Avete mai provato a spiegare a vostra nonna come funziona un protocollo di autenticazione a due fattori senza farle venire un colpo? Ecco, dimenticate le passkey.
Recentemente è emerso un dibattito piuttosto acceso (e molto condivisibile) sul fatto che chi ha progettato le passkey sembri avere una comprensione della psicologia umana pari a quella di un bot di ChatGPT di prima generazione. L’idea di base è nobile: addio password mnemonicamente impossibili, benvenuto hardware-backed authentication senza attrito. In teoria, è una figata atomica. In pratica, è un castello di carte costruito su presupposti che ignorano completamente la realtà del mondo fisico.
Il problema non è la crittografia, che tra l’altro spacca, ma l’esperienza utente. Le passkey sono progettate per funzionare in un ecosistema dove tutto è fluido, sincronizzato e, diciamocelo, chiuso. Se sei intrappolato nel giardino recintato di un certo big tech, tutto sembra magico. Ma cosa succede quando devi passare da un device all’altro, o quando quel sistema di sincronizzazione decide di avere un momento di crisi? O quando ti ritrovi con un set di chiavi che vive solo su un hardware specifico che hai perso in un bus verso Milano?
Il punto è che gli ingegneri hanno risolto un problema matematico ignorando il problema umano. Hanno creato un sistema che è tecnicamente inattaccabile dai classici attacchi phishing, ma che ti mette in scacco non appena esci dai binari prestabiliti. È un po’ come progettare una porta blindata da tre metri di spessore che però si apre solo se indossi un particolare tipo di calzino coordinato con il tappetino d’ingresso: sicura, sì, ma che utilità ha se non puoi nemmeno entrare in casa tua senza un check-up completo?
Per noi che amiamo il controllo e la portabilità, questo approccio ‘chiavi in mano’ che però ti stringe la presa su ogni movimento è un campanello d’allarme. Non stiamo parlando di leggi europee o di regolamentazioni che ci cambiano la vita da domani, ma di un design che, un passo alla volta, sta rendendo l’autenticazione un processo sempre più dipendente da ecosistemi proprietari e sempre meno flessibile.
In breve: la tecnologia è splendida, ma se la progettate dimenticando che gli utenti sono persone reali con vite caotiche e non semplici nodi di una rete, finirete solo per creare un nuovo tipo di frustrazione digitale. E noi, che amiamo smanettare, non siamo esattamente il target ideale per questa specie di ‘sicurezza assistita’ che ti toglie ogni margine di manovra.
Source: Passkeys were invented by engineers with zero understanding of consumer brain