La promessa di un mondo senza password
Le passkey stanno arrivando dappertutto. Apple le ha integrate in iOS 18, Google le spinge su Android e Chrome, Microsoft le ha rese obbligatorie per gli account aziendali. La narrazione ufficiale è semplice: le password sono vecchie, insicure, fonte di continui data breach. Le passkey, basate sullo standard FIDO2, promettono autenticazione forte senza segreti da ricordare o da rubare. Usano la crittografia a chiave pubblica: la chiave privata resta sul tuo dispositivo, quella pubblica va al servizio. Nessun segreto condiviso, niente phishing che funzioni. Sul carta, è un salto avanti. Ma chi ci guadagna davvero da questa transizione? E a quale prezzo arriva questa cosiddetta rivoluzione della sicurezza?
La risposta breve è: le Big Tech. Apple, Google, Microsoft non stanno semplicemente migliorando la sicurezza, stanno ridefinendo chi controlla le tue chiavi di accesso al mondo digitale. Con le passkey integrate nei loro ecosistemi, il tuo dispositivo diventa un terminale dipendente dai loro cloud di sincronizzazione. Perdi la password, ma guadagni un nuovo tipo di dipendenza: quella dalle loro infrastrutture proprietarie. E mentre ti vendono maggiore sicurezza, consolidano il loro potere di gatekeeper sull’identità digitale.
Come funzionano davvero le passkey (e dove va la tua chiave privata)
Le passkey funzionano grazie alla crittografia asimmetrica. Quando ti registri a un servizio, il tuo dispositivo genera una coppia di chiavi: una pubblica, che va al server del servizio, e una privata, che rimane sul tuo dispositivo. L’autenticazione avviene tramite una sfida crittografica che solo la chiave privata può risolvere, senza mai lasciare il dispositivo. In teoria, nessun segreto viene trasmesso o condiviso. Questo elimina il rischio di phishing e di riutilizzo di credenziali compromesse.
Ma qui sta il trucco: per essere davvero comode, le passkey devono essere sincronizzate tra i tuoi dispositivi. E questa sincronizzazione passa inevitabilmente attraverso i cloud proprietari di Apple (iCloud Keychain), Google (Google Password Manager) o Microsoft (Microsoft Authenticator). Se vuoi usare la stessa passkey sul tuo iPhone, iPad e Mac, devi fidarti di Apple per tenere al sicuro quella chiave privata. Stessa cosa per Google e Microsoft. La chiave privata, che dovrebbe essere il tuo segreto più prezioso, finisce cifrata nel loro cloud.
Questo crea un lock-in sottile ma potente. Se decidi di uscire dall’ecosistema Apple, trasferire le tue passkey non è banale. Puoi esportarle? In parte, ma con limiti e spesso solo verso altri dispositivi dello stesso vendor. La portabilità vera tra ecosistemi diversi è ancora un miraggio. Il risultato è che le passkey, nonostante siano basate su uno standard aperto (FIDO2), stanno diventando un altro strumento di fidelizzazione proprietario. La sicurezza aumenta, sì, ma a costo di aumentare la tua dipendenza da chi già controlla gran parte della tua vita digitale.
“Le passkey risolvono un problema reale, ma lo fanno in modo che rafforzi il controllo delle piattaforme sull’identità digitale. Non è un caso che siano le stesse aziende che hanno costruito imperi sulla raccolta di dati a spingerle così forte.”
L’alternativa open: passkey sovrane con Bitwarden e KeePassXC
Non tutto è perduto. Esistono alternative che ti permettono di usare le passkey senza consegnare le tue chiavi private a Apple, Google o Microsoft. Gestori di password open source come Bitwarden e KeePassXC stanno aggiungendo il supporto alle passkey, permettendoti di generarle e conservarle in un vault cifrato che controlli tu.
Bitwarden, ad esempio, offre la possibilità di salvare le passkey nel tuo vault personale, sia esso self-hostato o sul loro cloud (che comunque ti permette di esportare i dati in formato aperto). KeePassXC, da parte sua, integra il supporto FIDO2 direttamente nel database locale, consentendo l’uso di chiavi di sicurezza hardware come YubiKey o solo software, con il pieno controllo sul file del database. Queste soluzioni rispettano il principio della sovranità tecnologica: le tue chiavi, le tue regole.
L’uso è ancora meno fluido rispetto alle soluzioni integrate nei sistemi operativi, ma sta migliorando. Con l’ultima versione di KeePassXC, puoi usare le passkey per accedere a servizi come GitHub, Google o Dropbox, mantenendo la chiave privata nel tuo vault cifrato. Bitwarden sta lavorando a un’esperienza simile, con estensioni browser che intercettano le richieste di autenticazione FIDO2 e le rispondono usando le chiavi custodite nel vault.
Questa è la strada da seguire se vuoi sicurezza senza sottomissione: adottare gli standard aperti come FIDO2, ma rifiutare l’implementazione proprietaria che ti lega a un singolo ecosistema. È più lavoro? Sì. Ma è il prezzo da pagare per evitare di ritrovarti, tra qualche anno, a dover chiedere il permesso a Apple o Google per accedere ai tuoi stessi account.
Chi ci guadagna davvero dalla fine delle password
Le Big Tech ci guadagnano in almeno tre modi. Primo, rafforzano il lock-in ecosistemico. Se le tue passkey sono bloccate in iCloud, passare ad Android diventa un’operazione complessa, scoraggiando il passaggio di piattaforma. Secondo, consolidano il loro ruolo di fornitori di identità digitale. Ogni volta che usi una passkey sincronizzata tramite Google, stai rafforzando la posizione di Google come garante della tua identità online, un ruolo che potrebbe essere monetizzato in futuro tramite servizi premium o dati aggregati. Terzo, raccolgono dati metadati preziosi: quando, dove e come autentichi, anche se la chiave privata non lascia il dispositivo, i log di sincronizzazione e di utilizzo possono rivelare molto sulle tue abitudini.
Ma non sono solo le Big Tech a guadagnare. Anche i servizi che adottano le passkey traggono vantaggio: riducono i costi di supporto legati al reset delle password, diminuiscono i rischi di data breach legati alle credenziali, migliorano l’esperienza utente (almeno nella narrazione). Tuttavia, questo vantaggio ha un costo nascosto: delegano parte del controllo sull’autenticazione a terze parti proprietarie, aumentando la loro dipendenza da infrastrutture che non controllano.
Dal punto di vista dell’utente, il guadagno è reale in termini di sicurezza contro il phishing e la comodità d’uso. Ma questo guadagno arriva con una nuova forma di vulnerabilità: la dipendenza da un singolo punto di fallimento proprietario. Se il tuo account iCloud viene compromesso o bloccato, potresti perdere l’accesso a tutte le tue passkey sincronizzate lì. È una sostituzione di un rischio con un altro, forse meno frequente ma potenzialmente più devastante in termini di portata.
La vera domanda non è se le passkey siano più sicure delle password (lo sono). È chi controlla le chiavi di quella sicurezza. E finché la risposta sarà “Apple, Google o Microsoft”, avremo semplicemente sostituito un vecchio sistema di controllo con uno nuovo, altrettanto centralizzato, altrettanto proprietario.
La soluzione non è abbandonare le passkey, ma rivendicare il controllo sulle proprie chiavi. Usare gestori open source, preferire l’auto-hosting quando possibile, richiedere una vera portabilità tra ecosistemi. La sicurezza non deve essere un privilegio legato all’appartenenza a un ecosistema chiuso. Deve essere un diritto esercitabile in sovranità, indipendentemente dal dispositivo o dal servizio che scegli di usare.