Passkey è un sistema di autenticazione unico per accedere con codici e biometria, per dare l’addio alle password e cercare di debellare il phishing.
Il rapporto “State of the Phish 2024” di Proofpoint indica che il 71% delle organizzazioni intervistate ha subito almeno un attacco di phishing di successo nel 2023, rispetto all’84% dell’anno precedente. Tuttavia, le conseguenze negative sono aumentate significativamente, con un incremento del 144% nei report di sanzioni finanziarie e un aumento del 50% nei danni reputazionali.
Ecco perché le imprese passeranno a Passkey, vediamo cos’è e come funziona.
Indice degli argomenti
Cos’è Passkey
Passkey è un sistema di autenticazione, per accedere con riconoscimento biometrico, in modo sicuro e facile a tutti i propri account, senza la necessità di memorizzare password lunghe e complesse. Semplifica l’accesso autenticato a servizi digitali e app.
Il Passkey permette di dare l’addio alle password, accelerando il passaggio all’era passwordless. Il dispositivo è in grado di “certificare la propria identità”, al fine di scongiurare attacchi di phishing.
Il sistema sblocca l’accesso grazie a una coppia di chiavi crittografiche: crittografia asimmetrica o a chiave pubblica. Queste chiavi crittografiche, a loro volta, sono direttamente connesse con l’account utente. Con le passkey lo smartphone diventa il dispositivo per eccellenza, per l’autorizzazione di un accesso.
Infatti, in fase di login, è sufficiente confermare sul telefonino l’impronta digitale o il riconoscimento facciale o immettere il PIN o un codice temporaneo da inquadrare con la fotocamera del telefonino (nel caso di accesso da computer), per autenticare l’accesso in automatico, senza dover inserire alcuna password. La crittografia asimmetrica o a chiave pubblica, il meccanismo su cui si fonda il funzionamento delle Passkey, consente di accertare efficacemente l’identità dell’utente. Il sito Web o l’app possono vedere e archiviare la chiave pubblica degli utenti mentre la corrispondente chiave privata resta segreta e conservata in sicurezza nel singolo dispositivo.
Per usare Passkey su un telefono per accedere a un altro computer, occorre abilitare il blocco schermo e Bluetooth.
Cos’è lo standard WebAuthn
Ancora oggi “Password” è la password più diffusa, seguita da 123456. Il motivo per cui le aziende necessitano di adottare Passkey è che vengono scelte e usate male. Invece, secondo un recente report sui data breach di Verizon, a causare l’81% delle violazioni degli account sono password deboli o rubate, ma riutilizzate. Anche se il password reuse è da evitare.
Nel 2019 il W3C ha approvato il protocollo WebAuthn come standard per l’autenticazione ai servizi online, senza bisogno di usufruire delle classiche password.
WebAuthn o Web Authentication è lo standard aperto voluto da FIDO Alliance e W3C, già supportato su Chrome, Firefox ed Edge. Safari lo usa dal dicembre 1918. Android, GitHub, Dropbox, Facebook, Salesforce, Stripe e Twitter hanno subito adottato WebAuthn, ideato per token USB e strumenti biometrici. Oltre a Alibaba, Airbnb, Apple, Google, Intel, IBM, Microsoft, Mozilla, PayPal, Tencent, SoftBank e Yubico.
Come proteggere le password
Proteggere e gestire le password è fondamentale per mantenere la sicurezza online. Ecco alcuni suggerimenti per gestire e proteggere le password in modo efficace:
- Usa un gestore di Password
- Strumenti come NordPass, LastPass o 1Password possono generare, salvare e compilare automaticamente le password, riducendo il rischio di usare password deboli o ripetute.
- Crea password complesse
- Le password dovrebbero essere lunghe e contenere una combinazione di lettere maiuscole e minuscole, numeri e simboli.
- Non riutilizzare le password
- Usa password uniche per ogni account per evitare che una compromissione possa mettere a rischio più account.
- Attiva l’autenticazione a due Fattori (2FA)
- Aggiungi un ulteriore livello di sicurezza richiedendo un secondo fattore di autenticazione, come un codice inviato al tuo cellulare.
- Aggiorna regolarmente le password
- Cambia le password periodicamente e immediatamente se sospetti che possano essere state compromesse.
- Fai attenzione ai tentativi di Phishing
- Non cliccare su link sospetti ricevuti via email o messaggi e verifica sempre l’autenticità del sito web prima di inserire le tue credenziali.
- Utilizza la sicurezza biomentrica
- Se possibile, usa l’impronta digitale o il riconoscimento facciale per accedere ai tuoi dispositivi e account.
- Mantieni i software aggiornati
- Assicurati che tutti i tuoi dispositivi e app siano aggiornati con le ultime patch di sicurezza.
- Archivia le password importanti offline
- Per un ulteriore livello di sicurezza, considera di conservare una copia delle password critiche in un luogo sicuro offline.
NordPass
Compatibilità: Windows, Mac, Android, iOS, Linux
Estensioni web: Chrome, Firefox, Edge, Safari, Opera, Brave
Crittografia: XChaCha20
2FA: ✓
Compilazione automatica: ✓
Versione Gratuita: ✓
Prezzo: da 1,29 €/mese
L’offerta di NordPass propone uno sconto del 50% su NordPass Premium, riducendo il costo mensile da 2,99 euro a 1,49 euro per i primi 24 mesi. Il supporto clienti è 24/7.
Questo gestore di password offre funzionalità come la sincronizzazione automatica dei dispositivi, generazione di password complesse, scansione del web per fughe di dati, autenticazione multifattoriale, e la possibilità di condividere password in sicurezza. Inoltre, non è richiesta una carta di credito per la prova aziendale e c’è una garanzia di rimborso entro 30 giorni.
NordLocker Premium
L’offerta di NordLocker Premium è un servizio che mira a fornire una soluzione sicura per la protezione e la gestione dei dati personali e aziendali. Questa offerta è ideale per chi cerca un modo sicuro e semplice per proteggere e gestire i propri file, con la flessibilità di condividere in sicurezza quando necessario.
Ecco i punti salienti dell’offerta:
- Prezzo scontato: L’offerta prevede uno sconto del 53% sul prezzo normale del servizio NordLocker Premium. Il costo è di 6.99 dollari Usa al mese, anziché 19.99 dollari Usa, con un costo annuale di 83.88 dollari Usa per il primo anno.
- Garanzia soddisfatti o rimborsati: Include una garanzia di rimborso di 30 giorni.
- Criptografia continua: I tuoi file sono sempre criptati, sia che vengano archiviati nel cloud sia localmente sul tuo dispositivo.
- Backup e sincronizzazione: I file possono essere sincronizzati in modo sicuro su diversi dispositivi. Inoltre, puoi recuperare i tuoi dati facilmente in caso di perdita o danneggiamento del dispositivo.
Opzioni di archiviazione
- 3 GB gratuiti: Disponibili senza costi e senza necessità di carta di credito.
- 500 GB a 2.99 dollari Usa/mese: Include condivisione sicura dei file e supporto via email, fatturato annualmente.
- 2 TB a 6.99 dollari Usa/mese: Include condivisione sicura dei file, supporto email e viene fatturato annualmente con l’opzione di risparmiare il 53%.
1Password
Compatibilità: Windows, Mac, Android, iOS, Linux
Estensioni web: Chrome, Firefox, Edge, Safari, Opera, Brave
Crittografia: AES-256
2FA: ✓
Compilazione automatica: ✓
Versione Gratuita: ❌
Prezzo: da 2,65 €/mese
L’offerta di 1Password include piani per diverse esigenze, dalle imprese ai privati. Ecco un riassunto delle opzioni disponibili:
Piani per le aziende
Teams Starter Pack
- Costo: 16.95 euro al mese per un massimo di 10 utenti, pagato annualmente.
- Include: Condivisione sicura, avvisi di sicurezza, supporto per sviluppatori, risorse di auto-servizio.
- Prova gratuita di 14 giorni.
Business
- Costo: 6.99 euro per utente al mese, pagato annualmente.
- Include tutto dal Teams Starter Pack, più integrazioni con Okta, Entra ID, OneLogin, Duo, report avanzati, controlli amministrativi granulari, crittografia end-to-end, supporto telefonico esperto.
- Prova gratuita di 14 giorni.
Enterprise
- Prezzo personalizzato su richiesta.
- Include tutto dal piano Business, più un account executive dedicato, manager per onboarding e customer success per più di 100 utenti, periodi di prova estesi, prezzi personalizzati basati sul volume.
Piani per Privati
Individual
- Costo: 2.65 euro al mese, pagato annualmente.
- Include: Generatore di password, riempimento automatico login, uso su tutti i dispositivi, verifica delle violazioni di sicurezza (Watchtower), supporto via email.
- Prova gratuita di 14 giorni.
Families
- Costo: 4.75 euro al mese, pagato annualmente.
- Include tutto dal piano Individual, più 5 membri della famiglia, controlli amministrativi semplici.
- Prova gratuita di 14 giorni.
Prodotti e servizi aggiuntivi
Extended Access Management: Controllo dell’accesso e visibilità per le organizzazioni. Prezzo personalizzato su richiesta.
Managed Service Providers (MSP): Console dedicata per gestione clienti, risorse su misura per MSP.
Acquisto su AWS Marketplace: Offerte di semplificazione dell’acquisto e distribuzione, fatturazione consolidata, sicurezza migliorata.
Siti e app che supportano Passkey
L’app Kajak è stata una delle prime a implementare la soluzione (appare una finestra popup che chiede se si vuole salvare una Passkey), seguita da Best Buy, eBay, CardPointers e il sito WordPress. Google ha integrato Passkey nei Play Services di Android ed è stato attivato su Chrome (versione 109 o successiva), Google Android e su altre piattaforme grazie alle API WebAuthn. Dopo Apple e Google, anche Microsoft è pronta alla transizione.
Passkey, i vantaggi rispetto le password
La tecnologia Passkey coniuga l’immediatezza della password con la protezione rafforzata dell’autenticazione a doppio fattore. Le passkey offrono il vantaggio di essere interoperabili con tutti i browser più noti e i sistemi operativi.
Il vantaggio principale consiste nello scongiurare attacchi phishing per ottenere le credenziali (di home banking o app mobili bancarie, social media eccetera). Inoltre le password hanno criticità intrinseche: le persone creano password deboli, poco sicure e facili da indovinare; gli attacchi phishing rischiano di intercettare o rubare password; il servizio di archiviazione online può subire violazioni per ottenere le password, soprattutto quelle riutilizzate per più servizi. Passkey evita tutte queste problematiche legate a un cattivo uso delle password.
Google Passkey
Google Passkey può sostituire la parola chiave e l’autenticazione a due fattori. Gli utenti o non sanno scegliere password complesse come richiede la buona prassi; o considerano farraginosa l’autenticazione a due o più fattori e non l’adottano. Il sistema di autenticazione utilizza codici crittografici, creati istantaneamente in modo univoco sui singoli dispositivi.
Gli utenti possono creare passkey sul proprio smartphone Android, per sincronizzarle poi sugli altri dispositivi grazie a Google Password Manager. In questo modo, anche se uno devicesubisse una rottura o in caso di smarrimento, l’utente potrebbe eseguire il login con il proprio account Google e sfruttare la passkey.
Come attivare Passkey di Google
Su smartphone e tablet, l’app di Google per Android o iOS e iPadOS, si digita sulla foto profilo in alto, toccando sul pulsante Account Google. Oppure si esegue l’accesso con il proprio account Google. Si accede alla scheda Sicurezza, pigiando sulla voce Passkey. Ma è possibile anche accedere all’URL diretto per collegarsi alla sezione Passkey di Google.
Una delle due chiavi, quella esterna, è associata al servizio/sito/app e dunque sarà. L’utente dovrà scegliere l’altra, tra pin locale o il riconoscimento biometrico o l’impronta digitale. Passkey permette di eseguire l’accesso all’utenza anche da device appartenenti a uno stesso ecosistema. Infatti è sufficiente memorizzare e archiviare una passkey su iPhone, per renderla disponibile sui Mac e iPad che condividono l’account iCloud. Le due chiavi si generano soltanto una volta.
Quando si vorrà accedere a Google, il sistema di autenticazione aprirà una finestra che richiederà di immettere il Pin locale o usare il riconoscimento biometrico da collegare alla passkey già messa a disposizione dal dispositivo. Per un accesso singolo, è possibile utilizzare temporaneamente un dispositivo esterno. Sul nuovo device si sceglie la voce “usa passkey da un altro dispositivo” per abilitare il login, dando poi l’approvazione dal proprio dispositivo principale.
Passkey su iPhone
Apple è stata una delle prime aziende a introdurre Passkey sui nuovi iOS 16 e macOS 13. Per abilitarlo su iPhone, si accede ad Impostazioni, toccando Password e quindi Opzioni password. Si attiva l’opzione Compilazione automatica password, controllando di spuntare Password e portachiavi iCloud, sotto la scritta Consenti inserimento da.
