L'autenticazione senza password è davvero sicura?

⚠️ Disclaimer

Questo articolo è destinato esclusivamente a scopi educativi e di sensibilizzazione. Esplora le opportunità e le sfide di sicurezza in continua evoluzione dell’autenticazione senza password e delle passkey, per aiutare le organizzazioni a prendere decisioni informate in materia di cybersecurity. Non è inteso a promuovere l’uso improprio o lo sfruttamento delle tecnologie di autenticazione.

La Fine delle Password... o Semplicemente l’Inizio di una Nuova Guerra per l’Identità?

Per decenni, una piccola casella si è frapposta tra la tua identità e tutti coloro che cercavano di rubarla.
Password: __________
L'abbiamo digitata milioni di volte.
Ha protetto i sistemi di time-sharing negli anni '60, le email negli anni '90, i conti bancari negli anni 2000 e oggi l'intero cloud.
La logica era semplice: se conosci il segreto, sei chi dici di essere.
Quell'unica idea è diventata il fondamento della fiducia digitale.
Poi abbiamo deciso che non era più sufficiente.
Abbiamo costruito qualcosa di meglio. Qualcosa senza segreti condivisi. Nulla da ricordare. Nulla da rubare.
Passkey.
Per molti, sembrava la fine di una guerra. Più veloci. Più semplici. Impossibili da usare per il phishing.
Ma ogni evoluzione nella sicurezza cambia più della tecnologia.
Cambia l'attaccante.
Non abbiamo eliminato gli attacchi all'identità. Li abbiamo spostati.
Le passkey hanno protetto così bene la porta d'ingresso che gli attaccanti hanno smesso di attaccare la porta d'ingresso.
Ora stanno entrando dalle finestre - le tue sessioni, i tuoi token, i tuoi dispositivi e i tuoi processi di recupero.
E questa volta, non c'è alcuna password da rubare.
Perché sei tu la password.

Quando la Fiducia Digitale Supera le Password

Le password non hanno fallito.
Il mondo ha semplicemente superato il modello di fiducia su cui erano costruite.
Per decenni, un segreto ha risposto a una sola domanda: "Ci si può fidare di questa persona?"
E per decenni, la risposta è stata sì. Funzionava.
Il problema non era la password. Era ciò che le chiedevamo di proteggere.
Un'unica identità ha iniziato ad aprire cinquanta porte. Un unico login ha iniziato a proteggere email, cloud, conti bancari, Salesforce e dati dei clienti.
Ogni nuova app ha ampliato la portata di un'unica identità. Ogni migrazione al cloud ha aumentato il valore di un unico login.
Una password progettata per proteggere un singolo account ora proteggeva l'intera azienda.
Gli hacker hanno capito questo cambiamento prima di noi.
Perché cercare una vulnerabilità del software quando un'identità rubata ti dà accesso legittimo?
Perché forzare l'ingresso quando puoi semplicemente accedere?
Abbiamo risposto con politiche più rigorose, gestori di password e autenticazione a più fattori (MFA). Ogni livello ha contribuito. Ma ogni livello si basava ancora sulla stessa cosa: un segreto condiviso.

Alla fine, questo presupposto è crollato.
La domanda è passata da "Come possiamo creare password più sicure?" a "Può esistere la fiducia senza password?"

Da questa domanda sono nate le passkey.

Reinventare l'Autenticazione: L'Ascesa delle Passkey

L'Industria ha Smesso di Risolvere le Password

Per decenni, la cybersecurity ha continuato a costruire muri più forti attorno alla stessa fondamenta debole: la password.
Regole più rigide. Gestori di password. MFA. Reimpostazioni infinite.
Ma il segreto è rimasto un segreto - qualcosa che gli attaccanti potevano ancora rubare.
Alla fine, l'industria ha smesso di chiedere “Come proteggiamo le password?”
Ha posto una domanda più radicale:
“E se smettessimo di usarle?”

La svolta FIDO

La FIDO Alliance ha preso sul serio questa idea.
Invece di dimostrare l'identità condividendo un segreto, l'approccio di FIDO utilizza la crittografia a chiave pubblica per dimostrare che un autenticatore autorizzato possiede la credenziale corretta - senza esporre la credenziale stessa.
Chiave privata: rimane protetta.
Chiave pubblica: verifica la prova.
Era un modo fondamentalmente diverso di pensare alla fiducia digitale.

Dallo Standard al Mainstream

FIDO2 e WebAuthn hanno fornito a questo approccio una base comune per siti web, browser, dispositivi e applicazioni.
Poi le più grandi piattaforme del settore lo hanno portato nel mainstream.

Quando Apple, Google e Microsoft hanno cambiato l'equazione

Le passkey avevano bisogno di qualcosa di più della crittografia avanzata. Avevano bisogno di scalare.
Apple ha integrato profondamente le passkey nel proprio ecosistema di dispositivi.
Google ha ampliato il supporto alle passkey negli Account Google e nei suoi servizi più ampi.
Microsoft ha portato l'autenticazione tramite passkey nel proprio ecosistema di identità e negli ambienti aziendali.
I gestori di password e le piattaforme di identità hanno seguito l'esempio, trasformando le passkey da uno standard emergente in un modello di autenticazione pratico.
Il cambiamento non era più teorico.
L'industria aveva smesso di chiedere come rafforzare le password - e aveva iniziato a costruire un mondo senza di esse.

Dietro la Passkey: Cosa Succede Quando Tocchi “Accedi”?

Dall'esterno, un accesso con passkey sembra quasi troppo semplice.
Guarda lo schermo.
Tocca il sensore.
Sei dentro.

Ma dietro quel singolo tocco, la password è stata sostituita da qualcosa di fondamentalmente diverso: una prova crittografica che non richiede mai di consegnare la credenziale stessa.

Prima ancora di autenticarti, il dispositivo crea qualcosa che il server non potrà mai conservare.

Quando crei una passkey, il tuo autenticatore genera una coppia di chiavi matematicamente collegate.
🔐 Chiave privata - protetta dal tuo dispositivo o autenticatore.
🔑 Chiave pubblica - registrata presso il servizio.

La chiave privata è ciò che crea la prova.
La chiave pubblica è ciò che la verifica.

Poi Torni per Effettuare l'Accesso - Ecco Come Appare Realmente un Singolo Accesso con Passkey

Il servizio non chiede: "Qual è la tua password?" Invece, invia al tuo dispositivo una nuova sfida crittografica associata alla sua origine reale e valida una sola volta.

Questa è la prospettiva forense che la maggior parte dei blog non mostra:

Figura 1: Come funziona un accesso con passkey - sfida legata all'origine, verifica biometrica locale e firma con chiave privata. Il phishing fallisce al controllo dell'origine.

Il tuo dispositivo ti chiede di verificare localmente la tua identità tramite riconoscimento facciale, impronta digitale o PIN. Questa verifica non invia i tuoi dati biometrici al sito web, ma autorizza semplicemente l'autenticatore a utilizzare le credenziali protette. La chiave privata firma quindi la richiesta di autenticazione. La chiave privata rimane protetta. Solo la prova di autenticazione viene trasmessa.

Perché il phishing è improvvisamente diventato molto più difficile

Una password può essere digitata in una pagina di accesso falsa.
Una passkey non è semplicemente un segreto in attesa di essere copiato.
Poiché il processo di autenticazione è vincolato all'origine del sito web legittimo, l'autenticatore è progettato per produrre la prova appropriata per quell'origine, invece di consegnare semplicemente una credenziale a un'imitazione convincente.
L'utente non rivela il segreto.
Il dispositivo dimostra di esserne in possesso.
Ecco perché le passkey sono resistenti al phishing.
E per la prima volta, il tradizionale attacco all'identità inizia con un problema:
Non c'è alcuna password da rubare.
La porta d'ingresso è diventata notevolmente più difficile da violare.
Quindi, cosa succede quando gli attaccanti smettono di cercare di entrare dalla porta d'ingresso?

Cosa Risolvono le Passkey - E Cosa Non Risolvono

La Realtà Dietro l'Autenticazione Senza Password

Le passkey spezzano l'equazione:
Rubare la password → Ottenere l'accesso. Non esiste alcun segreto riutilizzabile da rubare

Poi gli aggressori si sono adattati

Le Passkey Non Hanno Eliminato gli Attacchi all'Identità - Li Hanno Cambiati

Le passkey hanno eliminato una delle più grandi debolezze nell'autenticazione: la password riutilizzabile.
Ma la sicurezza dell'identità non termina quando l'autenticazione ha esito positivo. Un accesso riuscito crea qualcosa di ancora più prezioso di una password.
Fiducia.

Le applicazioni moderne devono ricordare che un utente ha già dimostrato la propria identità. Lo fanno attraverso sessioni, token, dispositivi affidabili e sistemi di identità. Ed è proprio qui che gli attaccanti stanno spostando la loro attenzione.
Non stanno più cercando soltanto di violare il processo di autenticazione. Stanno prendendo di mira tutto ciò che accade dopo l'autenticazione.

Ed è proprio questo che crea un singolo accesso perfetto con passkey - il nuovo campo di battaglia:

Figura 2: Esplosione della fiducia post-autenticazione. Un singolo login con passkey crea: MFA valida 8h, cookie M365, token OAuth 90 giorni, dispositivo affidabile 365 giorni, sessione IdP per 50+ app SaaS.

Non abbiamo eliminato i segreti. Li abbiamo spostati dalla tua memoria al tuo browser, alla cache dei tuoi token e al registro dei tuoi dispositivi. Siamo passati dalla sicurezza delle password alla sicurezza dell'identità.

Il nuovo obiettivo:

Approccio precedente: Rubare la credenziale → Accedere come l'utente
Nuovo approccio: Rubare la sessione affidabile → Agire come l'utente

Ed è qui che stanno attaccando:

1. Hijacking delle Sessioni del Browser - Rubare l'Accesso Dopo il Login

Un accesso riuscito crea una sessione autenticata, quindi non è necessario autenticarsi nuovamente a ogni clic. Questa sessione diventa il nuovo obiettivo di alto valore.

Prova nel mondo reale: Infostealer come LummaC2, Redline e Vidar ora rubano specificamente i cookie di sessione M365. Nel 2024, Microsoft ha riferito che il furto dei cookie di sessione ha superato il furto delle password, diventando il principale attacco all'identità. Questi cookie vengono venduti su Telegram per 10 $, e gli attaccanti li inseriscono nel proprio browser per accedere con l'MFA già soddisfatta.Nessuna passkey necessaria.

4. Compromissione di un Dispositivo Affidabile - Quando il Dispositivo Diventa l'Identità

In un mondo senza password, il dispositivo memorizza le passkey, esegue la verifica biometrica e mantiene lo stato di affidabilità per 365 giorni in Entra ID. Sicurezza del dispositivo = Sicurezza dell'identità.

Prova nel mondo reale: Nel 2024, una grande organizzazione sanitaria statunitense aveva un iPad personale di un'infermiera (BYOD) contrassegnato come “Affidabile”. Un malware sull'iPad ha sottratto l'Entra PRT (Primary Refresh Token). L'attaccante ha ereditato tutta la fiducia e ha avuto accesso alle cartelle cliniche di Epic per 6 mesi senza mai interagire con una passkey.

5. Attacchi alla Registrazione dei Dispositivi - Sfruttare il Processo di Configurazione

Le organizzazioni devono consentire l'aggiunta di nuovi dispositivi. Ogni processo di registrazione rappresenta un punto decisionale di sicurezza.

Prova nel mondo reale: Il playbook di Scattered Spider:

Passo 1 - Rubare una sessione di breve durata tramite un trucco rivolto all'helpdesk.

Passo 2 - Registrare il proprio dispositivo come “iPhone 14 di John” in Entra ID.

Quel dispositivo non autorizzato rimane considerato affidabile per 365 giorni anche dopo la scadenza della sessione originale. È così che sono passati da un singolo utente all'accesso all'intero dominio nel caso MGM.

6. Abuso del Recupero dell'Account - La Porta Alternativa

Il recupero è l'anello più debole. Se gli attaccanti non riescono a violare una passkey, prendono di mira il recupero.

Prova nel mondo reale: MGM Resorts & Caesars 2023 - La Chiamata all'Helpdesk da 100 Milioni di Dollari. Scattered Spider ha individuato un dipendente di MGM su LinkedIn e ha convinto l'helpdesk di essere quella persona. Il supporto è stato quindi manipolato per modificare il processo di autenticazione dell'account, aprendo la strada all'accesso dell'attaccante.

Il bersaglio non era la crittografia. Era il processo di recupero dell'identità.

Il risultato fu un attacco che paralizzò parte delle operazioni di MGM per giorni e che la società stimò avere un impatto di circa 100 milioni di dollari.

Nello stesso periodo, Caesars Entertainment subì un attacco di social engineering attraverso un fornitore esterno di supporto IT. Gli aggressori ottennero una copia del database del programma fedeltà, contenente anche dati sensibili dei membri. Caesars dichiarò di aver pagato circa 15 milioni di dollari di riscatto.

Mandiant ha associato Scattered Spider a campagne che hanno colpito oltre 100 organizzazioni, caratterizzate dall'uso intensivo del social engineering.

La lezione è semplice:

puoi rendere estremamente difficile rubare una credenziale.

Ma se il processo che permette di recuperarla, sostituirla o registrare un nuovo fattore non verifica davvero l'identità dell'utente, l'attaccante può provare ad aggirare proprio quel processo.

7. Attacchi al Provider di Identità - Prendere di Mira l'Autorità di Fiducia

Le aziende dipendono da IdP centralizzati come Entra ID e Okta per controllare oltre 50 app SaaS. Comprometti l'IdP, controlli l'intero ecosistema.

Prova nel mondo reale: Il CSO di Okta, David Bradbury, ha confermato nell'ottobre 2023 che 5 dei clienti enterprise di Okta, tra cui MGM e Caesars, erano stati violati tramite ALPHV e Scattered Spider, che prendevano di mira i loro processi IdP. Nel 2022, Lapsus$ ha compromesso i sistemi di supporto di Okta per prendere di mira i suoi clienti. Una violazione dell'IdP = 50 app SaaS compromesse.

8. Malware sugli Endpoint - Compromettere l'Ambiente Intorno all'Identità

Le passkey proteggono il momento dell'autenticazione, ma non proteggono un dispositivo compromesso

Prova nel mondo reale: L'aggiornamento del 2024 dell'infostealer LummaC2 ha aggiunto la “Passkey Bypass Mode” - non ruba la passkey, aspetta che tu la utilizzi e poi ruba i token post-autenticazione dalla cartella Local App Data di Chrome. L'obiettivo è cambiato da “rubare la password” a “operare all'interno dell'ambiente affidabile dell'utente, dove l'MFA è già stata soddisfatta”.

9. Ingegneria Sociale - Attaccare la Fiducia Umana

La tecnologia ha cambiato l'autenticazione, ma gli esseri umani rimangono gli stessi.

Prova nel mondo reale: Nel 2024, il 62% degli attacchi all'identità analizzati da Microsoft ha coinvolto il consent phishing. Gli attaccanti inviano falsi prompt come “La registrazione della tua riunione Teams è pronta” o “DocuSign: verifica l'NDA”. L'utente fa clic su Allow, concedendo Mail.Read + Files.ReadWrite.All + offline_access. Nessun malware necessario, solo la fiducia umana.

10. Minacce Interne - Quando l'Accesso Legittimo Diventa il Rischio

Le passkey dimostrano chi sei, non cosa dovresti fare.

Prova nel mondo reale: Nel 2023, Tesla ha fatto causa a un ex dipendente che ha utilizzato un accesso legittimo per esfiltrare 75.000 record dei dipendenti e codice sorgente. L'account era pienamente conforme, disponeva di MFA e passkey, ma aveva privilegi eccessivi e nessun monitoraggio del comportamento. La domanda non è più “È valido?” ma “Questa identità si sta comportando come previsto?”

Quindi, l'Autenticazione Senza Password è Davvero Sicura?

Sì - ma non perché faccia scomparire il rischio per l'identità.

Le passkey migliorano fondamentalmente il livello di autenticazione. Eliminano le password riutilizzabili, rendono il phishing tradizionale molto più difficile ed eliminano molti degli attacchi basati sulle credenziali rubate.

Ma l'autenticazione è solo il momento in cui viene stabilita la fiducia.

Ciò che accade dopo è altrettanto importante.

Un utente può autenticarsi in modo sicuro e continuare a operare da un dispositivo compromesso. Una sessione attiva può comunque essere utilizzata impropriamente. Un'applicazione affidabile può comunque avere accessi eccessivi. Un processo di recupero può comunque diventare un punto debole.

Questo crea un'importante distinzione:

Autenticazione sicura diversa da Identità sicura.

Le passkey possono rendere la porta d'ingresso significativamente più difficile da violare.
Non proteggono automaticamente tutto ciò che si trova dietro di essa.

Ed è qui che inizia la vera sfida aziendale:

Se la password è scomparsa, ci si può fidare dell'intero ecosistema di identità che la circonda?

La risposta dipende da molto più del solo metodo di autenticazione.

Passwordless nel Mondo Reale: La Realtà Aziendale

Le passkey rendono il login più sicuro. Ma un'azienda non è mai solo una schermata di login.

Dietro ogni tocco ci sono dispositivi BYOD che non controlli, collaboratori che necessitano di un accesso temporaneo, applicazioni legacy che non possono ancora funzionare senza password e helpdesk che possono reimpostare tutto.

La sfida passa da "L'utente si è autenticato?" a "Possiamo fidarci continuamente del dispositivo, della sessione e del comportamento che li circonda?"

Il passwordless non è una funzionalità che si attiva. È un ciclo di vita dell'identità che devi governare.

La password può scomparire dalla schermata di login. La responsabilità di proteggere l'identità no.

Perché le Organizzazioni Stanno Passando all'Autenticazione Senza Password

Se le passkey non fermano ogni attacco, perché tutti le stanno adottando?

Perché le password hanno già fallito.

Abbiamo trascorso 30 anni chiedendo agli esseri umani di ricordare 100 segreti unici e di non riutilizzarli mai. Gli attaccanti dovevano semplicemente aspettare che fossimo umani.

1. Sicurezza: Nessuna password significa nessun database da violare, nessuna credenziale da utilizzare per il credential stuffing e nessun segreto da usare per il phishing. Non applichi una patch al rischio, lo elimini.

2. Operatività: Un singolo reset della password costa in media 70 $. Le passkey eliminano questo costo ricorrente e la frizione quotidiana per gli utenti.

3. Strategia: L'identità è il tuo nuovo perimetro. Non puoi proteggere 100 password distribuite su 50 app SaaS, ma puoi proteggere un dispositivo, una sessione e un token. Le passkey costringono gli attaccanti a passare dal phishing economico agli attacchi rumorosi agli endpoint, dove puoi effettivamente rilevarli.

La Soluzione: Dall'Autenticazione Sicura alla Resilienza dell'Identità

Le passkey hanno risolto il modo in cui viene stabilita la fiducia. La prossima sfida è come viene mantenuta la fiducia.

Se la tua strategia termina con "Abbiamo abilitato le passkey", hai protetto solo 5 secondi di una sessione di 8 ore. Gli attaccanti vivono nelle restanti 7 ore, 59 minuti e 55 secondi.

Ecco come le organizzazioni leader stanno colmando il divario post-passkey:

1. Proteggere Ciò che Accade DOPO il Login

Le passkey sono inutili se un cookie rubato rimane valido per 8 ore.

• Applicare la Continuous Access Evaluation (CAE): Revocare immediatamente le sessioni quando il rischio cambia - la posizione dell'utente cambia, la conformità del dispositivo diminuisce o il token viene riutilizzato da un nuovo Paese.

• Ridurre la Durata della Fiducia: Non consentire ciecamente "MFA soddisfatta per 8 ore" o "Dispositivo affidabile per 365 giorni". Renderlo basato sul rischio. Azione ad alto rischio? Nuova autenticazione con passkey.

• Associare i Token al Dispositivo: Implementare il Token Binding e DPoP in modo che un cookie o un token rubato da Telegram sia inutile sul dispositivo dell'attaccante.

2. Proteggere il Dispositivo che Contiene le Chiavi

In un mondo senza password, il dispositivo È l'identità.

• Nessuna Conformità = Nessun Accesso: Se l'EDR è disattivato o la crittografia del disco è disabilitata, bloccare l'accesso anche se la passkey è valida. La passkey dimostra CHI sei, la conformità del dispositivo dimostra SE dovresti essere considerato affidabile.

• Monitorare la Registrazione dei Nuovi Dispositivi: Generare un avviso ogni volta che un nuovo dispositivo viene contrassegnato come affidabile in Entra ID / Okta. L'intero playbook di Scattered Spider fallisce se disponi di un flusso di approvazione per "Aggiungi nuovo dispositivo".

3. Proteggere il Recupero - La Backdoor che Hai Dimenticato

La porta d'ingresso più sicura fallisce se la porta sul retro è fatta di compensato.

• Trattare il Recupero Come un Login: L'helpdesk deve richiedere verifica video, approvazione del responsabile e number matching - non semplicemente "Qual è il tuo ID dipendente?"

• Monitorare il Recupero Privilegiato: Ogni reimpostazione della password/passkey tramite helpdesk per un account amministratore dovrebbe generare un avviso di alta gravità al SOC.

4. Proteggere le Autorizzazioni, Non Solo l'Autenticazione

Le passkey dimostrano chi sei, non a cosa dovresti avere accesso.

• Ridurre la Proliferazione di OAuth: Bloccare offline_access per impostazione predefinita. Controllare ogni app con Mail.Read o Files.ReadWrite.All. Se gli utenti hanno approvato una falsa app DocuSign 6 mesi fa, questa sta ancora leggendo le loro email oggi.

• Monitoraggio Comportamentale: Smettere di chiedere solo "Questo login è valido?" Iniziare a chiedere "Questa identità si sta comportando come previsto?" - Perché un dipendente delle Risorse Umane sta scaricando codice sorgente alle 2 di notte da un nuovo dispositivo?

Il Cambiamento Finale di Mentalità

Oltre la passkey - NG Security contribuisce a proteggere la fiducia che la circonda

Le passkey possono proteggere il modo in cui un’identità accede all’organizzazione.

Ma la sicurezza dell’identità non si ferma al login.

Dispositivi. Sessioni. Applicazioni. Token. Privilegi. Recupero.

Questi sono i livelli in cui la fiducia continua a esistere - e dove gli aggressori possono cercare quando la password non c’è più.

NG Security Aiuta le Organizzazioni a:

• Identificare le debolezze nell’identità e nell’autenticazione
• Valutare la sicurezza degli ambienti Passwordless e di identità
• Proteggere gli endpoint, le sessioni e i percorsi di accesso
• Rafforzare la governance delle identità e i controlli di accesso
• Grazie al Proprio SOC monitorare le attività sospette relative alle identità e le minacce emergenti
• Migliorare il recupero e la resilienza complessiva dell’identità

Perché andare oltre le password è solo il primo passo.

Il vero obiettivo è proteggere l’intero ecosistema di identità che le sostituisce.

Le password possono scomparire. La fiducia rimane. NG Security aiuta le organizzazioni a mantenere sicura quella fiducia.

Conclusione: Abbiamo Eliminato la Password. Gli Attaccanti Hanno Semplicemente Cambiato Obiettivo.

La porta d’ingresso è finalmente inattaccabile.

Nessuna password da rubare. Nessun database da violare. Nessuna pagina di login falsa che possa ingannare una passkey. Per la prima volta in 30 anni, l’autenticazione ha finalmente vinto.

Quindi, gli attaccanti hanno smesso di attaccare l’autenticazione.

Ora rubano la tua sessione attiva per 10 dollari su Telegram. Chiamano il tuo helpdesk e diventano te. Ti inducono a cliccare su "Consenti" in un’app DocuSign falsa e rimangono nella tua casella di posta per 90 giorni.

MGM ha perso 100 milioni di dollari non a causa di un attacco alla password, ma a causa di una telefonata all’helpdesk.

Questa è la nuova guerra dell’identità.

Il passwordless non è la fine degli attacchi. È la fine delle scuse facili.

Il futuro della sicurezza non consiste nel chiedere "Qual è la tua password?" una volta.

Consiste nel chiedere, ogni minuto:

Chi sei? Sei su un dispositivo sicuro? Dovresti davvero farlo?

Le passkey possono proteggere la porta d’ingresso.

NG Security protegge tutto ciò che c’è dietro.

Trasformiamo il passwordless da un semplice aggiornamento del login in Identity Resilience, proteggendo le tue sessioni, i dispositivi, i token, i flussi di recupero e i privilegi, affinché sia più difficile rubare la fiducia.

Pronto a proteggere ciò che viene dopo la passkey?

→ Parla con NG Security: https://www.ngsecurity.it/

Perché la strategia più forte non consiste semplicemente nell’eliminare le password. Consiste nel rendere l’intero ecosistema della tua identità impossibile da rubare.