Lug 23, 2024 Marina Londei Approfondimenti, News, RSS, Tecnologia 0

Le password sono ormai universalmente riconosciute come un metodo di autenticazione debole e andrebbero sostituite da meccanismi più robusti, come l’autenticazione multi-fattore e le passkey. Le passkey permettono di accedere ai propri dispositivi e account utilizzando codici e biometria, come l’impronta digitale, il riconoscimento facciale, il PIN o un codice temporaneo.

Questo meccanismo di autenticazione è considerato intuitivo e sicuro: le informazioni per il login vengono salvate solo sul dispositivo utente e i servizi esterni non accedono mai a questa informazione. Quando si crea una passkey, infatti, viene generata una coppia di chiavi, di cui una pubblica e una privata: quella pubblica viene condivisa con il sito web o l’applicazione a cui si vuole accedere, mentre quella privata rimane sul dispositivo utilizzato. Quando un utente vuole autenticarsi, gli è sufficiente usare le proprie credenziali biometriche o i codici per verificare la corrispondenza tra le due chiavi e procedere con il login.

Pixabay

Nonostante siano oggettivamente più sicure delle password, ci sono comunque dei limiti da considerare e gestire in maniera adeguata. In un post sul suo blog, Micah R Ledbetter, ingegnere e programmatore, spiega innanzitutto che nella maggior parte dei casi vengono abilitate di default, migrando gli account verso questo nuovo meccanismo di autenticazione.

È il caso per esempio di Apple che sta migrando gli account nelle nuove versioni di iOS e macOS, e gli utenti si ritrovano col dover creare obbligatoriamente una passkey per l’autenticazione e non possono scegliere altro provider per generarla.

In questo caso non si tratta di un problema legato alle passkey in sé, quanto piuttosto a un modo non molto corretto di gestirle. Il vero problema di questo meccanismo di autenticazione è una sorta di “discriminazione” esplicita tra le applicazioni: i siti web che utilizzano passkey sanno in quale applicazioni l’utente mantiene queste chiavi, e possono anche scegliere di supportarne alcune e non altre.

Le passkey e il problema di KeePassXC

Per esporre il problema, Ledbetter porta l’esempio di KeePassXC, un’applicazione open source per gestire le passkey. Un senior architect di Okta aveva evidenziato due problematiche importanti di questo tool: la prima è che KeePassXC non è compliant con l’implementazione richiesta per la verifica dell’autenticazione e per questo alcuni siti web potrebbero bloccare l’operazione. In questo caso l’utente non potrebbe effettuare il login e quindi usare il servizio.

Il secondo problema riguarda il fatto che KeePassXC consente di esportare le password senza cifrarle. Si tratta di un rischio di sicurezza molto elevato che non può essere risolto con un semplice avviso da mostrare agli utenti: occorre implementare dei meccanismi che impediscano a un utente di copiare una password senza cifratura.

Pixabay

È normale allora che molti servizi decidano di bloccare questo tipo di applicazioni: dal punto di vista di chi li eroga, una gestione insicura delle credenziali non è un pericolo solo per l’utente, ma anche per la compagnia stessa.

“D’altra parte, è negativo per la società se solo le entità controllate e autorizzate possono creare applicazioni con passkey, ed è negativo per gli utenti se non possono scegliere di utilizzare una particolare applicazione con passkey” spiega Ledbetter.

Il fatto che ci sia un modo per discriminare le applicazioni e uno standard per definire le chiavi permette ai fornitori di servizi di decidere quali applicazioni bloccare e quali accettare, e per di più forzare l’utente a riautenticarsi in qualsiasi momento.

Le passkey rimangono comunque un metodo robusto di autenticazione che andrebbe sempre preferito alle password, ma è necessario definire degli standard più precisi che non vadano a danno degli utenti.