Passkey, autenticazione senza password e MFA anti-phishing

1. Introduzione#

Per tutti i servizi digitali, l'autenticazione degli utenti è la componente più importante della cybersicurezza. Man mano che le aziende si affidano sempre più alle applicazioni web e mobili per interagire con i clienti, la necessità di soluzioni di accesso sicure e semplici da usare è cresciuta esponenzialmente. Le password tradizionali sono diventate un rischio: possono essere sottratte tramite phishing, dimenticate o riutilizzate su più servizi. Il risultato è un aumento degli attacchi basati sulle credenziali e delle violazioni dei dati, insieme a una perdita di fiducia dei consumatori.

Negli ultimi anni sono emersi nuovi metodi di autenticazione che promettono maggiore sicurezza e una migliore esperienza utente. Questo articolo confronta tre approcci: passkey, autenticazione senza password in generale e autenticazione a più fattori (MFA) resistente al phishing. L'obiettivo è chiarirne differenze, punti di forza e implicazioni strategiche, andando oltre le parole di moda.

L'articolo risponde alle seguenti domande:

1. Quali sono le principali differenze tra passkey, autenticazione senza password e MFA resistente al phishing?
2. Come migliorano la sicurezza rispetto alle password tradizionali?
3. Quale impatto hanno su esperienza utente, adozione e costi operativi?
4. Quali sono i casi d'uso pratici e gli esempi reali di organizzazioni che li hanno implementati con successo?

2. I concetti fondamentali#

Prima di procedere al confronto, è essenziale definire i termini. Autenticazione senza password, MFA resistente al phishing e passkey rappresentano ciascuna un miglioramento significativo rispetto ai metodi tradizionali. Non sono però termini intercambiabili.

2.1 Cos'è l'autenticazione senza password?#

I metodi di autenticazione senza password eliminano del tutto la password tradizionale. Gli utenti dimostrano invece la propria identità tramite:

• Qualcosa che possiedono (come un telefono o una chiave di sicurezza)
• Qualcosa che sono (fattori biometrici)
• Un codice monouso inviato via email o SMS (che può rientrare anche nella categoria di ciò che possiedono, ad esempio un telefono necessario per ricevere SMS)

L'idea è ridurre la dipendenza da un elemento facilmente compromettibile e scomodo come una password statica.

Tra i metodi più comuni senza password troviamo:

• Magic link via email
• Codici monouso basati sul tempo (TOTP) con app di autenticazione (ad esempio Google Authenticator, Authy, Microsoft Authenticator)
• Notifiche push (ad esempio nelle app native iOS/Android)
• Biometria (ad esempio nelle passkey)
• Codici monouso (OTP) via SMS
• Codici monouso (OTP) via email
• Accesso tramite social (ad esempio «Accedi con Google», «Accedi con Facebook»)

Sebbene gli approcci senza password migliorino spesso l'esperienza utente e riducano il rischio di attacchi di forza bruta, non tutti sono intrinsecamente resistenti al phishing. Un magic link o un OTP via SMS può essere intercettato da un sito malevolo se l'utente viene indotto a inserire il codice su una pagina di phishing. Questi metodi migliorano quindi molti aspetti della sicurezza e dell'usabilità, ma alcuni rimangono vulnerabili all'ingegneria sociale.

2.2 Cos'è la MFA resistente al phishing?#

Le chiavi di sicurezza hardware basate su FIDO2, come le YubiKey, sono un esempio di MFA resistente al phishing. Vincolando il processo di autenticazione all'origine legittima, ossia al dominio del sito reale, impediscono che l'autenticazione di un utente venga reindirizzata o riprodotta su un sito falso. L'attaccante non ottiene mai la chiave privata né un codice segreto riutilizzabile. Lo stesso vale per le passkey.

È importante notare, tuttavia, che le chiavi di sicurezza hardware sono pratiche soprattutto per i dipendenti. Le organizzazioni possono offrirle ai clienti, ma imporle è generalmente irrealistico: solo gli utenti più esperti conoscono queste soluzioni. L'utente medio può avere difficoltà a comprenderle e usarle.

La MFA resistente al phishing garantisce che, anche interagendo con un sito fraudolento, l'utente non possa consegnare inavvertitamente una credenziale valida. Il sistema rende inutili per gli attaccanti le informazioni sottratte, oppure ne impedisce direttamente il furto. Si basa su verifiche crittografiche che accertano l'autenticità del sito, non solo l'identità dell'utente.

Le autorità competenti, tra cui CISA e ACSC, riconoscono e raccomandano sempre più spesso la MFA resistente al phishing per proteggere gli account sensibili. L'adozione di questi standard può aiutare le organizzazioni a rispettare gli obblighi di legge, ridurre le responsabilità e dimostrare la dovuta diligenza negli audit di cybersicurezza.

2.3 Cosa sono le passkey?#

Le passkey sono credenziali di autenticazione moderne basate su standard aperti come FIDO2 e WebAuthn. Anziché affidarsi a un segreto condiviso come una password, usano la crittografia asimmetrica:

• Una chiave pubblica (che viene inviata al server durante l'autenticazione)
• Una chiave privata (che non lascia mai il dispositivo dell'utente e non deve essere digitata o ricordata)

Quando un utente registra un account con le passkey, il dispositivo genera una coppia di chiavi unica. La chiave pubblica viene inviata al server e associata all'account, mentre la chiave privata rimane al sicuro sul dispositivo. Per autenticare l'utente, il server invia una richiesta di verifica e il dispositivo la firma con la chiave privata, dimostrando l'identità senza rivelare segreti che potrebbero essere rubati.

Le passkey liberano gli utenti dalla necessità di ricordare o gestire password complesse. L'autenticazione si riduce spesso a una verifica biometrica, come il riconoscimento del volto o dell'impronta digitale, già familiare per lo sblocco del telefono. Poiché ogni passkey è legata a un dominio specifico, i tentativi di phishing falliscono: un attaccante non può indurre l'utente a fornire una credenziale riutilizzabile. L'alta sicurezza e la semplicità d'uso rendono le passkey una scelta interessante per molte aziende, tra cui Google, PayPal, TikTok e KAYAK.

2.4 Le principali differenze in sintesi#

• Senza password (termine generale): elimina del tutto le password, ma non è sempre resistente al phishing; dipende dal metodo specifico.
• MFA resistente al phishing (termine generale): garantisce generalmente il vincolo all'origine, ma può includere una password in un processo a più fattori, ad esempio password e chiave di sicurezza hardware.
• Passkey: sono sia senza password sia resistenti al phishing. Si basano sulla crittografia asimmetrica vincolata all'origine legittima.

3. Confronto tra autenticazione senza password, MFA resistente al phishing e passkey#

Definiti i concetti principali, confrontiamo più nel dettaglio passkey, autenticazione senza password e MFA resistente al phishing. Il confronto aiuta a capire quale metodo risponde meglio ai requisiti di sicurezza, alle aspettative degli utenti e agli obiettivi aziendali a lungo termine. Ci concentreremo su tre fattori principali:

• Sicurezza
• Esperienza utente / adozione
• Implementazione / costi
• Normativa / conformità

3.1 Sicurezza: furto delle credenziali e vincolo all'origine#

La sicurezza è uno dei motivi principali per abbandonare le password tradizionali. I tre concetti differiscono però nel modo in cui proteggono dagli attacchi basati sulle credenziali, come il phishing o gli attacchi di forza bruta.

3.1.1 Prevenzione del furto di credenziali#

• Senza password: eliminare le password riduce notevolmente il rischio di attacchi di forza bruta o di riutilizzo delle password. A seconda del metodo, ad esempio OTP via SMS o magic link, può però rimanere una vulnerabilità se un attaccante induce l'utente a inserire o inoltrare un OTP su un sito di phishing.
• MFA resistente al phishing: usa metodi come le chiavi di sicurezza FIDO2 per evitare la condivisione di segreti riutilizzabili. Anche se gli attaccanti ottengono informazioni parziali, come una chiave pubblica, queste sono crittograficamente inutili senza la specifica chiave privata.
• Passkey: grazie alla crittografia asimmetrica, nessun segreto condiviso lascia il dispositivo dell'utente. Chi sottrae dati dal server ottiene solo chiavi pubbliche, inutili senza la chiave privata protetta localmente.

3.1.2 Prevenzione del phishing#

• Senza password: è un termine generale e non garantisce sempre la protezione dal phishing. Un magic link o un OTP via SMS può essere intercettato se l'utente lo inserisce per errore su un sito fraudolento. Alcuni metodi senza password sono quindi meno affidabili contro attacchi di phishing sofisticati.
• MFA resistente al phishing: una funzione centrale è verificare il dominio legittimo prima di autenticare gli utenti. Le chiavi di sicurezza hardware o le passkey verificano l'autenticità del sito, poiché sono legate all'origine utilizzata inizialmente, impedendo agli attaccanti di acquisire un segreto valido.
• Passkey: basate su FIDO2 / WebAuthn, sono intrinsecamente vincolate all'origine. Se un utente tenta di autenticarsi su un dominio contraffatto, la passkey non completa la verifica crittografica. Questo contrasta efficacemente gli attacchi di phishing.

3.1.3 Sicurezza: in sintesi#

Le passkey e la MFA resistente al phishing offrono una protezione superiore contro il furto di credenziali e il phishing grazie al solido vincolo crittografico all'origine e al fatto che non rivelano segreti riservati.

I metodi senza password rappresentano comunque un grande passo avanti rispetto alle sole password, ma la loro resistenza al phishing può variare se si basano su (T)OTP o segreti intercettabili, ad esempio nei magic link.

3.2 Esperienza utente e adozione#

Un metodo di sicurezza serve a poco se è troppo scomodo per gli utenti finali. Un accesso semplice e intuitivo può ridurre la frustrazione e i costi di assistenza, migliorando l'adozione complessiva. Inoltre, gli utenti non avranno bisogno di soluzioni alternative per usare il metodo di accesso.

3.2.1 Registrazione e configurazione iniziali#

• Senza password: registrarsi senza password è in genere più semplice che crearne e ricordarne una nuova. Ricevere un magic link via email o effettuare una verifica tramite OTP via SMS può risultare familiare, anche se comporta una breve attesa.
• MFA resistente al phishing: se prevede chiavi di sicurezza hardware, la registrazione può richiedere la distribuzione delle chiavi fisiche o l'installazione di software specializzato. Dopo la configurazione, gli accessi quotidiani possono però essere semplici come toccare una chiave inserita nel dispositivo o tenuta nelle vicinanze.
• Passkey: la configurazione è spesso semplice e gli utenti registrano una passkey per lo più tramite una rapida richiesta di verifica biometrica sul dispositivo, ad esempio con l'impronta digitale o il volto.

3.2.2 Difficoltà nell'accesso quotidiano#

• Senza password: eliminare le password è già un grande vantaggio per l'usabilità: gli utenti non devono ricordarle, recuperarle dai gestori di password o scriverle su foglietti. Metodi come OTP o magic link possono però creare difficoltà se occorre passare da un'app all'altra per recuperare codici o link.
• MFA resistente al phishing: se la chiave di sicurezza hardware è inserita nel dispositivo o tenuta nelle vicinanze, l'uso è piuttosto semplice. Spesso occorre comunque premere un pulsante e/o ricordare e inserire un PIN. Se la MFA resistente al phishing usa una passkey, l'esperienza è più fluida.
• Passkey: le difficoltà sono generalmente minime: gli utenti sbloccano il dispositivo tramite biometria, ad esempio Face ID, Touch ID o Windows Hello, e la passkey gestisce il resto. L'accesso diventa così estremamente semplice.

3.2.3 Complessità percepita e fiducia#

• Senza password: l'assenza di password è apprezzata dagli utenti frustrati dalle procedure di reimpostazione.
• MFA resistente al phishing: è molto sicura, ma può apparire complessa ai nuovi utenti se richiede chiavi di sicurezza hardware.
• Passkey: chi è abituato a sbloccare il telefono con la biometria le percepisce spesso come una tecnologia familiare. Anche la fiducia negli ecosistemi Apple, Google e Microsoft ne favorisce l'adozione.

3.2.4 Esperienza utente e adozione: in sintesi#

I metodi senza password, soprattutto quelli biometrici, sono facili da usare. La MFA resistente al phishing può essere intuitiva una volta implementata, ma il requisito hardware può risultare oneroso in alcuni contesti. Le passkey offrono generalmente la maggiore comodità.

3.3 Implementazione e costi#

Oltre alla sicurezza e all'esperienza utente, aspetti pratici come la complessità dell'integrazione, l'impegno richiesto all'assistenza e i costi diretti determinano la fattibilità di una soluzione su larga scala.

3.3.1 Integrazione con i sistemi esistenti#

• Senza password: metodi come OTP via SMS o magic link sono relativamente facili da implementare, ma ogni approccio richiede logiche personalizzate, ad esempio per generare e verificare token o inviare email e SMS.
• MFA resistente al phishing: distribuire chiavi di sicurezza hardware, come le YubiKey, può essere più complesso: le organizzazioni devono pianificare distribuzione, procedure di recupero e formazione degli utenti. Lo stack tecnologico complessivo basato su FIDO è tuttavia consolidato.
• Passkey: l'implementazione può essere impegnativa perché richiede un ampio supporto nell'ecosistema, tra compatibilità dei dispositivi, integrazione con i browser e formazione degli utenti.

3.3.2 Costi e ritorno sull'investimento (ROI)#

• Senza password: eliminare le password può ridurre i costi dell'assistenza, ma alcuni metodi, soprattutto gli SMS, possono comportare tariffe per transazione. I flussi basati su magic link richiedono un'infrastruttura email solida. Le app di autenticazione TOTP e le notifiche push richiedono l'installazione e lo sviluppo di app dedicate.
• MFA resistente al phishing: in genere comporta i costi iniziali più elevati se richiede hardware, ma offre una forte protezione dal phishing. Per gli account di valore elevato, il costo di una sola violazione dei dati può superare di gran lunga quello delle chiavi di sicurezza hardware.
• Passkey: dopo lo sviluppo iniziale, possono ridurre le richieste di reimpostazione delle password, uno dei maggiori costi nascosti dell'assistenza IT. Riducono anche gli episodi di compromissione degli account, con un effetto diretto sui risultati economici. Possono inoltre sostituire la grande maggioranza dei costosi OTP via SMS.

3.3.3 Implementazione e costi: in sintesi#

I metodi senza password sono spesso più semplici delle password, ma i costi ricorrenti variano molto. La MFA resistente al phishing può essere più costosa e complessa da distribuire su larga scala, soprattutto quando prevede chiavi di sicurezza hardware da acquistare e distribuire. L'implementazione delle passkey è impegnativa per via dei complessi requisiti tecnici e della necessità di compatibilità tra piattaforme.

3.4 Normativa e conformità#

Molte normative, ad esempio PSD2 nella finanza europea e HIPAA nell'assistenza sanitaria, oggi raccomandano o impongono esplicitamente un'autenticazione forte e resistente al phishing.

• Senza password: può soddisfare alcune esigenze di conformità, ad esempio quando è richiesta la 2FA o la MFA, ma potrebbe non essere resistente al phishing a seconda del metodo specifico.
• MFA resistente al phishing: tende a offrire il massimo livello di garanzia ad auditor e autorità, soddisfacendo requisiti rigorosi per accessi sicuri.
• Passkey: sono già conformi agli standard FIDO2, che soddisfano o superano i requisiti di sicurezza nella maggior parte dei settori regolamentati.

3.5 Tabella di confronto#

4. Esempi pratici e casi d'uso#

4.1 Mercari migliora il tasso di accesso con le passkey rispetto agli OTP via SMS#

Mercari, azienda di e-commerce, si è storicamente affidata ai codici monouso (OTP) via SMS per proteggere gli accessi e verificare le transazioni. Questo approccio comportava costi elevati per l'invio di messaggi in tutto il mondo e occasionali reclami per codici in ritardo o mancanti.

Risultati:

• Forte riduzione dei costi: eliminando la maggior parte del traffico SMS, Mercari ha abbattuto i costi dei messaggi OTP.
• Maggiore sicurezza: le passkey resistono agli attacchi di SIM swap e phishing perché usano la crittografia asimmetrica vincolata al dominio legittimo della compagnia aerea.
• Più accessi riusciti: le passkey hanno raggiunto un tasso di successo dell'82,5%, rispetto al 67,7% degli OTP via SMS.

Conclusione principale:
Passare alle passkey può fare la differenza per le organizzazioni che gestiscono grandi volumi di accessi. Oltre a migliorare la sicurezza, il risparmio sugli OTP via SMS può incidere in modo significativo sui risultati economici.

4.2 Le startup SaaS adottano magic link per una registrazione senza password più semplice#

Le startup SaaS si affidano spesso ai magic link, poiché questo metodo consente una rapida registrazione degli utenti e una drastica riduzione delle richieste di assistenza per password dimenticate.

Risultati:

• Registrazione più semplice: il tasso di abbandono durante la registrazione è sceso di oltre il 30%, aumentando le conversioni.
• Meno richieste di assistenza: le richieste di reimpostazione della password sono diminuite nettamente, permettendo al piccolo team di assistenza della startup di concentrarsi sulle domande relative al prodotto.
• Miglioramenti agili: poiché i magic link sono relativamente semplici da implementare e perfezionare, il flusso può essere modificato facilmente, migliorando la soddisfazione complessiva durante l'onboarding.

Conclusione principale:
Per le startup SaaS, soluzioni senza password come i magic link non solo semplificano la registrazione degli utenti, ma riducono anche l'onere operativo della gestione delle password: un vantaggio cruciale nelle prime fasi di crescita.

4.3 MyGov aumenta la sicurezza e previene il phishing negli account dei cittadini#

MyGov, un portale online del governo australiano, offre accesso a diversi servizi pubblici, tra cui Medicare, Centrelink e l'Australian Taxation Office. La gestione di dati personali sensibili sottopone MyGov a normative rigorose e a un maggiore controllo da parte dell'opinione pubblica.

Risultati:

• Adozione crescente: lancio delle passkey per 200.000 utenti in 3 mesi.
• Solida conformità: grazie al vincolo crittografico all'origine, tramite token hardware e soluzioni sicure basate su app, MyGov ha risposto ai requisiti Essential Eight dell'ASD e ad altre direttive nazionali di cybersicurezza.
• Meno episodi di phishing: è diventato molto più difficile riutilizzare credenziali rubate senza il token hardware legittimo o la chiave legata al dispositivo.
• Maggiore fiducia pubblica: mettere in evidenza soluzioni MFA solide ha contribuito a rafforzare la fiducia degli utenti in un periodo di crescente preoccupazione per le violazioni dei dati.

Conclusione principale:
Per gli enti governativi, le aziende del settore pubblico e le organizzazioni di settori altamente regolamentati, implementare una MFA resistente al phishing è fondamentale non solo per la sicurezza, ma anche per rimanere conformi all'evoluzione degli standard.

5. Come può aiutare Corbado#

La tabella nella sezione 3.5 assegna punteggi astratti a tre opzioni. Per prendere una decisione serve invece una versione basata sui propri accessi: le righe rappresentano i metodi effettivamente usati dagli utenti e i punteggi sono i tassi di completamento, anziché valori su una scala da uno a cinque. Corbado Observe, il livello di osservabilità dell'autenticazione, produce questa versione.

• La combinazione effettiva di metodi. Ogni accesso viene classificato in sottoprocessi: password, passkey, accesso tramite social, codice monouso via SMS, codice monouso via email, TOTP e conferma tramite app. La quota di accessi e il tasso di successo di ciascun metodo sono il punto di partenza concreto per scegliere tra le tre categorie di questo articolo.
• Dove ogni metodo perde utenti. Login Friction suddivide ogni accesso avviato in categorie: recupero, passaggio a un altro metodo, interruzione, errore, reimpostazione e accesso senza problemi. Le distingue per metodo, così l'affermazione «l'autenticazione senza password riduce le difficoltà» diventa un dato misurabile sul proprio traffico.
• Il valore di un'opzione resistente al phishing rispetto alle altre. Method Uplift raggruppa i flussi di accesso in base ai metodi disponibili in ciascuno: solo password, password con passkey, password con accesso tramite social o tutti e tre. Valuta ogni combinazione rispetto alla sola password. Tutte sono analizzate nello stesso intervallo, così si può valutare l'adozione per il proprio prodotto senza aspettare una data di passaggio per confrontare i risultati.
• Non serve un programma passkey. Observe funziona con il sistema di accesso già in uso. Se prevede una password e un codice SMS, misura entrambi: è da qui che cominciano davvero molte delle decisioni trattate nell'articolo.

See Login Methods in Corbado Observe →

Quando la scelta ricade sulle passkey, Corbado Connect ne gestisce l'implementazione. Le richieste mostrate in base a criteri specifici e Passkey Intelligence trasformano il vantaggio di esperienza utente descritto nella sezione 3.2 in un'adozione delle passkey fino a 10 volte superiore, controllando quali utenti vedono la proposta e quando.

6. Conclusione#

Dopo aver esaminato password tradizionali, passkey, opzioni senza password e MFA resistente al phishing, possiamo riepilogare quanto emerso.

Ogni metodo offre vantaggi specifici:

• Senza password: un miglioramento significativo rispetto alle password, che riduce le difficoltà degli utenti e i costi di assistenza, ma non è sempre a prova di phishing.
• MFA resistente al phishing: offre un elevato livello di sicurezza negli ambienti ad alto rischio, impedendo agli attaccanti di sfruttare gli errori umani.
• Passkey: raggiungono un equilibrio ideale: sono senza password, costituiscono una MFA intrinsecamente resistente al phishing e sono sostenute dai pionieri del settore. Offrono una sicurezza di alto livello senza compromettere l'esperienza utente.

Aggiornare subito l'autenticazione non significa solo migliorare la sicurezza: significa anche posizionare l'azienda come un'organizzazione lungimirante e attenta agli utenti, pronta a distinguersi nell'economia digitale.

Chi siamo

Corbado è la Passkey Intelligence Platform per i team CIAM che gestiscono l'autenticazione consumer su larga scala. Ti aiutiamo a vedere ciò che i log IDP e gli strumenti di analytics generici non mostrano: quali dispositivi, versioni di OS, browser e gestori di credenziali supportano i passkey, perché gli enrollment non si trasformano in login, dove il flusso WebAuthn fallisce e quando un aggiornamento di OS o browser interrompe silenziosamente il login, tutto senza sostituire Okta, Auth0, Ping, Cognito o il tuo IDP interno. Due prodotti: Corbado Observe aggiunge osservabilità per i passkey e qualsiasi altro metodo di login. Corbado Connect introduce passkey gestiti con analytics integrato (insieme al tuo IDP). VicRoads gestisce i passkey per oltre 5M di utenti con Corbado (oltre l’80 % di tasso di attivazione passkey). Parla con un esperto di Passkey →