password
Nella nostra guida completa alle passkey, abbiamo visto finora come eliminare le password nelle combinazioni più utilizzate di computer e smartphone Android, iOS, macOS e Windows. In questo post, esaminiamo invece alcuni argomenti specifici:
- Accessi occasionali al proprio account dal dispositivo di un altro utente
- Suggerimenti per chi usa spesso alternativamente il computer e lo smartphone
- Metodi per proteggere il proprio account quando è abilitato l’accesso con password di backup
- Eventuali problemi che possono capitare durante i viaggi all’estero
- Cosa succede quando si utilizzano browser Web e sistemi operativi di nicchia
Come utilizzare le passkey nei computer pubblici o condivisi?
Immagina di dover accedere al tuo account protetto da passkey quando sei al computer di una biblioteca, in un aeroporto o a casa di un parente. Che fare? Per fortuna, non c’è bisogno di impazzire a ricordare la password di backup.
Inizia la procedura di accesso dal computer: inserisci il nome utente e, se ti viene richiesto, fai clic su “Accedi con una passkey”. Sullo schermo viene visualizzato un codice QR da sottoporre a scansione con lo smartphone in cui hai archiviato la passkey. Se l’operazione va a buon fine, il codice QR scompare: hai eseguito l’accesso al tuo account.
La procedura sembra semplice, ma può essere completata senza intoppi solo se sono rispettati specifici requisiti:
- Il computer deve essere compatibile con la tecnologia Bluetooth a basso consumo energetico, in grado di verificare che lo smartphone e il computer si trovino effettivamente nelle vicinanze.
- Il sistema operativo e il browser Web del computer devono supportare l’utilizzo delle passkey.
- Sia il computer che lo smartphone devono disporre di una connessione a Internet affidabile.
Come salvare le passkey in una chiave di sicurezza hardware?
L’utilizzo delle passkey tramite codici QR potrebbe risultare scomodo se si accede spesso ai propri account da dispositivi diversi. In questo caso, è possibile memorizzare le passkey in una chiavetta di sicurezza USB, come YubiKey, Titan Security Key di Google o un dispositivo analogo, anziché nel computer o nello smartphone, in modo da eseguire l’accesso al sito Web in completa sicurezza. Durante la creazione della passkey, è sufficiente scegliere di salvarla nella chiavetta USB. A questo punto si può accedere al proprio account da qualsiasi computer o smartphone semplicemente collegando il token di sicurezza.
Per poterlo utilizzare su tutti i dispositivi, è importante assicurarsi che il token supporti la tecnologia NFC o che sia compatibile con le porte a disposizione (USB-A, USB-C o Lightning). Alcuni tipi di chiavetta includono anche uno scanner di impronte digitali, che offre un livello aggiuntivo di protezione e previene così la violazione dell’account in caso di furto o smarrimento del dispositivo.
Ma c’è un problema: in tanti casi, i modelli di token più comuni e meno recenti sono in grado di memorizzare al massimo 25 passkey. Solo pochi modelli avanzati, come YubiKey con versione firmware 5.7, hanno aumentato a 100 il limite di archiviazione.
Inoltre, per gli sviluppatori di sistemi operativi, le passkey sono una grande opportunità per vincolare maggiormente gli utenti ai loro ecosistemi. A seconda dello smartphone in uso, è probabile che venga richiesto per impostazione predefinita di salvare la passkey nel portachiavi iCloud oppure in Google Password Manager. L’opzione per abilitare una chiave di sicurezza hardware potrebbe quindi trovarsi ben nascosta all’interno dell’interfaccia utente.
Per creare una passkey in un token hardware, spesso è necessario fare clic sul collegamento poco evidente Altre opzioni in macOS/ iOS o Un altro dispositivo in Android, che consente di selezionare l’opzione relativa alla chiave hardware.
Come trasferire le passkey tra dispositivi iOS e Android?
Il problema più grande si presenta quando si salvano tutte le passkey nella memoria di archiviazione predefinita dello smartphone e si vuole cambiare ecosistema passando da Android a iOS o viceversa. Al momento, nessuno dei tre principali sviluppatori di sistemi operativi, cioè Google, Apple e Microsoft, dà la possibilità di eseguire il trasferimento diretto delle passkey, perché non è garantito che la procedura avvenga in sicurezza. Apple e Google stanno lavorando per introdurre in futuro questa funzione, ma attualmente, se si decide di passare da un dispositivo a un altro, ad esempio da iPhone a Google Pixel, trasferire le passkey non è un’operazione semplice.
- Innanzitutto, è necessario accedere all’account protetto da passkey usando il nuovo dispositivo. Per questo passaggio, si può ricorrere alla cara vecchia password, se è ancora abilitata, o eseguire la scansione del codice QR con il dispositivo precedente in cui è memorizzata la passkey attiva.
- A questo punto, è necessario creare e salvare una nuova passkey nel nuovo dispositivo. Sì, si possono impostare più passkey per ogni sito Web o servizio online.
- Infine, se ci si vuole sbarazzare del vecchio dispositivo, è indispensabile eliminare prima la vecchia passkey memorizzata al suo interno.
Per evitare questa seccatura, è meglio utilizzare fin dall’inizio un gestore di password e passkey di terze parti. Con Kaspersky Password Manager, il supporto delle passkey è già disponibile per i dispositivi Windows, mentre per i dispositivi Android e iOS o macOS si prevede che verrà introdotto rispettivamente a luglio e ad agosto 2025.
Come usare una password di backup per proteggere dalle violazioni un account dotato di passkey?
La maggior parte dei servizi online che consentono di passare alle passkey non prevede la disabilitazione degli altri metodi di accesso. Se l’account era protetto da una password vulnerabile o compromessa, i criminali informatici possono comunque bypassare la nuova passkey semplicemente effettuando l’accesso con la vecchia password.
Creare una passkey per un account ancora associato a una password vulnerabile è come installare una porta blindata all’ingresso principale e lasciare aperta la porticina sul retro, nascondendo la chiave sotto lo zerbino.
Prima di abilitare le passkey per qualsiasi servizio online, è vivamente consigliato modificare anche la password. Dal momento che non occorre inserirla ogni giorno, perché si tratta soltanto di un metodo di backup e l’account è comunque protetto da passkey, si può scegliere di impostarla a un livello di complessità elevato. Le password complesse contengono almeno 16 caratteri e usano una combinazione di lettere, numeri e caratteri speciali, due caratteristiche che le rendono praticamente inviolabili. La soluzione ideale è generare e salvare la password complessa all’interno dello Kaspersky Password Manager in cui si intendono archiviare le passkey. Per creare la password, non conviene affidarsi ai modelli di intelligenza artificiale. Come ha rivelato una nostra recente ricerca, le password generate dalla tecnologia IA sembrano in apparenza complesse, ma in realtà sono estremamente prevedibili, perché i grandi modelli linguistici (LLM) tendono a privilegiare senza una ragione precisa determinati caratteri.
Quali sono i possibili svantaggi legati all’utilizzo delle passkey?
L’implementazione dello standard WebAuthn su cui si basano le passkey può variare notevolmente a seconda del browser Web e del sistema operativo. Inoltre, i siti Web spesso adottano questa funzionalità a modo loro. Tutto questo può comportare noiosi problemi anche per gli utenti esperti. Ecco alcuni esempi:
- Durante la procedura di creazione, i prompt standard di Windows offrono molte opzioni su dove e come salvare le passkey. Per impostazione predefinita, Windows le salva in un archivio locale protetto all’interno del computer. Se si dimentica di scegliere il gestore di password in uso come posizione di salvataggio, la passkey non sarà disponibile negli altri dispositivi.
- Molti servizi online, come Kayak o AliExpress, offrono decine di versioni diverse in base all’area geografica, ciascuna delle quali è associata a un sito Web con un dominio distinto:.com,.com.tr,.co.uk e così via. Se si crea una passkey per il sito Web della propria area geografica, ad esempio, e per qualche motivo si tenta di accedere allo stesso servizio online in un’area diversa, è molto probabile che non sarà possibile procedere usando la nuova passkey.
- Alcuni siti Web non supportano la creazione o l’utilizzo delle passkey quando si naviga online con il browser Web Firefox, a prescindere dalla piattaforma. In realtà non si tratta di una questione di incompatibilità tecnica, quindi bastano alcuni semplici trucchetti per risolvere il problema. Non si capisce comunque perché gli utenti dovrebbero essere costretti a impiegare soluzioni alternative.
- Alcuni utenti Apple hanno segnalato che tutte le passkey salvate in precedenza scompaiono periodicamente dal portachiavi iCloud, mentre altri utenti Android non riescono ad attivare le passkey senza prima reinstallare il firmware o eseguire il ripristino delle impostazioni di fabbrica del dispositivo.
In tutti questi casi, la situazione è peggiorata dal fatto che gli errori che si verificano durante la creazione o l’utilizzo delle passkey sono descritti in modo molto vago nelle risorse di supporto, o non sono nemmeno menzionati. Spesso è impossibile capire come trovare una soluzione. Ad ogni modo, se si riscontrano problemi con le passkey, i siti Web rendono quasi sempre disponibile un’opzione di backup, come l’invio di un codice di accesso monouso all’indirizzo e-mail dell’utente.
Nonostante questi inconvenienti, ci aspetta un futuro dove le passkey sostituiranno definitivamente le password. Il nostro consiglio è di cominciare subito a crearle, quando possibile, e salvarle nel gestore di password in uso. Inoltre, è importante ricordarsi di controllare e aggiornare le password e le informazioni di contatto associate ai siti Web per avere la certezza di poter recuperare l’accesso in caso di problemi con le passkey.
Vuoi altre informazioni sulle password e sulle passkey?
16 miliardi di password divulgate: cosa fare?
Lezioni apprese dall’incidente con trojan KeePass
Kaspersky Password Manager cambia look
Passkey per l’account Google: cosa, dove, come e perché
Standard delle password: requisiti per il 2024
Consigli