Passkey sincronizzate o locali: cambia chi deve recuperare l’accesso

Per un account personale, una passkey sincronizzata è spesso la scelta più pratica: se si perde il telefono, la credenziale può tornare disponibile su un altro dispositivo tramite lo stesso provider. Per un account privilegiato, una passkey legata al dispositivo limita la possibilità di copiarla, ma richiede un autenticatore di riserva già registrato. La guida di FIDO Alliance distingue proprio questi percorsi di recupero: entrambe le varianti resistono al phishing.

Per i dipendenti conta anche chi gestisce i dispositivi e autorizza il ripristino. La sincronizzazione può facilitare la sostituzione di un telefono; una credenziale legata al supporto offre all’organizzazione un confine più stretto per la sua custodia. In ogni caso, il tipo di passkey va scelto insieme al metodo con cui la persona potrà rientrare nell’account se quello principale non sarà disponibile.

La protezione al login è comune, la custodia cambia

Una passkey usa una coppia di chiavi crittografiche. Il servizio conserva quella pubblica; l’autenticatore usa la chiave privata per rispondere a una richiesta riferita al sito autentico. Una pagina fasulla non può ottenere una risposta riutilizzabile per accedere a quel sito. Questa resistenza al phishing riguarda il funzionamento della passkey sia quando è sincronizzabile sia quando resta legata a un dispositivo.

«Locale» significa qui che la credenziale non viene sincronizzata: può risiedere in un telefono, in un computer o in una chiave di sicurezza fisica. Legata al supporto non significa però utilizzabile soltanto per accedere da quel supporto: una chiave fisica può autenticare anche un altro computer a cui viene collegata. La differenza decisiva emerge quando il supporto si perde: la sua chiave privata non può essere ripristinata tramite un provider di sincronizzazione.

Con una passkey sincronizzata, invece, il provider può renderla disponibile su altri dispositivi ammessi nel suo ambiente. Questo riduce la dipendenza dal singolo telefono, ma non equivale a un accesso garantito in ogni situazione. Chi sta ancora valutando il passaggio dalla password trova nel confronto con le password la distinzione fra protezione del login e sicurezza delle vie alternative per entrare nell’account.

La sincronizzazione affida parte della sicurezza al provider

La valutazione di Andre Büttner e Nils Gruschka conclude che, nelle passkey sincronizzate, una parte rilevante delle garanzie di sicurezza si concentra nel provider. Contano quindi la protezione dell’account che custodisce le credenziali, le verifiche richieste per aggiungere un dispositivo e le condizioni per recuperare l’accesso a quell’account. La comodità del ripristino dipende da queste procedure, oltre che dalla sicurezza del telefono usato ogni giorno.

Se il telefono viene perso, il ripristino presuppone che l’utente possa ancora accedere al provider e disponga di un dispositivo compatibile. Nel cambio di ecosistema occorre distinguere la sostituzione del dispositivo dal passaggio a un diverso gestore di credenziali: una passkey presente nel vecchio ambiente non diventa automaticamente disponibile nel nuovo. Il trasferimento va verificato nelle funzioni effettivamente offerte dai gestori; dove manca, si può registrare una nuova passkey presso il servizio finché il vecchio metodo funziona.

Anche l’indisponibilità temporanea del provider ha effetti diversi secondo il momento. Può impedire la configurazione o il ripristino su un nuovo dispositivo, mentre una credenziale già presente su un dispositivo utilizzabile può continuare a servire per l’autenticazione. Il rischio operativo maggiore è dover recuperare tutto proprio quando non si dispone più né del dispositivo precedente né di una via alternativa già registrata.

Una scelta per profilo di rischio e tipo di interruzione

Questa matrice parte dall’evento che interrompe l’accesso, anziché assegnare una variante a tutti gli account. Sono indicazioni pratiche: il servizio deve accettare il tipo di passkey scelto e consentire una riserva adeguata.

• Utente comune, telefono perso: la passkey sincronizzata facilita il rientro su un dispositivo compatibile, se l’utente conserva l’accesso al provider. Per gli account importanti conviene predisporre anche un metodo presso il servizio che non dipenda soltanto dal telefono smarrito.
• Dipendente, dispositivo o ecosistema cambiato: la sincronizzazione semplifica la sostituzione quando il nuovo dispositivo usa il gestore previsto dall’organizzazione. Se cambia il gestore, è più prudente registrare la nuova credenziale prima di dismettere quella vecchia; altrimenti serve un autenticatore aziendale di riserva o una procedura di recupero controllata.
• Account amministrativo o privilegiato: una credenziale legata al dispositivo o a una chiave di sicurezza limita la copia della chiave privata. Un secondo autenticatore indipendente e una procedura per autorizzarne la sostituzione evitano che la perdita dell’unico supporto blocchi l’attività.
• Provider indisponibile durante il ripristino: chi deve configurare un nuovo dispositivo potrebbe non recuperare subito le credenziali sincronizzate. Una passkey già registrata su un altro supporto, separato dall’account del provider, offre una via d’accesso che non richiede quel ripristino.

Per gli accessi con requisiti di garanzia molto elevati, la guida NIST SP 800-63B richiede chiavi private non esportabili al livello AAL3 ed esclude gli autenticatori sincronizzabili da quel livello. È un riferimento tecnico statunitense, non una regola applicabile automaticamente a ogni account privilegiato in Italia. Rende però concreto il motivo per cui un’organizzazione può scegliere credenziali legate al supporto per alcuni ruoli e sincronizzate per altri.

Checklist per predisporre una via di riserva

La riserva va predisposta mentre il metodo principale funziona ancora. Le opzioni cambiano da servizio a servizio: una procedura immaginata ma non prevista nelle impostazioni dell’account non aiuterà quando il dispositivo sarà perso.

• Individuare dove è conservata ciascuna passkey e se può essere sincronizzata. Il nome del dispositivo mostrato dal servizio, da solo, potrebbe non chiarire come la credenziale viene custodita.
• Registrare un secondo autenticatore accettato dal servizio, preferibilmente su un supporto distinto da quello principale. Verificare che sia associato proprio all’account da recuperare.
• Controllare come si recupera l’account del provider che sincronizza le passkey e quali dispositivi o fattori richiede quel percorso. La riserva per il singolo servizio e quella per il provider risolvono problemi diversi.
• Prima di cambiare telefono o gestore, registrare il nuovo metodo mentre quello precedente è ancora utilizzabile. Per gli account di lavoro, definire chi autorizza l’operazione e come verifica l’identità del dipendente.
• Esaminare i metodi alternativi rimasti attivi, compresi password, email e codici di recupero. Una via facile da sottrarre può diventare il percorso più debole per entrare nell’account, anche se l’accesso abituale avviene con passkey.

Per una credenziale legata al dispositivo, la riserva permette di entrare senza il supporto perduto e registrarne uno nuovo. Per una credenziale sincronizzata, serve soprattutto quando l’accesso al provider o al suo ambiente è interrotto. In entrambi i casi, la riserva è utile soltanto se resta disponibile separatamente dal metodo principale.

Leggi anche:

• Passkey o password: il phishing perde presa, ma il recupero resta critico
• ChatGPT Projects o Claude Projects: file simili, memoria e accessi diversi
• Valutare un RAG: quattro metriche separano recupero e risposta