Il codice da copiare dal telefono sta per diventare un ricordo. Come la password da ricordare a memoria e l’SMS da aspettare. Sul portale EvoEX inizia una nuova era, e alla sua base ci sono le PASSKEY.
Se ti è mai capitato di accedere al tuo account e, dopo aver inserito la password, di dover correre a prendere il telefono per aprire Google Authenticator e riuscire a leggere il codice di sei cifre prima che cambi, sai bene quanto possa essere scomodo un processo di accesso “sicuro”. Proprio per questo sul portale EvoEX introduciamo un nuovo metodo di autenticazione che non solo semplifica questo processo, ma lo rende anche molto più sicuro di tutto ciò che c’era prima.
Perché facciamo tutto questo
La passkey è solo un tassello di un quadro più ampio. EvoEX ha creato il suo portale pensando proprio ai suoi clienti, con una propria base di intelligenza artificiale, e l’obiettivo è semplice: tutto ciò che serve al cliente si trova in un unico posto, e i processi che lo circondano restano il più possibile invisibili.
Il portale è già comodo da usare per i nostri collaboratori e tra pochissimo sarà disponibile anche per i clienti. Abbiamo concluso con successo i test con utenti demo e migliorato il sistema per quanto possibile in questa fase. Naturalmente anche i clienti potranno influenzare costantemente i futuri cambiamenti, ma il portale già ora funziona in modo autonomo e capisce cosa deve fare.
Il sistema è sincronizzato con la banca e include un modulo di contabilità integrato che automatizza l’elaborazione dei pagamenti, i promemoria, i contratti e la gestione dei documenti. Il cliente non deve più cercare le informazioni in posti diversi: è tutto in un unico luogo.
Al momento stiamo lavorando attivamente all’integrazione del sistema di pagamento. L’obiettivo è che accanto alla fattura ci sia un pulsante “Paga”, che apre la banca del cliente con tutti i dati necessari già inseriti, e non resta che confermare con Smart-ID o con un altro metodo di autenticazione, a seconda della banca. Niente più copia e incolla dei dati né inserimento manuale dei numeri di fattura.
Inoltre, nel portale è integrato anche un chatbot, creato durante le chiamate di verifica, e altre soluzioni sono in corso d’opera. Siamo un’azienda IT piccola e giovane, ma proprio per questo possiamo permetterci di pensare un passo più avanti di molte grandi aziende del settore: non dobbiamo cambiare vecchi processi, li costruiamo da zero.
E uno dei passi in questa direzione è proprio la passkey. Ecco come e perché la introduciamo.
Come funziona oggi l’accesso
Per la maggior parte dei portali, compreso il nostro, finora l’accesso si basava su due passaggi. Il primo è la password, il secondo di solito è un codice monouso, o OTP (One-Time Password).
Questo codice si può ricevere in due modi:
- Tramite SMS – il portale invia una combinazione di cifre al telefono.
- Tramite app di autenticazione – ad esempio Google Authenticator o Microsoft Authenticator, che genera sul telefono un nuovo codice ogni 30 secondi.
Questo modello è noto come autenticazione a due fattori (2FA) e per molto tempo è stato considerato lo standard d’oro. Il problema è che nemmeno questo è invulnerabile.
Perché l’OTP non è più abbastanza sicuro
Il codice, di per sé, è solo una sequenza di cifre. Questo significa che può essere rubato come qualsiasi altra informazione. I truffatori creano spesso siti falsi identici al portale originale (ad esempio una finta pagina di accesso a una banca), dove l’utente, senza sospettare nulla, inserisce di sua mano sia la password sia lo stesso codice OTP. Il truffatore usa quel codice all’istante per accedere al sistema reale.
In altre parole, l’OTP protegge dal rischio che qualcuno indovini la tua password, ma non protegge dal phishing, perché è l’utente stesso a inserire volontariamente il codice, solo nel posto sbagliato.
Cos’è una passkey e perché fa un salto di livello
La passkey è un nuovo modo di accedere che sostituisce completamente sia la password sia il codice OTP. Invece di ricordare o digitare qualcosa, l’utente conferma semplicemente la propria identità con gli strumenti già integrati nel telefono o nel computer, come il riconoscimento facciale, l’impronta digitale o il PIN del dispositivo.
Dal punto di vista tecnico, ogni passkey ha due parti: la chiave pubblica, che è conservata sul server del portale, e la chiave privata, che non lascia mai il dispositivo dell’utente. Queste due parti funzionano insieme solo per un sito specifico, ed è proprio questo a cambiare le regole del gioco.
La passkey è completamente a prova di phishing
Il trucco preferito dai truffatori, il sito falso che imita quello vero, con la passkey semplicemente non funziona. La passkey è legata crittograficamente a un dominio specifico. Se l’utente finisce su una pagina falsa il cui indirizzo differisce anche solo minimamente da quello reale, il dispositivo lo riconosce subito e non propone nemmeno l’accesso con passkey. È fisicamente impossibile “consegnare” la propria passkey al sito sbagliato.
Non c’è più nulla da rubare
Le password tradizionali vengono conservate nel database del portale, quindi in caso di attacco, quando gli hacker riescono ad accedere al database, le password di tutti gli utenti vengono rubate in un colpo solo. Con le passkey, sul server viene conservata soltanto la chiave pubblica, che di per sé è del tutto inutile per qualsiasi aggressore. La chiave privata resta esclusivamente sul telefono o sul computer dell’utente. Anche la violazione più drastica del server non rivelerà alcun dato di accesso degli utenti.
Eliminare il fattore umano
Quante volte hai sentito parlare di qualcuno che usa la stessa password debole su cinque account diversi? Le passkey risolvono automaticamente questo problema. Per ogni sito viene creata una chiave unica, imbattibile per lunghezza e complessità, che l’utente non vede nemmeno e che quindi non può né dimenticare né rivelare per sbaglio a qualcuno.
Anche le passkey hanno dei punti deboli?
Onestamente, sì, almeno in teoria. La maggior parte delle passkey viene sincronizzata tramite l’account Apple iCloud o Google dell’utente, in modo che cambiando telefono l’accesso non vada perso. Ciò significa che la sicurezza della passkey è solida quanto lo è l’account Google o Apple dell’utente stesso.
Un altro possibile punto debole è il processo di recupero dell’account. Se un giorno l’utente perde l’accesso a tutti i suoi dispositivi, il portale deve offrire un meccanismo di recupero, ad esempio un link via e-mail. Proprio per questo, anche lato portale, il processo di recupero dell’account viene progettato con un livello di sicurezza altrettanto elevato, per non creare una nuova vulnerabilità proprio dove la passkey l’aveva già eliminata.
Come funzionerà sui computer Windows più vecchi
Spesso ci si chiede se le passkey funzionino anche su un computer senza videocamera per il riconoscimento facciale o lettore di impronte. La risposta è sì, e ci sono diverse soluzioni:
- PIN o password di Windows – si usa lo stesso codice con cui l’utente sblocca il proprio computer.
- Il telefono come chiave – il portale mostra un codice QR, l’utente lo scansiona con il telefono (ad esempio con Face ID) e i due dispositivi confermano tramite Bluetooth di trovarsi vicini l’uno all’altro.
- Portafoglio cloud del browser – ad esempio Google Password Manager, dove la passkey è conservata nell’account Google e non nel sistema Windows stesso.
- Chiave di sicurezza fisica – dispositivi come YubiKey, che funzionano anche su computer più vecchi senza alcuna biometria o Bluetooth.
In sintesi
La passkey non è solo un modo un po’ più comodo di accedere, è un modello di approccio radicalmente diverso e più sicuro. Elimina proprio quei tipi di attacco contro i quali la password insieme al codice OTP restava comunque vulnerabile. Noi sul portale EvoEX percorriamo questa strada in modo consapevole, perché la sicurezza non è un ambito su cui risparmiare a scapito della comodità, e con le passkey non serve più scegliere tra le due.