Le password rimangono uno dei punti deboli più persistenti della cybersecurity. Le passkey, o chiavi di accesso, vengono presentate come una risposta a questo problema, ma secondo un’analisi pubblicata da SecurityWeek, non bastano a risolvere la questione più ampia della fiducia accordata a un’identità.
Una protezione più solida delle password
Le passkey si basano sulla crittografia a chiave pubblica, che sostituisce i segreti condivisi con identificativi crittografici. Non esiste quindi più una password che un attaccante potrebbe rubare, intercettare tramite phishing (phishing) o riutilizzare su un altro servizio. Quando implementate correttamente, resistono anche al phishing, perché l’autenticazione è vincolata al servizio legittimo.
Il dispositivo si distingue dai metodi tradizionali. I codici monouso, gli SMS o le notifiche push, anche se più robusti delle sole password, rimangono vulnerabili al phishing, agli attacchi cosiddetti «dell’uomo nel mezzo», alla fatica legata alle richieste ripetute (MFA fatigue), al SIM swapping e all’ingegneria sociale. Con le passkey, il dispositivo dell’utente conserva una chiave privata, mentre il servizio mantiene la chiave pubblica corrispondente. La chiave privata non viene mai trasmessa durante l’autenticazione.
Autenticare non è identificare
Un’autenticazione riuscita fornisce una prova crittografica solida che un identificativo associato a un account ha seguito il processo. Non dice però se l’account è stato creato legittimamente, se l’identità sottostante è stata compromessa, se il dispositivo è affidabile o se un attaccante agisce attraverso una sessione autenticata.
Il rischio si sposta in particolare durante l’iscrizione. Se un attaccante crea o prende il controllo di un account prima che una passkey gli venga associata, l’organizzazione può poi autenticare con un alto livello di sicurezza la persona sbagliata. Più il dispositivo di autenticazione è solido, più l’integrità di questa fase diventa importante.
La questione si pone anche quando l’utente cambia dispositivo, cosa che accade frequentemente: telefoni persi, rubati o sostituiti, nuovi laptop, cambiamenti di ecosistema. Se la procedura di recupero si basa su una password, un codice SMS, un link via email, una domanda segreta o un servizio di assistenza, gli attaccanti possono puntare su questo percorso più debole. Come riassume l’analisi, «la passkey non è stata compromessa. L’attaccante ha aggirato il dispositivo».
Valutare la fiducia nel tempo
Secondo l’analisi, l’autenticazione costituisce solo un momento del percorso. Gli attacchi moderni possono dirottare sessioni già aperte, compromettere dispositivi di fiducia, abusare di privilegi o modificare attributi dell’account. In questi casi, il meccanismo di autenticazione può aver funzionato esattamente come previsto.
L’autore propone quindi di integrare le passkey con il rilevamento delle minacce legate all’identità, che valuta continuamente il rischio. Le caratteristiche del dispositivo, gli attributi dell’identità, i comportamenti anomali, le informazioni sulla rete o i cambiamenti dell’account possono aiutare a determinare se un’identità rimane degna di fiducia. Un utente conosciuto, da un dispositivo consolidato e con un comportamento abituale, non dovrebbe essere disturbato. Al contrario, un tentativo di recupero da un dispositivo sconosciuto o una modifica di attributi critici può innescare una verifica aggiuntiva.
Il modello passa così da «autenticare una volta, poi fidarsi» a «stabilire la fiducia, valutare il rischio continuamente e reagire quando la fiducia cambia». Le passkey rispondono alla domanda se l’utente possiede un identificativo legittimo, mentre il rilevamento delle minacce legate all’identità riguarda quella di sapere se bisogna ancora fidarsi di questa identità. Le organizzazioni devono rispondere a entrambe.
