Chiavi di sicurezza hardware e passkey: la 2FA più forte in assoluto

Perché i codici e le app di autenticazione non sono all'altezza

Per anni il consiglio è stato semplice: attiva l'autenticazione a due fattori e una password rubata, da sola, non sarebbe più stata sufficiente. Per la maggior parte degli account, quel secondo fattore è un codice — sei cifre che arrivano via SMS o generate da un'app di autenticazione. I codici SMS sono i più deboli dei due, dato che gli attacchi di SIM swap possono intercettarli, mentre i codici generati dalle app almeno non lasciano mai il tuo dispositivo. Entrambi rappresentano un autentico miglioramento rispetto alle sole password e, se sono la tua unica opzione, usali. Ma sono stati concepiti per una minaccia che da allora si è evoluta.

La debolezza è fondamentale: un codice è un segreto condiviso che digiti. Qualsiasi cosa tu possa digitare, puoi essere indotto con l'inganno a digitarla. Una pagina di login contraffatta in modo convincente non si ferma alla tua password. In un attacco di phishing in tempo reale, il sito dell'attaccante inoltra tutto ciò che inserisci — password, poi codice — direttamente al sito vero e proprio, effettuando l'accesso nell'istante in cui il codice arriva. Tu vedi un vago errore «qualcosa è andato storto»; l'attaccante ottiene una sessione funzionante. Il codice ha fatto il suo lavoro — ma per la persona sbagliata.

Cosa sono davvero FIDO2 e WebAuthn

FIDO2 è lo standard ombrello alla base di chiavi hardware e passkey. È composto da due parti che lavorano insieme:

• WebAuthn viene eseguito nel browser. È il protocollo che un sito web utilizza per richiedere un accesso e verificare la risposta.
• CTAP disciplina il modo in cui il tuo dispositivo — una chiave USB, un telefono, il lettore integrato di un laptop — comunica con quel browser. Inserisci una chiave o avvicinala via NFC, e CTAP gestisce la conversazione.

Una coppia di chiavi per sito web

Quando registri un dispositivo su un sito, la chiave genera una nuova coppia di chiavi pubblica/privata solo per quel sito. La chiave privata rimane all'interno dell'hardware e non lo lascia mai. Il sito web riceve solo la chiave pubblica corrispondente, associata al tuo account.

Questa separazione è ciò che rende le violazioni molto meno dannose. Gli accessi tradizionali costringono i server a memorizzare password o loro hash — un database che gli attaccanti vogliono davvero rubare. Con FIDO2, il database del server contiene solo chiavi pubbliche. Una chiave pubblica non può essere usata per accedere come te, quindi non esiste nemmeno una cassaforte di segreti che valga la pena violare.

Chiavi di Sicurezza Hardware: Una Chiave che Puoi Toccare

Una chiave di sicurezza hardware è un piccolo dispositivo fisico, generalmente delle dimensioni di una pennetta USB o di una chiave di casa, creato appositamente per accedere. YubiKey è il marchio più conosciuto, ma diversi produttori le fabbricano. La porti con te nel portachiavi, la colleghi al computer e premi un pulsante per effettuare l'accesso.

Le chiavi sono disponibili con diversi connettori per adattarsi ai tuoi dispositivi:

• USB-C per laptop moderni, tablet e telefoni Android
• USB-A per computer più datati
• NFC per avvicinarle a iPhone e a molti telefoni Android — senza cavi

Molti modelli includono due di questi connettori, quindi una sola chiave può coprire sia il laptop che il telefono.

La sicurezza deriva dal funzionamento interno della chiave. Quando la registri, viene generata una chiave crittografica univoca e memorizzata direttamente sul dispositivo. Non lascia mai la chiave — né verso il sito web, né verso il tuo computer, né verso nessun luogo. La chiave firma ogni accesso internamente, e non succede nulla finché non la tocchi fisicamente. Un aggressore remoto non può premere un pulsante che si trova nella tua tasca.

Passkey: la stessa tecnologia, sincronizzata

Una passkey è una credenziale WebAuthn, proprio come quella creata da una chiave di sicurezza. La differenza sta nel luogo in cui risiede. Invece di trovarsi all'interno di un dispositivo fisico, una passkey è archiviata dal tuo sistema operativo o dal tuo gestore di password e può sincronizzarsi tra i tuoi dispositivi.

Come funziona la sincronizzazione

Quando crei una passkey, il tuo dispositivo le offre una casa:

• iCloud Keychain sui dispositivi Apple, sincronizzata end-to-end tra iPhone, iPad e Mac
• Google Password Manager su Android e in Chrome, sincronizzato con il tuo account Google
• Gestori di password di terze parti, che archiviano le passkey insieme alle tue credenziali di accesso

Poiché la credenziale ti segue, accedere su un nuovo dispositivo è spesso semplice quanto approvare una richiesta su un dispositivo che possiedi già.

Sincronizzata o vincolata all'hardware?

Le passkey sincronizzate si adattano agli account di tutti i giorni: acquisti, social media, streaming. La praticità conta, e perdere un telefono non significa più perdere l'accesso.

Una chiave vincolata all'hardware vince quando la posta in gioco è più alta. Le credenziali che non lasciano mai il dispositivo non possono essere sincronizzate, copiate o estratte da un account cloud, ed è per questo che banche, datori di lavoro e account amministratore giustificano ancora una chiave fisica.

Perché il Phishing Smette di Funzionare

Il 2FA tradizionale fallisce contro il phishing perché i codici sono solo numeri. Qualcosa che può essere digitato può essere digitato da una vittima in un modulo falso.

Le credenziali FIDO2 funzionano diversamente. Quando registri una chiave di sicurezza o una passkey, la credenziale è vincolata crittograficamente al nome di dominio esatto del sito web — ad esempio bank.example.com. Il browser applica questo vincolo. La chiave semplicemente rifiuta di firmare qualsiasi cosa per un dominio diverso.

Cosa Ottiene un Sito Falso

Supponi di cliccare su un link verso bank.example-login.com, una copia convincente del sito reale. Quando il browser esegue la cerimonia WebAuthn, presenta il dominio falso alla tua chiave. La chiave vede un dominio per il quale non ha alcuna credenziale. Il login fallisce, o non viene prodotto nulla di utilizzabile. L'attaccante riceve dati inutili per accedere altrove.

Niente da Rubare a Voce

Inoltre non esiste alcun codice a sei cifre da leggere al telefono o incollare in un modulo. Il segreto non lascia mai il dispositivo, e la risposta è legata al dominio reale. Un truffatore che chiede "il numero sul tuo schermo" sta chiedendo qualcosa che non esiste.

Per iniziare: una configurazione pratica

Compra due chiavi

Compra due chiavi di sicurezza hardware, preferibilmente di produttori diversi, così che un difetto di un lotto non disabiliti entrambe. Verifica i tipi di connettore prima dell'acquisto: USB-C, USB-A o NFC, a seconda dei tuoi dispositivi. Tieni la prima chiave sul portachiavi per l'uso quotidiano. Conserva la seconda in un luogo sicuro ma accessibile — una cassaforte di casa o un cassetto che ricorderai davvero. Una chiave di riserva lasciata non registrata non protegge nulla.

Registra entrambe, più una di riserva

Inizia con i tuoi account più importanti: prima la tua email, poi il tuo gestore di password, poi banca e social media. Nelle impostazioni di sicurezza di ogni account, registra entrambe le chiavi e salva i codici di recupero del servizio offline. I codici di recupero sono ciò che ti permette di rientrare se entrambe le chiavi vanno perse contemporaneamente, quindi trattali come una seconda password.

Attiva il 2FA ovunque altrove

Non ogni account richiede una chiave hardware. Dove le chiavi non sono supportate, attiva il 2FA disponibile — un'app di autenticazione piuttosto che SMS, dove possibile. Dai priorità a email e gestore di password; chi li controlla di fatto controlla tutto il resto. Procedi con il resto gradualmente, qualche account alla settimana.

Chiavi perse, recupero e domande frequenti

Perdere una chiave hardware non è una crisi se hai pianificato in anticipo. Compra le chiavi in coppia, registrale entrambe su ogni account e conserva la di riserva in un luogo sicuro ma separato—un cassetto di casa, non lo stesso portachiavi. Se una va perduta, accedi con la chiave di backup e rimuovi quella mancante dal tuo account.

L'anello più debole: il recupero

Il recupero dell'account è il punto in cui vanno gli attaccanti quando il 2FA li blocca. I codici di recupero sono password monouso; conservali offline, mai nella tua email. Proteggi le tue opzioni di recupero—numero di telefono, email di backup—perché un percorso di reset che salta la tua chiave di sicurezza annulla tutto. Preferisci servizi che consentono il recupero solo con un'altra passkey o chiave.

Supporto oggi

Google, Apple, Microsoft e molte banche, password manager e piattaforme social accettano passkey o chiavi FIDO2. Controlla le impostazioni di sicurezza di ogni account.

Riepilogo pratico

Inizia con un account importante. Aggiungi una passkey, registra un backup, stampa i codici di recupero. Poi ripeti. Un accesso resistente al phishing richiede un pomeriggio; la protezione dura anni.

Errori comuni da evitare

Un errore frequente è registrare una sola chiave per account. Se il dispositivo si rompe o va perso, perdi l'accesso e l'unica via d'uscita diventa il recupero, proprio il punto più debole. Registra sempre almeno due credenziali.

Un secondo errore: eliminare le chiavi dal proprio account dopo averle registrate, ad esempio durante una pulizia delle impostazioni di sicurezza, senza accorgersene. Ogni tanto controlla che le tue chiavi risultino ancora attive nell'elenco dei dispositivi autorizzati di ciascun servizio.

Terzo, comprare chiavi contraffatte. Chiavi hardware vendute a prezzo troppo basso su marketplace sono spesso imitazioni senza il chip protetto originale. Acquistale solo dal produttore o da rivenditori autorizzati, e verifica l'autenticità con gli strumenti che il produttore mette a disposizione.

Quarto, confondere passkey e password. Alcuni servizi chiedono di impostare prima una password robusta prima di creare una passkey: non lasciare una password debole o riutilizzata come porta di ingresso, perché potrebbe diventare un percorso alternativo di accesso.

Quinto, usare passkey sincronizzate su un account cloud protetto male. Se le tue passkey si sincronizzano con un account Google o Apple, quel diventa l'account più prezioso che possiedi: attiva lì il 2FA più forte disponibile, con una chiave hardware se possibile.

Infine, non testare mai la configurazione. Dopo aver registrato chiavi e codici di recupero, esci dall'account e rientra con ciascun metodo, uno per volta. Un backup mai provato è solo un'ipotesi: verificare che funzioni richiede due minuti e trasforma il piano di recupero in qualcosa di reale.