C’è un momento preciso in cui, mentre stai cercando di configurare un nuovo server o di debuggare uno script che non ne vuole sapere di girare, ti arriva la notifica di un post apocalittico che promette la fine della tua libertà digitale. Recentemente, è esploso un thread su Hacker News che ha fatto tremare i polsoncini di molti: l’accusa? Le passkey sono una trappola per spiare gli utenti.
Il tono del post originale è quello classico di chi scrive per i «non-tecnici», con quel mix di allarmismo e semplicità che di solito finisce dritto nelle chat di WhatsApp dei nostri parenti. La tesi è semplice quanto suggestiva: le passkey usano un meccanismo chiamato «attestation», che permetterebbe ai siti web di sapere esattamente che tipo di hardware stai usando. In pratica, secondo i complottisti del web, questo sarebbe il primo passo per un controllo totale e una sorveglianza di massa.
Ma restiamo con i piedi per terra. Se leggiamo tra le righe della tecnica, la questione è molto meno cinematografica. L’attestation serve a garantire che la chiave sia generata in un ambiente sicuro, un modulo hardware protetto, e non da un software malevolo che sta cercando di clonare la tua identità. È un po’ come quando un notaio controlla che il tuo documento sia originale e non una fotocopia sbiadita: serve a dare fiducia al sistema, non a tracciare ogni tuo movimento nel metaverso.
Certo, non dobbiamo mica fare i complottisti, ma è anche vero che quando la tecnologia decide di standardizzare tutto, il rischio di trovarsi chiusi in un recinto dorato creato dai soliti giganti del tech è sempre dietro l’angolo. Anche se in Italia non abbiamo leggi che regolano specificamente l’uso dell’attestation hardware, il tema della sovranità digitale è pane quotidiano per noi. Il punto non è che la tecnologia sia «cattiva», ma che non dobbiamo mai dimenticare come funziona il sottobosco che ci permette di usarla.
In definitiva, l’idea di abbandonare le passkey per tornare al vecchio e glorioso binomio password + codice TOTP solo perché si ha paura di un’impronta digitale dell’hardware è, onestamente, una boiata. Le passkey sono un passo avanti enorme per la sicurezza media, che è quella che viene davvero distrutta dai phishing massivi. Possiamo essere critici verso l’ecosistema e i suoi enormi ecosistemi chiusi, ma non confondiamo la sicurezza del protocollo con un piano per la dittatura digitale. Se poi volete restare nel mondo dell’open source e della massima libertà, sapete cosa fare: le alternative esistono, ma non serve dichiarare guerra al futuro solo perché un post su Hacker News ha un titolo clickbait.
Quindi, rilassate i server e continuate a sperimentare. La tecnologia è uno strumento, e come tutti gli strumenti, dipende da chi tiene in mano il manico.
Source: Passkeys are not a trap