Una password può essere indovinata, rubata da un sito compromesso o consegnata per errore a una pagina di phishing. Una chiave privata custodita in un chip dedicato, invece, non può essere copiata né digitata in un modulo falso. È questa l'idea alla base di chiavi di sicurezza hardware, smart card e passkey: portare la crittografia a chiave pubblica nelle mani dell'utente, in una forma che resiste ai principali attacchi contro le credenziali.
Il principio: la chiave non esce mai
Una chiave hardware contiene un elemento sicuro, un piccolo processore progettato per custodire segreti e resistere ai tentativi di estrazione. La chiave privata viene generata al suo interno e non lascia mai il dispositivo.
Quando serve usarla, il computer non chiede la chiave: invia una richiesta al dispositivo, che esegue l'operazione crittografica, per esempio una firma, e restituisce solo il risultato. Anche un computer infettato da malware non può portarsi via la chiave; al massimo può tentare di usarla mentre il dispositivo è collegato, e spesso nemmeno questo, perché molte operazioni richiedono un tocco fisico o un PIN.
Autenticazione con FIDO2: come funziona
Lo standard FIDO2, con la sua componente per il web chiamata WebAuthn, è oggi il modo più diffuso di usare chiavi hardware per accedere ai siti.
Registrazione
- Il sito chiede di registrare una chiave di sicurezza.
- Il dispositivo genera una nuova coppia di chiavi dedicata a quel sito.
- La chiave pubblica viene inviata al sito e salvata nel tuo profilo; la chiave privata resta nel dispositivo.
Accesso
- Il sito invia una sfida, un valore casuale diverso a ogni accesso.
- Il browser la passa al dispositivo insieme all'indirizzo del sito che la sta chiedendo.
- Tocchi la chiave o inserisci il PIN; il dispositivo firma la sfida con la chiave privata di quel sito.
- Il sito verifica la firma con la chiave pubblica registrata.
Il sito non conserva alcun segreto: se il suo database viene rubato, contiene solo chiavi pubbliche, inutili per accedere.
Perché resiste al phishing
È il vantaggio più importante. In un attacco di phishing tradizionale ti trovi su una pagina che imita perfettamente quella della tua banca, ma con un indirizzo diverso. Una password o un codice SMS vengono digitati e consegnati all'attaccante.
Con FIDO2 il browser comunica al dispositivo l'indirizzo reale della pagina. La chiave registrata per il sito autentico non viene usata su un dominio diverso, per quanto simile. La pagina falsa non ottiene una firma valida, e non c'è nulla che tu possa digitare per errore. La protezione non dipende dalla tua attenzione, ma dalla crittografia.
Le passkey
Le passkey applicano lo stesso meccanismo senza bisogno di un oggetto separato. La chiave privata è custodita nel chip di sicurezza del telefono o del computer e si sblocca con impronta digitale, riconoscimento del volto o PIN del dispositivo. Il dato biometrico non viene inviato al sito: serve solo a sbloccare localmente la chiave.
Molte passkey vengono sincronizzate tra i dispositivi dello stesso utente attraverso il servizio cloud del produttore, in forma cifrata. È una scelta di comodità: riduce il rischio di restare chiusi fuori, ma rende la sicurezza dipendente anche dalla protezione di quell'account. Le chiavi di sicurezza fisiche, invece, sono legate a un solo oggetto.
Smart card e firma
Le smart card usano lo stesso principio da molto più tempo. Una smart card di firma digitale contiene la chiave privata del titolare e il relativo certificato: quando firmi un documento, l'impronta del file viene inviata alla carta, che restituisce la firma. Le carte d'identità elettroniche di molti Paesi europei includono un chip con funzioni crittografiche per l'autenticazione ai servizi online.
Alcune chiavi hardware combinano più funzioni in un solo dispositivo: FIDO2 per l'accesso ai siti, smart card compatibile con OpenPGP per cifrare e firmare email, generazione di codici temporanei.
Come usarle senza restare chiusi fuori
Il rovescio della medaglia di una chiave non copiabile è che, se perdi il dispositivo, perdi la chiave. Alcune regole pratiche:
- registra almeno due chiavi per ogni account importante, e conserva quella di riserva in un luogo sicuro;
- conserva i codici di recupero che molti servizi forniscono al momento dell'attivazione, stampati o in un gestore di password;
- imposta un PIN sulla chiave: senza, chi la trova potrebbe usarla;
- non lasciare metodi deboli attivi come alternativa: se l'account accetta ancora il codice SMS, l'attaccante sceglierà quella strada.
Un confronto tra metodi di autenticazione
| Metodo | Resiste al phishing | Resiste al furto del database del sito | Richiede un oggetto |
|---|---|---|---|
| Password | No | Dipende da come è salvata | No |
| Codice SMS | No | Sì | Telefono |
| App con codici temporanei | No | No, il sito conserva il segreto | Telefono |
| Passkey | Sì | Sì | Telefono o computer |
| Chiave FIDO2 fisica | Sì | Sì | Sì |
In sintesi
- Chiavi hardware, smart card e passkey custodiscono una chiave privata che non lascia mai il chip.
- FIDO2 crea una coppia di chiavi diversa per ogni sito e firma una sfida a ogni accesso.
- Il legame con l'indirizzo del sito rende questi metodi resistenti al phishing.
- Le passkey sono comode e spesso sincronizzate; le chiavi fisiche sono legate a un solo oggetto.
- Registrare una chiave di riserva e conservare i codici di recupero evita di restare chiusi fuori.
