09 Giugno 2023
Google è la prima a distribuire ampiamente le passkey. Finora le poche aziende ad aver detto concretamente addio alle password si sono limitate a puntare sulle passkey solo su alcuni mercati, vedi PayPal partita con il mercato statunitense. Google invece a poche ore dal World Password Day, la giornata mondiale delle password, ha deciso per il rollout ampio delle passkey, tanto che ci si ritrova a sorprendersi di poterle utilizzare anche in Italia.
Esattamente, potete passare alle passkey da subito e dire finalmente addio alle password almeno per quel che riguarda l'ecosistema Google. Nel momento in cui avrete creato la passkey (link in VIA) Google non chiederà più alcuna password e pure la verifica in due passaggi, la two factor authentication, sarà un ricordo di cui parlare al passato. Più che una procedura di creazione però sembra più corretto parlare di attivazione, tanto il processo è svelto e intuitivo.
Le passkey sono facili da configurare e ti consentono di accedere in sicurezza al tuo Account Google usando la tua impronta, il tuo volto, il blocco schermo o il token di sicurezza hardware - si legge a inizio configurazione.
LE PASSKEY SPIEGATE IN MODO SEMPLICE
In sostanza attivando la passkey non si fa altro che associare l'"impronta" del dispositivo (il token) al proprio account Google, affinché nel momento in cui si deve accedere all'account basta autenticarsi con il metodo di sblocco che si utilizza quotidianamente - impronta digitale, volto, Pin, sequenza o qualsiasi altro sistema a basso grado di fallibilità - il dispositivo dia l'ok ai server per aprire all'utente le porte dell'account o del servizio Google.
Ogni dispositivo - smartphone, PC, tablet, eccetera - ha il suo token, ma è comunque previsto l'accesso da un dispositivo di un amico o condiviso: basta selezionare "Usa una passkey da un altro dispositivo", inquadrare un codice con il proprio e il gioco è fatto, in maniera simile a come facciamo ad esempio con lo Spid dal commercialista. Se si smarrisce un dispositivo autenticato si può sempre eliminare la chiave d'accesso dalle impostazioni dell'account Google.
Per intenderci, una volta creata la passkey, il processo di autenticazione è identico a quello che consente ad esempio l'accesso alle app bancarie via impronta digitale su Android o di scaricare app tramite Face ID su iPhone o iPad. Peraltro i dispositivi Android creano automaticamente una passkey quando si accede all'account Google, è tutto automatico, mentre con iOS, iPadOS o macOS va creata manualmente con un processo da pochi attimi.
PASSKEY, I VANTAGGI RISPETTO ALLE PASSWORD
La passkey, specifica Google, è memorizzata all'interno del dispositivo e lì rimane, "i dati biometrici non vengono condivisi con Google o con terzi in nessun caso: l'autenticazione sblocca la passkey solo in locale". La differenza in termini di sicurezza con le vecchie (è proprio il caso di dirlo) password è sostanziale:
- non c'è nulla da tenere a mente
- si azzerano i rischi di
- creare una chiave d'accesso troppo semplice per i malintenzionati ma facile da ricordare
- il contrario, cioè di sceglierne una molto sicura ma troppo complessa da ricordare
- si azzerano i rischi di
- non c'è nulla che può essere ceduto ad altri anche accidentalmente.
Le passkey, almeno per il momento e almeno per quel che riguarda Google, non rimpiazzano le password, chi vuole può continuare a utilizzarle: costituiscono un'alternativa.
I metodi di accesso esistenti, incluse le password, continueranno a funzionare nel caso in cui ne avessi bisogno, ad esempio quando utilizzi dispositivi che non supportano ancora le passkey. Le passkey sono una novità recente, servirà del tempo prima che funzionino ovunque. Tuttavia, la creazione di una passkey oggi comporta vantaggi in termini di sicurezza in quanto ci consente di prestare maggiore attenzione agli accessi che ricadono sulle password. Nel corso del tempo, li esamineremo sempre di più man mano che le passkey si diffonderanno.
C'è attesa adesso per le mosse di Apple e di Microsoft, che con Google (e tanti altri big come Intel, Qualcomm, Arm o Amazon) fanno parte della FIIDO Alliance. La scelta di Mountain View potrebbe aver sbloccato l'impasse.
Commenti
Per autenticare il mio pc fisso dovrei utilizzare una YubiKey, altrimenti rimarrei bloccato?
attivata! :)
praticamente, dopo la prima configurazione, quando provo ad installare un'app dal mio pc sul telefono, mi richiede il pin del pc stesso prima di procedere!
questo, immagino, perchè il computer che ho in uso è privo di lettore di impronte e di webcam!
sicuramente una sicurezza in più anche se, ammetto, non mi è mai capitato che qualcuno installasse app sul mio dispositivo...
ovviamente so che la funzione non termina lì!
Ho attivato passkey di google sul mio smartphone, volevo sapere, se dovessi formattare il telefono poi come faccio ad accedere di nuovo su android alla reinstallazione del mio smartphone? Posso accedere sempre con password? E ho notato che il passkey creato con lo smartphone non posso eliminarlo?
Sarò io a non aver afferrato come funziona, ma... una volta che l'ho attivata sul telefono, se io vado ad accedere su un nuovo dispositivo, non dovrebbe arrivarmi una notifica sul telefono che mi faccia mettere l'impronta per bypassare l'inserimento di password e 2fa?
Per una verifica della password ci vogliono 30 secondi. Poi puoi tranquillamente disabilitare l'hotspot.
Lavorare ore e ore con hotspot attivo non fa bene a iPhone dato che si scalda
Quindi il problema non è il passkey, sei tu. Mi stai dicendo che hai tre SIM con tre operatori diversi e potresti avere problemi di connessione perché le tue preferenze non ti permettono di fare un hotspot al volo.
Io ho mantenuto la 2Fa che continua ad essere associata all'account. La passkey funziona ma comunque per sbloccare un pc desktop, ad esempio, occorre che il bluetooth e che sia attivo. Si inquadra il QR code ma pc desktop e telefono / token devono essere vicini. A me ha funzionato sul notebook aziendale che ha ovviamente il bluetooth ma a casa non funzionerebbe sul un pc desktop che non ha bluetooth (cosa piuttosto frequente)
Si per tutte le domande ;)
No. Per lavoro preferisco avere due sim con operatori diversi. Wind su chiavetta, ho mobile su tablet e poste su smartphone
Hotspot da Windows!
Quindi posso usare più passkey? Una per il lettore d'impronte del pc, un'altra per lo smartphone e via dicendo? E sono rimovibili a piacimento, nel caso si perda/cambi dispositivo?
A me non funziona, non arriva nessuna notifica sui device autorizzati.
Speriamo che altri si aggreghino velocemente
Non puoi rubare "l'impronta", non è un dato che lascia il tuo dispositivo.
Dipende dal sito web, per esempio Google la usa come un altro metodo per autenticarsi.
Non troverai nulla se non la descrizione della passkey (tipo quando l'hai creata)
Passkey non puoi inserirla manualmente, l'autenticazione tramite smartphone prevede che il telefono si connetta ad internet.
La soluzione è avere una passkey anche sul portatile (oppure fare come Apple che le sincronizza tra tutti i dispositivi)
Chissà se vedremo mai l'autenticazione tappando direttamente l'icona dell'app.. non so se sia fattibile ma sarebbe ancor più comodo..
In futuro potrebbe sostituirla
scusa in che senso ho perso?
sarà che mi sono appena alzato ma non capisco...
Chiavetta USB con sim dati
Che però hai perso, altrimenti staresti usando la passkey :D
Di una comodità assurda, speriamo arrivino presto tutti gli altri, da Apple ad Amazon e Microsoft
Ci dev'essere un dispositivo principale che autorizza le passkey, ma tu puoi deciderlo di rimuoverlo quando vuoi.
Se cambi telefono non fai altro che creare una nuova passkey sul nuovo dispositivo e il vecchio lo elimini.
Finalmente direi, erano passati mesi di silenzio.
Comunque ne ho attivata subito una sul mio smartphone Android e devo dire che la comodità è impareggiabile, unica cosa secondo me devono ancora supportare tutti i vari browser, perchè ad esempio con Edge non mi resta loggato una volta che chiudo l'app e con Opera non mi dà la possibilità di inserire la passkey.
Spero sia solo una questione di rilascio graduale.
Sante parole.
boosook Col rischio però di dimenticarti la password dato che la usi molto più saltuariamente di prima. Boh, anch'io sono scettico come @boosook
"Password? Che password? Non ho messo password io."
[cit. frase detta da una persona qualsiasi quando gli si chiede la password dell'account GMail]
Se il PC è online come fai ad avere problemi di rete sul telefono? Se il PC è sotto wifi ti connetti al WiFi con il telefono.
Come ora, password e per la verifica in due fattori o hai una fido Key o i codici monouso
Se perdi il telefono e non hai Windows hello come funziona?
sul cellulare, puoi usare l'impronta almeno per bitwarden
Se non ho capito male, tu usi l'impronta per cifrare e2e le chiavi di accesso ai vari siti.
Quando attivi questa opzione il sito ti assegna delle chiavi di cifrazione per fare l'accesso. Dato che queste chiavi non puoi tenerle in bella vista nel telefono si usa l'impronta per cifrarle e renderle inusabili.
Ogni sito ha le sue chiavi quindi anche se viene bucato google, microsoft ecc, la tua impronta non viene toccata in quanto usata localmente per tenere sicure le chiavi all'interno del tuo telefono
ma è un sistema complementare, non sostituisce la password, lo trovo poco utile
bitwarden e servizi simili che richiedono una pwd per accedervi...
In caso di furto è in realtà più sicuro, ogni dispositivo ha sostanzialmente la sua password e non è la stessa tra i vari siti, un servizio non può generare la stessa password per ogni dispositivo, sarà sempre diversa
si ma trovare la password "generale" dovrebbe essere molto più difficile che trovare tutte le altre password
Non la inserisci più finché non ti scadono i cookie di accesso, ad esempio può essere utile se hai vari account e non usi tutti nel quotidiano, poi in realtà per entrare in alcune impostazioni la chiede anche se sei loggato (e come scritto sopra, funziona anche da verifica in due fattori)
comodo
https://media2.giphy.com/me...
Provandola vantaggio non da poco è che bypassi la verifica in due fattori, essendo già un dispositivo attendibile
Intendo dire che, se oggi prendo un telefono nuovo, la password la metto solo al primo accesso, poi configuro l'impronta e da quel momento la password non la metto mica più...
OK.
Grazie
Fino ad ora non mi sembra che potevi bypassare la password con l'impronta in google
Eh ma per fare il restore dovrò fare il login all'account Apple e immagino che lo farò... con la password :)
Sono conscio del fatto che se tutti parlano di questa cosa sia effettivamente rivoluzionaria, solo che al momento mi sfugge.
Se vuoi usi il telefono come passkey (in sostanza funziona come se avessi una fido key), altrimenti se il pc ha un sistema di verifica windows hello configuri quello
Allora appunto non mi è chiaro il vantaggio visto che comunque, una volta che poi salvi l'impronta, non è che ti richiede la password ogni volta.
Si ma, per esempio con iphone la chiave viene salvata su icloud. Se perdi il telefono e ne compri uno nuovo con il restore ti ritrovi automaticamente la chiave.
Nei nuovi dispositivi semplicemente chiede la password...
Domanda.
Diciamo che abilito la passkey per il mio account Google sul mio Android.
Per accedere poi dal mio Windows, come funziona?
Devo autorizzare l'accesso dal mio Android oppure devo configurare una passkey anche sul mio Windows?