Passkey senza biometria? Funzionano?

Sì, le passkey possono funzionare senza dati biometrici utilizzando autenticatori locali come PIN, sequenze o password del dispositivo. Questi metodi forniscono un'autenticazione sicura quando le opzioni biometriche come il riconoscimento dell'impronta digitale o del volto non sono disponibili. Le passkey si basano sull'autenticatore locale del dispositivo, che viene impostato dall'utente e non è controllato dalla relying party.

---

Le passkey si basano su WebAuthn, uno standard per l'autenticazione senza password. In genere, le passkey utilizzano un autenticatore locale per la verifica dell'utente. Quando i dati biometrici come il riconoscimento dell'impronta digitale o del volto non sono disponibili, l'autenticatore locale fornisce un metodo di autenticazione alternativo.

Un autenticatore locale è un meccanismo sul tuo dispositivo che verifica la tua identità. Gli esempi includono (tutti non biometrici):

• Codici PIN - Un codice numerico che inserisci per sbloccare il tuo dispositivo.
• Sequenze - Una sequenza di sblocco disegnata su un touchscreen.
• Password del dispositivo - Password alfanumeriche utilizzate per l'accesso al dispositivo.
• Blocchi schermo - Qualsiasi altro meccanismo che limita l'accesso al dispositivo.

1. Configurazione utente: L'utente configura il proprio autenticatore locale sul dispositivo.
2. Creazione della passkey: Il dispositivo genera una coppia di chiavi crittografiche durante la configurazione dell'account.
   • La chiave privata viene archiviata in modo sicuro sul dispositivo.
   • La chiave pubblica viene condivisa con il servizio (relying party).
3. Autenticazione: Quando l'utente tenta di accedere:
   • La relying party invia una challenge al dispositivo.
   • Il dispositivo utilizza la chiave privata per firmare la challenge.
   • L'autenticatore locale (ad es. PIN, sequenza) verifica l'identità dell'utente prima della firma.

• Accessibilità: Consente agli utenti senza dispositivi dotati di funzionalità biometriche di utilizzare le passkey.
• Sicurezza: Gli autenticatori locali sono legati al dispositivo e non possono essere intercettati da remoto.
• Controllo dell'utente: Gli utenti possono scegliere il metodo con cui si sentono più a loro agio, migliorando i tassi di adozione.

No, gli sviluppatori e le relying party non possono controllare direttamente il tipo di autenticatore locale utilizzato. Questo è determinato dalla configurazione del dispositivo dell'utente. Tuttavia, gli sviluppatori possono progettare flussi utente che spieghino chiaramente il processo e guidino gli utenti a configurare un autenticatore locale se non ne è già stato impostato uno.

Le passkey senza dati biometrici offrono inclusività e flessibilità. Non tutti gli utenti hanno accesso alla più recente tecnologia biometrica, ma possono comunque beneficiare della sicurezza e della comodità dell'autenticazione senza password attraverso alternative come PIN e sequenze.

---