ma offuscate) e, in caso di violazione dei dati, possono essere esposte (se vengono decifrate). In questo caso è utile confrontare le password con il database delle credenziali trapelate: il nostro password manager PassSecurium™ offre proprio questa funzione.

Anche le passkey sono considerate a prova di phishing, ma con un password manager potete ridurre il rischio di finire su un sito di phishing salvando il link al sito legittimo e aprendolo direttamente dal password manager.

In generale, gli utenti possono ridurre drasticamente i rischi informatici legati alle password utilizzando un password manager e attivando la 2FA/MFA dove non è possibile usare le passkey.

Inoltre, i password manager possono archiviare molti più dati delle semplici coppie login/password: carte di credito, conti bancari, ogni tipo di carta fedeltà e documento d’identità, accessi ai server, impostazioni e-mail. Potete anche allegare file ai vostri record e creare note sicure.

Per la condivisione multipiattaforma delle credenziali tra più utenti, soprattutto in azienda, il password manager resta la soluzione più accettata e comoda.

E a poco a poco gli sviluppatori di password manager stanno aggiungendo ai loro prodotti la possibilità di salvare passkey (anche noi abbiamo questa idea ben presente nei nostri piani futuri).

Quali conclusioni possiamo trarre?

Evidentemente, un passaggio completo all’autenticazione passwordless non è previsto nel prossimo futuro.

Le passkey e il loro utilizzo sono un tema caldo, ma è troppo presto per dire quanto ci sia di hype. La tecnologia è ancora nuova e si presenta come il metodo di autenticazione più sicuro e resistente al phishing, ma non dobbiamo dimenticare che la cybersecurity è sempre una corsa agli armamenti con gli hacker. C’è motivo di credere che a breve vedremo i primi tentativi di attaccare, aggirare o sfruttare le tecnologie passwordless.

Gradualmente servizi e applicazioni passeranno all’autenticazione passwordless, ed è una buona notizia. Molti servizi, però, non sono così flessibili e probabilmente continueranno a utilizzare i metodi tradizionali ancora a lungo.

Dove possibile, utilizzate le passkey. Se invece continuate a usare password, vi raccomandiamo vivamente di seguire le best practice di gestione delle password, incluso l’uso di un password manager come PassSecurium™.

I password manager, compreso il nostro, si stanno diversificando e adattando, per avere un posto ed essere utili anche in un futuro senza password.

Fonti

Passkeys

FIDO Alliance

Google passkeys

YubiKey

Online Authentication Barometer – sondaggio FIDO

Sondaggio sull’autenticazione

Adozione del passwordless per settore

Sondaggio sulle decisioni in materia di password