E se vi dicessi che la prossima grande innovazione della sicurezza informatica potrebbe essere la stessa cosa che vi chiude fuori da ogni vostra porta digitale, senza possibilità di scasso?
Sì, ho parlato delle passkeys. Se usate un po’ internet, avrete notato che Google e Microsoft stanno facendo di tutto per convincervi che le password siano un reperto archeologico degno di un museo. I loro messaggi sono quasi manipolatorio: «Salta la password quando possibile», «Rendi il tuo account passwordless». Sembra la promessa di un futuro magico, alla Star Trek, dove basta un tocco sul volto per accedere a tutto. Ma come sempre, quando la tecnologia promette troppa comodità, c’è un pedaggio nascosto che non è scritto nel manuale d’uso.
Il punto non è che la tecnologia faccia schifo. Anzi, le passkeys sono una bomba: sono resistenti al phishing, non possono essere intercettate tramite attacchi man-in-the-middle e, se un server viene bucato, i tuoi dati restano al sicuro perché la chiave è asimmetrica. Per un’azienda è il paradiso. Per noi, che amiamo avere il controllo totale delle nostre vite digitali, è un po’ un incubo.
Il problema numero uno è il rischio di lockout permanente. Se perdi il dispositivo o, peggio, se Google o Apple decidono — magari per un errore del loro algoritmo di AI — che il tuo account è sospetto e lo bannano, addio. Non solo perdi l’accesso alla mail, ma perdi l’accesso a tutti i servizi collegati alle tue passkey sincronizzate. È come avere una chiave master che, se si rompe, ti impedisce non solo di entrare in casa, ma anche di aprire il garage e la cassaforte.
E poi c’è la questione dell’hardware. Usare le chiavi fisiche (tipo le Yubikey) è il top per la sicurezza, ma non è affatto scalabile. Non puoi fare il backup delle chiavi su un’altra chiavetta: devi registrarle tutte singolarmente. E se superi il limite di memoria della chiave? Devi comprarne un’altra. Molto divertente, vero?
Per chi invece preferisce i gestori di password terzi, come Bitwarden o KeePassXC, la situazione è ancora un far west. L’integrazione tra sistemi operativi e app di terze parti è frammentata, instabile e spesso frustrante. Non è ancora quel flusso fluido che ci hanno promesso nei keynote scintillanti.
In conclusione: le passkeys sono un passo avanti enorme per chi ancora usa la stessa password per il sito del comune e per il proprio account Amazon. Ma per chi, come noi, cerca un sistema robusto e indipendente, siamo ancora in una fase in cui l’hype supera la reale affidabilità. Al momento, una buona vecchia password complessa in un password manager offline, abbinata a un TOTP indipendente, offre ancora una libertà e una resilienza che le passkeys si sognano.
Source: I don't like passkeys