Cos'è una passkey, come funziona e perché è migliore di una password?

Il National Cyber Security Centre del Regno Unito ha decretato la fine della password: d'ora in poi, dovresti usare una passkey.

L'NCSC ha dichiarato questa settimana che non raccomanderà più l'uso delle password dove le passkey sono disponibili. Dovrebbero essere la prima scelta dei consumatori per l'accesso a tutti i servizi digitali perché le password non erano abbastanza sicure per resistere alle moderne minacce informatiche.

Cos'è una passkey? I funzionari della sicurezza descrivono una passkey come un "timbro digitale" che ti consente di accedere ad app e siti web ed è memorizzato sul tuo dispositivo.

È una forma di accesso senza password. A differenza di una password, non può essere rubata in un attacco di phishing, in cui le persone vengono ingannate nel consegnare le proprie credenziali, che possono poi apparire sul dark web.

Richiede solo il tuo smartphone o dispositivo per confermare che sei tu che stai cercando di accedere, utilizzando metodi biometrici come il riconoscimento facciale o il PIN del tuo telefono. Questo attiva il "timbro" – o passkey sicura – che conferma all'app o al sito web che sei chi dici di essere. Ogni account con cui sei registrato avrà una passkey diversa.

Anche se un'app o un sito web che utilizza passkey viene violato, non è di alcuna utilità per un aggressore perché il dispositivo detiene la passkey "privata" necessaria per completare l'accesso.

Le passkey possono anche essere sincronizzate tra dispositivi.

Come si imposta una passkey? L'NCSC afferma che puoi andare nelle impostazioni di sicurezza dell'account o privacy sulle app e sui siti web che già utilizzi, o cercare i prompt dei servizi che ti chiedono di passare alle passkey. Potrebbe anche esserti offerta la possibilità di impostarne una durante la creazione di un nuovo account per un'app o un sito web.

Google afferma che poco più del 50% degli utenti dei suoi servizi nel Regno Unito ha una passkey registrata.

Perché le passkey sono buone? Non sono password, che possono essere carpire o estorcere agli utenti tramite email di phishing o possono essere trovate sul dark web.

L'anno scorso, i ricercatori di Cybernews, una pubblicazione tecnologica online, hanno dichiarato di aver trovato miliardi di credenziali di accesso. I set di dati erano nel formato di un URL, seguito dai dettagli di accesso e da una password. Gli esperti erano scettici riguardo al rapporto, affermando che i dati erano probabilmente già in circolazione online e molti dei dettagli potevano essere duplicati. Ciononostante, hanno affermato che ciò ha sottolineato la necessità di aggiornare regolarmente le password e adottare misure di sicurezza rigorose come l'autenticazione a due fattori, in cui agli utenti viene chiesto di fornire un'altra forma di verifica insieme alla loro password.

"Le password non sono mai state una soluzione perfetta dal punto di vista dell'utente perché dobbiamo continuare ad aggiungere cose per cercare di renderle più sicure", ha detto Dave Chismon, un esperto tecnologico senior dell'NCSC. "E tuttavia, sono ancora suscettibili al phishing e la sicurezza aggiuntiva coinvolta rende la vita degli utenti più difficile.

"Mentre la tecnologia è complessa, per un utente le passkey sono più veloci e semplici che ricordare una password o passare attraverso l'autenticazione a due fattori."

Il riconoscimento facciale è vulnerabile? Bypassare i controlli biometrici su un dispositivo è difficile. Alan Woodward, professore di cybersecurity all'Università di Surrey, afferma che il riconoscimento facciale è migliorato significativamente.

"Non sono solo gli algoritmi di riconoscimento a essere migliorati, ma i dispositivi ora includono la 'prova di vitalità' per impedire l'uso di immagini. Come per tutta la cybersecurity, è un gioco del whack-a-mole. Le tattiche degli hacker migliorano e anche le contromisure migliorano", dice.

Potrebbe esserci un problema, ad esempio, con un familiare o un partner che conosce il PIN del tuo telefono. Gli esperti affermano che una difesa ovvia contro questo è mantenere privato il tuo PIN, anche dai membri della famiglia.

Quali altre precauzioni dovrebbero seguire le persone? Una minaccia importante per la cybersecurity personale delle persone è il loro stesso comportamento. "La maggior parte degli attacchi contro gli individui avviene ancora a causa della mancanza di igiene informatica di base: fare bene le cose fondamentali funziona davvero", ha detto Chismon.

Alcune raccomandazioni di base sono ottenere le passkey o, se si utilizzano password, utilizzare l'autenticazione a due fattori. Un'altra è utilizzare sempre password robuste, specialmente una robusta e separata per il tuo account email. E usa un gestore di password, che crea e memorizza le password in modo sicuro.

Dovresti aggiornare regolarmente le app e il software operativo sui tuoi dispositivi. Gli attacchi di phishing, in cui gli aggressori tentano di accedere ai tuoi dettagli di accesso o ti ingannano nel scaricare software dannoso, possono essere evitati prestando attenzione (e non facendo clic su) email, collegamenti e allegati dall'aspetto sospetto.

Le password più comuni al mondo sembrano un toccasana per gli hacker. Secondo Nordpass, un'app di gestione password che memorizza le password in modo sicuro, la password più utilizzata – basata su un'analisi di violazioni di dati pubbliche e scorte di dati del dark web – è "123456". Altre tra le prime 10 sono "admin", "password" e "admin123". Se queste sono le tue password, allora le passkey sono decisamente per te.