Passkey spiegate: come sostituiscono le password e resistono al phishing

Una password deve essere conosciuta sia da te sia dal sito web, ed è proprio questo che la rende rubabile. Una passkey è progettata per evitare tutto ciò: non c’è nulla da digitare, nulla da ricordare e nulla che un sito falso possa raccogliere e riutilizzare.

Ecco che cos’è una passkey, come funziona l’accesso con una passkey, perché resiste al phishing e da che cosa dipende ancora.

Che cos’è una passkey

Secondo la FIDO Alliance, il gruppo di settore che ha sviluppato lo standard, una passkey è una credenziale che permette di accedere a un’app o a un sito web con lo stesso procedimento che usi per sbloccare il dispositivo, ad esempio con un’impronta digitale, il riconoscimento facciale, un PIN o una sequenza. È associata al tuo account su un sito specifico e sostituisce sia la password sia, nella maggior parte dei casi, il codice aggiuntivo.

Dietro le quinte, una passkey è una coppia di chiavi crittografiche. Il sito web conserva la chiave pubblica, che da sola è inutilizzabile, mentre la chiave privata rimane sul tuo dispositivo. Per ogni sito viene creata una nuova coppia, quindi una passkey non può essere riutilizzata su più servizi come può avvenire con una password.

Come funziona l’accesso con una passkey

Quando accedi, il sito web invia al tuo dispositivo una sfida monouso. Il dispositivo ti chiede di sbloccarlo con i tuoi dati biometrici o il PIN, poi usa la chiave privata per firmare la sfida e invia la risposta firmata. Il sito web verifica la firma con la chiave pubblica memorizzata e ti consente di accedere. Il NCSC, l’agenzia nazionale britannica per la cybersicurezza, descrive la stessa sequenza, in cui la chiave privata non viene mai condivisa con il sito web o il browser.

FIDO afferma che durante l’accesso non vengono trasmessi dati personali o biometrici. L’impronta digitale o la scansione del volto vengono utilizzate solo localmente per sbloccare la chiave sul dispositivo.

Perché le passkey resistono al phishing

La differenza principale è che una passkey è associata al dominio del sito autentico. Il NCSC spiega che un autenticatore FIDO offre solo credenziali corrispondenti al sito che stai visitando e che il controllo viene effettuato dal browser o dall’app di cui ti fidi, quindi una pagina falsa non può influenzarlo. Non c’è alcuna password o codice che un sito impostore possa rubare.

Il NCSC confronta questo sistema con i tradizionali secondi fattori e rileva che tutti, compresi i codici delle app di autenticazione, sono vulnerabili agli aggressori che inoltrano un accesso tramite una pagina falsa in tempo reale, mentre le credenziali FIDO2 non lo sono. Ha inoltre segnalato che, al momento della stesura, non erano stati osservati attacchi in circolazione contro l’autenticazione FIDO2 in sé, anche se gli aggressori cercano di spingere gli utenti a usare metodi di ripiego più deboli. Per questo è importante considerare quale sia l’opzione di accesso più debole ancora attiva su un account.

Passkey sincronizzate e associate a un dispositivo

Esistono due tipi di passkey. Una passkey sincronizzata viene sottoposta a backup tramite un servizio di sincronizzazione ed è disponibile sugli altri dispositivi, così perdere un dispositivo non significa perdere l’accesso. Una passkey associata a un dispositivo, come quella memorizzata su una chiave di sicurezza fisica, rimane su quel singolo dispositivo e non può essere copiata.

Entrambe comportano un compromesso. Il NCSC consiglia di proteggere dal phishing l’account associato a un servizio di sincronizzazione e di mantenere un metodo sicuro per recuperarlo. Inoltre, segnala che la sua analisi dei principali servizi di sincronizzazione proprietari nel 2025 ha rilevato che questi richiedevano l’autenticazione a due fattori per memorizzare le passkey, mentre le soluzioni di terze parti presentavano differenze. Per quanto riguarda le passkey associate a un dispositivo, consiglia agli utenti di registrare una chiave di backup, poiché una chiave smarrita non può essere recuperata.

Che cosa non fanno le passkey

Una passkey protegge la fase di accesso, non tutto ciò che la circonda. Non può aiutarti se qualcuno ha il tuo dispositivo e conosce un PIN debole. Il NCSC segnala inoltre che il recupero dell’account è spesso meno sicuro dell’accesso stesso ed è un obiettivo degli aggressori. Una passkey non è nemmeno una chiave di un wallet crypto. Ti consente di accedere a un account, mentre la frase seed o la chiave privata di un wallet controllano i fondi in un wallet self-custody; una passkey non può proteggere né sostituire nessuna delle due.

Promemoria WEEX: una passkey non è una frase seed

WEEX ricorda agli utenti che una passkey consente di accedere a un account, mentre una frase seed o una chiave privata controllano un wallet self-custody. Non inserire mai una frase seed in una pagina che ti chiede di usarla per “verificare” o “ripristinare” una passkey e non condividerla mai con nessuno, nemmeno con chi sostiene di far parte del supporto. Usa un PIN sicuro sui tuoi dispositivi, mantieni aggiornate le opzioni di recupero del tuo account e controlla l’indirizzo di un sito prima di accedere. Queste informazioni non costituiscono una consulenza finanziaria.

Conclusione

Una passkey sostituisce un segreto condiviso con una coppia di chiavi: il sito web non conserva mai nulla che possa essere rubato e riutilizzato, e un sito falso non ha nulla da raccogliere. Per questo è uno dei metodi di accesso più sicuri disponibili per gli account personali. Dipende comunque dalla sicurezza del dispositivo, dalla protezione dell’account di sincronizzazione e dalla disponibilità di un buon metodo di recupero; inoltre, non protegge la frase seed di un wallet.

Domande frequenti

1. Che cos’è una passkey?
Una passkey è una credenziale FIDO che permette di accedere a un’app o a un sito web usando gli stessi dati biometrici, il PIN o la sequenza che utilizzi per sbloccare il dispositivo, al posto di una password.

2. Qual è la differenza tra una passkey e una password?
Una password è un segreto condiviso che digiti e che il sito memorizza. Una passkey è una coppia di chiavi, di cui solo la chiave pubblica viene conservata sul sito; viene creata separatamente per ogni account e sbloccata sul tuo dispositivo.

3. Una passkey è un’autenticazione a due fattori?
Quando per accedere sono richiesti i tuoi dati biometrici o il PIN, la passkey combina qualcosa che possiedi, la chiave sul dispositivo, con qualcosa che sei o che conosci. FIDO afferma che può sostituire un codice separato e il NCSC la considera equivalente all’autenticazione a due fattori.

4. Una passkey può essere vittima di phishing?
È progettata per resistere al phishing perché è associata al dominio del sito autentico. Gli aggressori potrebbero comunque cercare di spingere un utente a usare un metodo di ripiego più debole, quindi le altre opzioni di accesso associate all’account sono importanti.

5. Che cosa succede se perdo il dispositivo con la mia passkey?
Una passkey sincronizzata è disponibile sugli altri dispositivi collegati allo stesso account di sincronizzazione, oppure può essere ripristinata recuperando quell’account su un nuovo dispositivo. Una passkey associata a un dispositivo non può essere copiata, quindi serve una chiave di backup o un altro metodo di recupero.