Come si chiama questa credenziale senza password, resistente al phishing, conservata sul tuo dispositivo?

Una passkey funziona tramite crittografia a chiave pubblica: il dispositivo genera una coppia di chiavi corrispondenti, una privata che resta bloccata sul telefono o computer, e una pubblica conservata dal sito web. Al momento dell'accesso, il sito invia una sfida a cui solo la chiave privata può rispondere correttamente, così non esiste mai una password condivisa che viaggi in rete e che gli hacker possano intercettare, né un database di password che possano rubare.

Un gestore di password si limita a memorizzare e compilare automaticamente le password tradizionali, il che significa che un segreto rubabile esiste comunque: è uno strumento utile, ma non la credenziale senza password che la FIDO Alliance sta standardizzando. Un PIN monouso è un codice temporaneo inviato via SMS o app, utile come verifica aggiuntiva ma pur sempre un segreto condiviso che può essere phishato o intercettato.

Poiché una passkey non lascia mai il dispositivo, anche se un sito che usiamo viene violato, gli aggressori ottengono soltanto una chiave pubblica inutile: ecco perché le grandi aziende stanno correndo per sostituire decenni di abitudini insicure legate alle password con questo approccio.