La fine delle password per l’utilizzo degli account Google

Il futuro senza password arriverà presto? In ogni caso, questa è la strada che sembra intraprendere Google, che sta compiendo un nuovo passo nella pubblicazione delle passkey, chiamate anche chiavi di accesso. Dal 3 maggio 2023 miliardi di utenti dei servizi Google possono adottare questo metodo di autenticazione tramite sensori biometrici, codice PIN per il blocco dello smartphone o chiavi elettroniche per l’autenticazione fisica, e abbandonare completamente password e codici di verifica per connettersi ai propri account , come annuncia con orgoglio la società nel suo comunicato stampa. Per fare ciò, devi solo andare a questo indirizzo, connetterti al tuo account utilizzando i tuoi soliti identificatori, quindi fare clic su “Usa chiavi di accesso”. Per aggiungere un’ulteriore chiave di accesso per un altro dispositivo è sufficiente cliccare su “+ Genera chiave di sicurezza”, che verrà così memorizzata sul dispositivo utilizzato.

Le passkey dell’account Google vengono archiviate su qualsiasi dispositivo compatibile (iPhone con iOS 16 e dispositivi Android con Android 9 o versioni successive) e possono essere condivise con altri dispositivi all’interno del sistema operativo utilizzando servizi come iCloud o alcuni gestori di password. Per utilizzare il dispositivo di qualcun altro per accedere temporaneamente al proprio account Google, seleziona l’opzione “Utilizza una password da un altro dispositivo” per creare un Single Sign-On. Tieni presente che non dovresti creare una chiave di accesso su un dispositivo condiviso, perché il suo vero proprietario potrà quindi accedere all’account Google ogni volta che lo desidera. In caso di furto, smarrimento o intrusione del dispositivo, è del tutto possibile revocare le chiavi di sicurezza nelle impostazioni del proprio account.

Sebbene ci vorrà del tempo prima che il supporto passkey ottenga un’adozione diffusa, questo annuncio fa progressi significativi nella loro adozione date le dimensioni di Google e la portata dell’implementazione. Per il momento, gli account utente continueranno a supportare i metodi di accesso esistenti, come le password. È una specie di periodo di transizione. Mountain View prevede di promuovere questa nuova tecnologia nei prossimi mesi e iniziare a incoraggiare i propri utenti a convertire le proprie credenziali in passkey.

La soluzione per sostituire le password

Ma perché stiamo cercando di creare un futuro senza password? Semplicemente a causa dei loro ben noti difetti. In effetti, sono spesso molto vulnerabili, riutilizzati su più siti e account e possono essere violati dopo un “phishing” riuscito. Sono state ideate soluzioni per superare queste vulnerabilità, come l’autenticazione a due fattori – che non è infallibile – e i gestori di password – che possono essere hackerati – ma i rischi permangono, soprattutto in questo momento, poiché gli hacker mostrano sempre più immaginazione. È passato molto tempo da quando la FIDO Alliance, un consorzio di aziende tecnologiche leader, agenzie governative, fornitori di servizi, istituzioni finanziarie, processori di pagamento e altri settori, tra cui Apple, Amazon, Microsoft, PayPal e Google, ha lavorato sulla tecnologia per eliminare l’uso delle password: le chiavi il traffico!

Dopo che Apple ha annunciato la volontà di introdurlo con iOS 16 e MacOS, Google, a sua volta, ha consentito agli sviluppatori nell’ottobre 2022 di iniziare a implementare questa tecnologia di autenticazione su Android tramite la versione beta di Google Play Services e la versione Canary di Google Chrome. Per Diego Zavala, Product Manager Android e Christian Brand, Account & Security Product Manager, la pubblicazione delle passkey è stato un grande passo avanti perché “non possono essere riutilizzate, non rivelano le vulnerabilità del server e proteggono gli utenti dagli attacchi di phishing”, poiché sono sul blog degli sviluppatori Android .

Come funziona la chiave di accesso?

Con le passkey, l’utente sceglie un dispositivo, logicamente il proprio smartphone, come principale sistema di autenticazione su siti Web e app. Quando si registra o si modifica il mezzo di comunicazione, lo smartphone genera due chiavi crittografate: una chiave pubblica che viene inviata al fornitore di servizi e una chiave privata che rimane memorizzata nel telefono e consente al sito Web o all’applicazione di autenticarla. Sbloccando il dispositivo tramite il meccanismo di autenticazione dello smartphone: codice PIN, sequenza, riconoscimento facciale o impronta digitale. Per semplicità, invece di inserire una password, usa semplicemente il solito metodo di sblocco del tuo dispositivo principale. E voilà! Una passkey per smartphone può essere utilizzata anche per connettersi a un sito tramite un altro dispositivo, ad esempio un laptop. Tutto quello che devi fare è scansionare il codice QR visualizzato sul sito con il tuo smartphone. In definitiva, l’obiettivo è consentire l’utilizzo delle passkey su diverse piattaforme (Windows, macOS, ChromeOS, Android e iOS) in modo che, ad esempio, un utente del browser Chrome su Windows possa autenticarsi su un sito utilizzando una passkey memorizzata su l’iPhone.

Concretamente, su base giornaliera, l’uso delle passkey non cambia nulla per l’utente. Esistono infatti già degli standard per chiamare app o siti web che utilizzano un loro dispositivo, come confermare tramite smartphone che la connessione è da parte nostra o premendo un numero specifico apposto su di esso. Tuttavia, devi sempre effettuare il login almeno una volta con una password per poter attivare questa funzione di login. Ciò non ti impedisce di riottenere l’accesso al tuo account grazie ai tuoi identificatori, che possono quindi essere violati. Ma l’uso delle passkey solleva anche alcuni inconvenienti, specialmente quando vuoi scambiare il tuo smartphone Android con un iPhone – o viceversa – o quando il dispositivo viene rubato o rotto. Devi poi copiare manualmente le passkey sul nuovo telefono – cosa molto noiosa – oppure richiedere nuovi token di accesso a tutti i servizi, per dimostrare ogni volta la tua identità… Resta il fatto che gli sviluppatori possono testare questa semplice e sicura autenticazione su Google Chrome e sui servizi Google Gioca da novembre 2022 creando un’API che consente loro di utilizzare le passkey sulle app Android. Nel frattempo, è meglio creare una password sicura.

Fonti: scrittura e web