Passkey: Apple dice addio alle password (e sarà una rivoluzione)

Una delle novità più intriganti di iOS 16 e macOS 13 Ventura è l’introduzione di Passkey, una feature di iscrizione e login a app e servizi più sicura e comoda delle password, che libera definitivamente l’utente dalla croce di dover creare e ricordare password sempre più lunghe e complesse.

Cos’è Passkey

Era ora che qualcuno si ponesse il problema, perché la verità  è che il vecchio sistema di login e password ha fatto il suo tempo. Serve qualcosa di più robusto, e soprattutto, che ci sollevi dall’assillo di dover ricordare l’immemorabile.

“Le Passkey sostituiscono le password” spiega Apple in un documento di supporto. “Sono più veloci per l’accesso, più facili da usare e molto più sicure.

Basate sullo standard WebAuthn, Passkey utilizza un paio di chiavi crittografiche per ogni account: una viene conservata sul server del servizio online e l’altra sul dispositivo, protetta da Face ID o Touch ID. Quando si tenta di accedere a un sito Web, il sistema decodificherà la password e verificherà che quella conservata sul dispositivo coincida con quella sul server.

Vantaggi di Passkey

Poiché l’unica copia della chiave, a parte quella sui server, è sul dispositivo dell’utente, Apple dice che non può essere sottratta o rubata con tecniche di phishing.

Le Passkey vengono poi condivise tra i dispositivi attraverso Portachiavi iCloud, che richiede l’autenticazione a due fattori. Questa misura fornisce un grado di sicurezza aggiuntivo, nel caso caso in cui il dispositivo principale dell’utente (quello che contiene fisicamente le password) dovesse andare perduto o danneggiarsi.

Passkey Perse?

Anche nel remoto caso in cui l’utente dovesse perdere completamente l’accesso al dispositivo e alle sue password, Apple ha predisposto un servizio di Recupero PassKey.

“Per recuperare un portachiavi, gli utenti devono autenticarsi con il proprio account iCloud e la password e rispondere a un SMS inviato al loro numero di telefono registrato. Al termine, gli utenti devono inserire il loro codice di sicurezza iCloud. Il cluster HSM verifica che un utente conosca il proprio codice di sicurezza iCloud utilizzando il protocollo Secure Remote Password (SRP); il codice stesso non viene inviato ad Apple. Ogni membro del cluster verifica in modo indipendente che l’utente non abbia superato il numero massimo di tentativi consentiti di recuperare il proprio record” e se i dati coincidono, il cluster scarta il record di deposito a garanzia e lo invia al dispositivo dell’utente.”

Sembra molto complicato, e tecnicamente lo è; ma tutto quel che deve sapere e fare l’utente è semplicemente usare Touch ID e Face ID per autenticarsi sui siti We. Al resto pensa Apple.

Compatibilità Universale

Apple sta lavorando con la FIDO Alliance, che include anche Google e Microsoft, per far sì che Passkey funzioni anche su dispositivi e piattaforme non Apple. In questi caso, Passkey funzionerà attraverso codici QR da inquadrare con iPhone per l’autenticazione, un po’ come si fa già con SPID.

Affinché la cosa vada in porto, tuttavia, occorre la collaborazione di tutta l’industria. Insomma, ci vorrà tempo.