Passkey: come funzionano e perché sono più sicure delle password

• Le passkey sono un nuovo metodo di autenticazione che utilizza la crittografia a chiave pubblica per consentire agli utenti di accedere a siti web e applicazioni senza dover inserire una password.

• Per creare una passkey, l'utente deve autenticarsi utilizzando un PIN, un modello di scansione o dati biometrici. L'autenticatore invia quindi la chiave pubblica al server Web dell'account per la memorizzazione, mentre l'autenticatore memorizza in modo sicuro la chiave privata a livello locale.

• Quando l'utente prova ad accedere al suo account utilizzando la passkey, il server dell'account manda una "sfida" all'autenticatore, ovvero uno smartphone o altro dispositivo dove è memorizzata la passkey dell'utente.

• L'autenticatore utilizza la chiave privata associata alla passkey per firmare attraverso crittografica questi dati e restituire una "risposta" al server.

• Le passkey sono più sicure delle password perché i server degli account non devono memorizzare le chiavi private degli utenti, ma solo le loro chiavi pubbliche.

• Le passkey sono generate dall'autenticatore dell'utente e sono quindi sempre molto complesse e uniche per ogni utente e per ogni account, ogni volta.

• Le passkey si basano sull'autenticazione a due fattori e non possono essere compromesse nei tentativi di phishing.

Le passkey sono a rischio: gli aggressori possono rimuovere l'opzione di accesso con le passkey dalle pagine di login

• I ricercatori della sicurezza informatica hanno dimostrato che gli aggressori possono usare un attacco "avversario nel mezzo" (AitM) per presentare pagine di accesso familiari, con l'opzione passkey cancellata, inducendo gli utenti a utilizzare opzioni di accesso meno sicure come le password.

• Questo attacco di phishing AitM è stato automatizzato grazie a strumenti come Evilginx2, Modlishka e Muraena.

• Una passkey impedisce agli intrusi di mettersi nel mezzo di tutto, ma Stewart ha rivelato una nuova versione dell'attacco AitM: ottenere l'opzione là fuori.

• Utilizzando il kit di phishing di Evilginx, Stewart ha dimostrato come manipolare la pagina di accesso presentata mentre viene trasmessa all'utente finale, modificando l'HTML o usando JavaScript iniettato.

• L'opzione "sign-in con passkey" può essere eliminata, inducendo gli utenti a utilizzare nome utente e password, che possono essere raccolte dagli aggressori.

https://www.itbrew.com/stories/2024/07/16/industry-pro-shows-one-way-to-circumvent-passkeys-erase-the-option?mbcid=36077160.9097&mblid=3a590dac7b8a&mid=e5ddcc7fb5cf6b1a21f99922df76bf29&utm_campaign=itb&utm_medium=newsletter&utm_source=morning_brew

Passkey: cos'è, come funziona e perché è più sicura delle password

Le passkey sono un nuovo sistema di autenticazione senza password progettato per essere più sicuro e facile da usare rispetto alle tradizionali password.

Le passkey utilizzano la crittografia a chiave pubblica per garantire che nessuna informazione sensibile venga condivisa tra il dispositivo dell'utente e il server, rendendo così impossibile il furto o la contraffazione delle credenziali.

Le passkey sfruttano la tecnologia Bluetooth Low Energy (BLE) e il protocollo FIDO per l'autenticazione senza password.

Quando ci si registra ad un servizio con passkey, viene generata una coppia di chiavi crittografiche: una chiave pubblica che viene inviata e archiviata dal servizio, e una chiave privata che rimane sul dispositivo dell'utente.

Ad ogni login successivo, il servizio invierà una richiesta di autenticazione tramite Bluetooth al dispositivo. A questo punto l'utente dovrà sbloccare il dispositivo tramite biometria (impronta, volto) o PIN per approvare la richiesta.

Le passkey vengono sincronizzate automaticamente su tutti i dispositivi dell'utente tramite il cloud.

Le passkey offrono numerosi vantaggi rispetto alle password tradizionali, tra cui maggiore sicurezza, facilità d'uso e sincronizzazione tra dispositivi.

Come creare una passkey

Ammettiamolo: le password sono una gran scocciatura. Se sono troppo semplici c'è sempre qualcuno pronto a indovinarle, ma se sono troppo complicate ce le scordiamo. Ci sono i gestori di password, direte, ma restano sempre altri problemi come le fughe di dati, che mettono a rischio i nostri account.

Ecco perché le passkey sono una tecnologia così importante, in grado finalmente di liberarci dalla schiavitù di questo arcaico (e rischioso) sistema di autenticazione. 

Leggi l'articolo completo

Rivoluzione login Google: benvenuta Passkey, addio password!

Grazie a Passkey, diventa possibile effettuare il login su app e siti tramite il metodo di sblocco del dispositivo che state usando: impronta digitale, riconoscimento del volto, token di sicurezza hardware o anche il PIN di sblocco, tanto per fare alcuni esempi.

Anziché ricordarvi 100 password diverse, vi verrà semplicemente chiesto di sbloccare il vostro telefono o il vostro PC, e il login è fatto. Al contrario di una password che può sempre essere carpita, Passkey è un sistema più resistente, soprattutto se basato su autenticazione biometrica.

Leggi l'articolo completo