Un tempo il problema era ricordare dodici caratteri, una maiuscola, un numero e un simbolo geroglifico che ricordasse un pezzo di codice dimenticato in un file .config. Oggi la soluzione è: «non devi più ricordare nulla, basta un tocco sul tuo smartphone». Sembra il sogno proibito di ogni utente pigro, vero?
In realtà, c’è un asterisco grande quanto un server rack. Un recente approfondimento su Substack sta sollevando un polverone decisamente necessario riguardo le passkeys. L’idea è che, mentre pensiamo di aver eliminato il rischio di phishing, stiamo in realtà barattando la nostra autonomia con una comodità che ci incastra dentro i soliti giardini recintati.
Per chi non mastica ancora bene il protocollo, le passkeys usano la crittografia asimmetrica: una chiave pubblica sul server e una privata sul tuo dispositivo. Niente più database di password da hackerare, tutto bellissimo. Ma ecco il punto: dove risiede quella chiave privata? Se è dentro il tuo iPhone, sei nel mondo Apple. Se è nel tuo account Google, sei nel mondo Google. Se perdi l’accesso a quell’ecosistema, o se il provider decide che le tue regole non sono più in linea con i suoi nuovi standard commerciali, le tue chiavi ‘volano via’ con lui.
Non sto parlando di leggi europee o di regolamenti che arrivano da Washington; qui il discorso è molto più intimo e riguarda il nostro controllo sul hardware e sul software che usiamo ogni giorno. È quel meccanismo sottile per cui, un domani, non potrai più decidere di migrare tutto il tuo setup su una distro Linux custom o su un server self-hosted senza scontrarti con un muro di impossibilità tecnica.
Certo, per l’utente medio che usa Facebook e l’app della banca, le passkeys sono una manna dal cielo. Ma per noi che amiamo il controllo, l’interoperabilità e l’idea di non dover chiedere il permesso a un big-tech per accedere alle nostre stesse identità digitali, questo approccio sa di ‘troppo facile’. È la classica distrazione: ti regalano la comodità per convincerti a consegnare le chiavi di casa, e poi ti accorgi che la serratura è progettata per aprirsi solo con un telecomando prodotto da loro.
Insomma, amiamo l’innovazione, ma odiamo le catene invisibili. La prossima volta che vi propongono di eliminare le password per sempre, chiedetevi sempre: «Chi tiene davvero la chiave di riserva?»
Source: Passkeys are a trap