Passkey vs FIDO2: confronto approfondito per un'autenticazione sicura e senza password

By Mirko Peters · 2026-04-26 · Updated 2026-09-13

Confronta passkey e chiavi di sicurezza FIDO2 per un'autenticazione senza password resistente al phishing, con WebAuthn, Microsoft Entra ID, ripristino e distribuzione in azienda.

Automatically translated with AI from the original post. Read the English original

Passkey vs FIDO2 richiede una decisione chiara e pratica, basata sullo scenario d'uso, sui requisiti di sicurezza e sull'ambiente Microsoft 365. Parti dal risultato che vuoi ottenere, verifica le indicazioni Microsoft aggiornate, testa il tutto con utenti rappresentativi e documenta chi è responsabile prima di applicare l'approccio in modo esteso.

Checklist pratica per passkey vs FIDO2

• Definisci lo scenario aziendale e il responsabile.
• Valida il progetto con un pilota rappresentativo.
• Analizza le implicazioni per sicurezza, accesso e supporto.

Consulta Microsoft Learn per le indicazioni aggiornate sui prodotti.

Ultima revisione: luglio 2026.

Proteggere gli account digitali senza la seccatura, né il rischio, delle password sta diventando il nuovo standard d'oro. Se stai valutando un'autenticazione moderna per te o per la tua organizzazione, è difficile non sentir parlare di FIDO2 e passkey. Questi due termini vengono usati continuamente, ma cosa significano davvero e come si confrontano in termini di sicurezza, usabilità e necessità di distribuzione reali, soprattutto in ambienti dove Microsoft è molto presente?

Questa guida analizza gli elementi essenziali: come funzionano FIDO2 e passkey, cosa le distingue e perché stanno cambiando il modo in cui accediamo a dispositivi e servizi cloud. Troverai indicazioni pratiche su modelli di minaccia, conformità, esperienza utente e i dettagli concreti per configurare un'autenticazione senza password che funzioni davvero nel tempo. Che tu gestisca Microsoft 365, che tu segua l'IT di un'azienda o che voglia semplicemente account che i malintenzionati non possano manomettere facilmente, sei nel posto giusto.

Cosa sono FIDO2 e passkey?

FIDO2 è uno standard aperto per l'autenticazione senza password, sviluppato dalla FIDO Alliance e dal World Wide Web Consortium (W3C). Il suo scopo principale è consentire agli utenti di accedere in modo sicuro, senza password, usando la crittografia a chiave pubblica. Al centro di FIDO2 ci sono due protocolli principali: WebAuthn (per siti web e applicazioni) e CTAP (per la comunicazione con gli autenticatori, come telefoni o chiavi hardware).

Le passkey sono un'implementazione di FIDO2 pensata per essere semplice da usare. In parole semplici, una "passkey" è sostanzialmente una credenziale FIDO2 gestita per te dal sistema operativo del dispositivo, come il portachiavi iCloud di Apple, Google Password Manager o Gestione credenziali di Microsoft. Le passkey sostituiscono le password tradizionali e ti permettono di accedere sbloccando il dispositivo o usando la biometria, come Face ID, Touch ID o Windows Hello.

Ecco il punto chiave: anche se tutte le passkey si basano su FIDO2, non ogni credenziale FIDO2 viene commercializzata come "passkey". Le passkey offrono in genere comodità aggiuntive, come la sincronizzazione tra dispositivi o un ripristino semplice, ma i meccanismi crittografici che utilizzano, cioè chiavi pubbliche e private, sono gli stessi. Mentre le password tradizionali sono segreti da memorizzare, FIDO2 e passkey mantengono il segreto (la chiave privata) protetto sul dispositivo e condividono con il server solo una prova, mai la chiave stessa.

In sintesi: FIDO2 fornisce il set di strumenti standardizzato, mentre le passkey portano quel set di strumenti nella tua tasca, sul tuo laptop o nel cloud, promettendo accessi senza password e resistenti al phishing.

Eliminare le password e ottenere la resistenza al phishing

Il punto centrale di FIDO2 e delle passkey non è solo rendere l'accesso più semplice, anche se è un bel vantaggio in più. Si tratta di eliminare finalmente le password, che sono notoriamente deboli contro phishing, attacchi di riutilizzo e tentativi di indovinare per forza bruta. Con FIDO2 e passkey, l'autenticazione si basa sulla crittografia a chiave pubblica: non viene trasmessa né memorizzata alcuna password che un attaccante potrebbe rubare o ottenere tramite phishing.

Avvii l'accesso sbloccando il dispositivo, ad esempio con l'impronta digitale, il riconoscimento del volto o il PIN del dispositivo. Il dispositivo dimostra quindi, crittograficamente, di possedere la chiave privata, in un modo che funziona solo con il server corretto (detto relying party) e senza mai inviare la chiave in rete. Anche se un hacker ti inganna con un sito falso, la chiave non funziona, perché è collegata all'origine del sito reale.

Questo approccio rende praticamente obsolti gli attacchi di phishing classici, come la raccolta di credenziali tramite siti che imitano quelli originali. Non c'è una password da sottrarre e riutilizzare altrove, e gli attaccanti non possono riprodurre le credenziali intercettate, perché ogni accesso usa una nuova sfida. Anche il credential stuffing, in cui gli attaccanti usano password compromesse in violazioni per effettuare accessi di massa, è già finito in partenza con le passkey.

Le organizzazioni stanno adottando questo approccio non solo per la sicurezza tecnica, ma anche per motivi di conformità e di business. Implementando FIDO2 e le passkey, soprattutto insieme a strumenti come Microsoft Defender per Office 365 e Microsoft Purview per la governance dei dati, le aziende possono bloccare un'intera classe di attacchi basati sulle credenziali senza aggravare il carico sugli utenti.

Come funziona l'autenticazione FIDO2 sotto il cofano

Per capire perché FIDO2 è molto più sicuro dei vecchi accessi, conviene dare un'occhiata all'interno della scatola nera. Alla base, FIDO2 si basa sulla crittografia a chiave pubblica per dimostrare la tua identità a un servizio, senza mai esporre i segreti che sbloccano effettivamente i tuoi account.

Quando configuri un accesso FIDO2 (o registri una passkey), il tuo dispositivo genera una coppia di chiavi unica: una pubblica e una privata. La chiave pubblica viene inviata al servizio a cui vuoi accedere, mentre la chiave privata non lascia mai il dispositivo. Per ogni accesso, il server sfida il dispositivo a dimostrare di possedere la chiave privata, di solito firmando un valore casuale, e verifica il risultato con la chiave pubblica che ha memorizzato.

Tutto questo si basa su un archiviazione e una verifica utente strettamente controllate: la chiave privata è custodita in un enclave sicuro, accessibile solo quando sblocchi il dispositivo o fornisci i dati biometrici. È il motivo principale per cui l'adozione di FIDO2 e delle passkey sta crescendo rapidamente nei sistemi che possono imporre una sicurezza basata sull'hardware, come Microsoft Windows, Apple macOS/iOS e Android.

Nelle prossime sezioni approfondiremo i dettagli dei flussi di registrazione e autenticazione, e vedremo come le credenziali vengono protette e vincolate al dispositivo.

Flusso di registrazione e autenticazione FIDO2 spiegato

1. Registrazione: quando ti iscrivi per la prima volta a un servizio tramite FIDO2, il dispositivo crea una nuova coppia di chiavi crittografiche. La chiave pubblica viene inviata al servizio (la relying party), mentre la chiave privata resta sul dispositivo.
2. Attestazione: il dispositivo può dimostrare al servizio di essere un autenticatore legittimo fornendo un certificato di attestazione, che garantisce che la credenziale sia stata generata in hardware sicuro.
3. Autenticazione: al momento dell'accesso, il servizio invia una sfida unica. Il dispositivo firma questa sfida con la chiave privata, dopo la verifica dell'utente tramite PIN, impronta digitale o altro metodo.
4. Validazione lato server: la sfida firmata torna al server, che la verifica usando la chiave pubblica memorizzata. Se il controllo va a buon fine, l'accesso è concesso: non vengono scambiati segreti e non c'è nulla da sottrarre con il phishing.

Archiviazione sicura e vincolo al dispositivo per le passkey

• Sicurezza basata sull'hardware: le passkey e le credenziali FIDO2 sono spesso archiviate in hardware sicuro dedicato, come i Trusted Platform Module (TPM), il Secure Enclave (Apple) o il chip Titan M (Google). Questo isola le chiavi dal resto del dispositivo, rendendo gli attacchi molto più difficili.
• Autenticazione biometrica o tramite PIN: per usare la passkey è necessario sbloccarla, in genere con un metodo biometrico o il PIN del dispositivo. I dati biometrici non lasciano mai l'hardware né vengono inviati al servizio online, mantenendo private le tue caratteristiche identificative.
• Vincolo al dispositivo: la coppia di chiavi crittografiche è legata al tuo dispositivo fisico, non solo al tuo account online. Questo significa che un eventuale attaccante deve compromettere il tuo dispositivo e aggirare le protezioni locali per entrare.
• Protezioni per l'esportazione e la sincronizzazione delle credenziali: per le piattaforme che sincronizzano le passkey tra i dispositivi (come il Portachiavi di iCloud o Gestione password di Google), le credenziali sono cifrate end-to-end. Solo i tuoi dispositivi, previa autenticazione corretta, possono leggere o usare le passkey.
• Sicurezza del ciclo di vita: i dispositivi possono cancellare in modo sicuro le credenziali quando vengono ripristinati o dismessi. Le organizzazioni possono applicare l'accesso condizionale e la governance tramite soluzioni come Microsoft Entra ID e i criteri di accesso condizionale per controllare l'utilizzo delle credenziali e porre rimedio alle compromissioni.

Confronto tra passkey sincronizzate e soluzioni vincolate al software

Non tutte le passkey sono uguali. Una volta configurata l'autenticazione senza password, noterai subito differenze nel modo in cui vengono gestite le credenziali: principalmente, se sono sincronizzate tra i tuoi dispositivi tramite il cloud oppure bloccate su un singolo dispositivo. Queste scelte architetturali hanno conseguenze concrete su usabilità e rischio.

Le passkey sincronizzate, come quelle offerte da iCloud Keychain sui dispositivi Apple o da Google Password Manager su Android, consentono di accedere ai propri account su smartphone, tablet e computer, spesso con una comodità notevole. Tuttavia, questo comporta compromessi in termini di sicurezza e affidabilità, in particolare per il rischio di esposizione in caso di violazione del provider cloud o di interruzione del collegamento di sincronizzazione.

Le passkey vincolate al software, invece, risiedono interamente su un singolo dispositivo. Se vuoi passare a un nuovo dispositivo, devi trasferirle manualmente o registrarle di nuovo: a volte è un piccolo fastidio, altre volte può essere un ostacolo insormontabile per le organizzazioni che gestiscono migliaia di utenti e aggiornamenti dei dispositivi senza intervento diretto.

Di seguito analizzeremo perché questi modelli sono importanti, quali rischi comporta ciascun approccio e come scegliere quello giusto per il tuo ambiente, che tu stia proteggendo accessi personali o avviando l'adozione dell'autenticazione senza password in un'intera azienda.

Passkey sincronizzate tra dispositivi: vantaggi e rischi

• Comodità su più dispositivi: le passkey sincronizzate (come quelle di iCloud o Google Password Manager) consentono di accedere da qualsiasi dispositivo del proprio ecosistema in modo immediato, offrendo un'esperienza fluida su smartphone, tablet e laptop.
• Recupero automatizzato: hai perso un dispositivo? Le tue passkey sono comunque al sicuro e recuperabili da un altro dispositivo attendibile, il che riduce i casi di blocco dell'account e il carico di lavoro per l'assistenza.
• Rischi legati alla dipendenza dal cloud: poiché le credenziali viaggiano attraverso il cloud, anche se cifrate, il rischio aumenta in caso di violazione o interruzione del provider di sincronizzazione, rendendo la sicurezza dipendente da una terza parte.
• Ecosistemi chiusi delle piattaforme: la sincronizzazione funziona generalmente meglio all'interno dello stesso ecosistema, come quello di tutti i dispositivi Apple o tutti i dispositivi Google, e crea attriti quando gli utenti passano da iOS, Android, Windows o macOS.

Passkey vincolate al software e compromessi della sincronizzazione dei dispositivi

• Sicurezza solo locale: queste passkey sono strettamente legate a un singolo dispositivo, il che significa che nessun cloud di terze parti può esporle in caso di attacco: ideali per ambienti che richiedono un isolamento più rigoroso.
• Portabilità limitata: se cambi dispositivo, dovrai esportare, migrare o reimpostare manualmente le passkey. Questo comporta un carico di lavoro aggiuntivo, ma può ridurre la superficie di attacco.
• Recupero complesso: se il dispositivo viene smarrito o si guasta, si perdono anche le passkey locali. È essenziale prevedere un backup sicuro o procedure di recupero chiare per evitare blocchi permanenti.
• Casi d'uso adatti: le organizzazioni con esigenze di elevata garanzia o soggette a normative (pensate ai settori finanziario o pubblico) spesso preferiscono questo metodo per gli account privilegiati e i sistemi sensibili, nonostante lo sforzo operativo aggiuntivo.

Chiavi di sicurezza hardware e autenticatori esterni spiegati

Le chiavi di sicurezza hardware sono dispositivi fisici dedicati, utilizzati per l'autenticazione senza password con FIDO2 e i sistemi basati su passkey. Sono disponibili in diverse forme (di solito chiavette USB, NFC o Bluetooth) che si portano con sé sul portachiavi o si lasciano accanto alla postazione di lavoro. Tra i modelli più diffusi figurano YubiKey, SoloKey e Feitian.

Ciò che distingue le chiavi di sicurezza hardware è la loro progettazione a prova di manomissione. I segreti crittografici (le chiavi private) vengono generati all'interno del dispositivo e non ne escono mai, anche se il computer o il telefono collegato è compromesso. Questo le rende estremamente resistenti sia al phishing sia agli attacchi malware, ed è il motivo per cui sono preferite per gli account di amministratore, root o di alto valore.

A differenza delle passkey legate a una piattaforma, le chiavi hardware si basano su standard di settore come il Client to Authenticator Protocol (CTAP) per interagire con i dispositivi e con le API del browser (come WebAuthn). Questo significa che in genere possono essere usate con molti sistemi, senza essere vincolate a piattaforme Apple, Google o Microsoft, purché l'applicazione di destinazione supporti FIDO2.

Alcuni ambienti, soprattutto nei settori regolamentati o ad alto rischio, impongono l'uso di queste chiavi per motivi di conformità o per il livello di sicurezza AAL3 (il livello di garanzia più alto, come definito dal NIST SP 800-63B). Non sono così comode come le passkey sincronizzate su tutti i dispositivi, ma offrono una sicurezza di altissimo livello per i ruoli in cui una compromissione non è semplicemente un'opzione.

Ciclo di vita delle credenziali e sicurezza in ogni fase

Passare a FIDO2 e alle passkey non significa solo avere schermate di accesso migliori: significa rafforzare la sicurezza lungo tutto il ciclo di vita delle credenziali. Ogni fase, dalla creazione iniziale di una passkey fino al suo utilizzo, alla memorizzazione o alla revoca, presenta sfide e superfici di attacco diverse.

Capire questo ciclo di vita aiuta le organizzazioni a individuare dove concentrare i controlli di sicurezza e la governance. Ad esempio, la creazione delle credenziali richiede un'attestazione e un binding solidi, mentre l'uso attivo va monitorato per individuare tentativi di phishing o di compromissione del dispositivo. L'archiviazione e il backup, da sempre un punto debole con le password, possono diventare un punto di forza con credenziali legate al dispositivo ben protette o con una robusta cifratura nel cloud.

La gestione del ciclo di vita riguarda anche gli aspetti meno appariscenti ma fondamentali: rotazione, revoca e recupero dell'account. Mantenere il controllo su chi possiede quali chiavi, assicurare una pulizia ordinata quando i dipendenti lasciano l'azienda e saper reagire a dispositivi smarriti o compromessi senza bloccare la produttività fanno tutti parte di un buon piano di accesso senza password.

Negli ambienti Microsoft, integrare pratiche solide per il ciclo di vita delle credenziali si collega direttamente alle strategie più ampie di governance dei dati e di accesso, come illustrato in risorse quali Microsoft 365 Data Access Governance, dove proprietà, responsabilità e processi di revisione sono fondamentali per una collaborazione sicura.

Creazione delle credenziali, attacchi e gestione dello stato

• Creazione sicura: genera sempre le credenziali FIDO2 in keystore supportati dall'hardware, con un'attestazione solida per garantire l'autenticità dell'origine del dispositivo.
• Resistenza al phishing: i flussi di autenticazione con passkey e FIDO2 sono intrinsecamente resistenti al phishing, perché i segreti non vengono trasmessi e le sfide di firma sono uniche per ogni sessione.
• Attacchi di replay e MITM: le sfide crittografiche uniche e monouso impediscono agli attaccanti di riutilizzare le risposte intercettate o di condurre attacchi man-in-the-middle.
• Gestione dello stato: verifica regolarmente lo stato delle credenziali, revoca le chiavi non utilizzate o compromesse e mantieni un inventario aggiornato, soprattutto per gli account privilegiati o con accesso elevato.

Recupero, revoca e limiti delle credenziali

Nessun sistema è perfetto: anche le passkey e le chiavi di sicurezza più robuste possono essere smarrite, rubate o danneggiate. Pianificare il recupero e la revoca delle credenziali è fondamentale, soprattutto se stai portando il tuo team o la tua organizzazione all'autenticazione senza password su larga scala.

Quando una passkey o una credenziale FIDO2 viene smarrita, le opzioni di recupero dipendono da come è gestita. Per le passkey sincronizzate (come iCloud Portachiavi di Apple o Gestione password di Google), di solito puoi ripristinare le credenziali su un nuovo dispositivo una volta superata l'autenticazione a livello di dispositivo e i passaggi di recupero. Questo riduce al minimo i tempi di inattività, ma richiede fiducia nei meccanismi di sicurezza e di recupero del provider cloud.

Le chiavi di sicurezza introducono un livello di complessità in più: se perdi una chiave hardware, devi avere chiavi di backup registrate o procedure di override stabilite dall'amministratore. In caso contrario, potresti rimanere completamente bloccato. La revoca è gestita dal server: una volta segnalata una chiave come smarrita, la chiave pubblica viene rimossa dal tuo profilo, rendendo inutilizzabile la credenziale persa.

Dal lato negativo, affidarsi troppo alle funzionalità di backup e recupero può compromettere la sicurezza: i processi di recupero devono essere rafforzati contro l'ingegneria sociale e le minacce interne. Revisioni frequenti e automazione tramite strumenti come Microsoft Purview Audit possono aiutare le organizzazioni a monitorare l'uso delle credenziali, gli eventi di revoca e i potenziali rischi per le esigenze di conformità o di indagine forense.

In definitiva, scegliere una strategia di ripristino e revoca significa bilanciare la comodità per gli utenti con controlli solidi: non esiste una soluzione valida per tutti. Mappare gli scenari di perdita del dispositivo e distribuire soluzioni per il ripristino dell'account a più livelli è essenziale per qualsiasi implementazione seria senza password.

Passkey vs. chiavi di sicurezza: come scegliere l'opzione giusta

Quando arriva il momento di decidere, la scelta tra passkey e chiavi di sicurezza hardware dipende dal caso d'uso, dalle esigenze di comodità degli utenti e dal contesto di minaccia. Entrambe condividono una base comune (protocolli FIDO2 e crittografia a chiave pubblica), ma nell'uso quotidiano si comportano in modo molto diverso.

Le passkey danno il meglio in ambienti in cui gli utenti hanno bisogno di accedere senza interruzioni da più dispositivi: pensa agli utenti finali con smartphone, tablet, laptop e app cloud come Microsoft 365. Il loro punto di forza è la facilità d'uso: sblocchi il dispositivo e sei connesso, anche su una flotta di dispositivi personali o aziendali.

Le chiavi di sicurezza, invece, offrono il massimo livello di sicurezza, fondamentale per amministratori, utenti con privilegi elevati o chiunque non possa assolutamente correre il rischio di una compromissione. La loro portabilità le rende ideali negli scenari in cui è necessario autenticarsi da sistemi non gestiti o pubblici. Lo svantaggio: se dimentichi di portarla con te, la perdi o la rompi, ripristinare l'accesso può essere più complicato.

Nei contesti regolamentati e ad alto rischio, integrare le chiavi di sicurezza in un approccio Zero Trust (come quello descritto in Zero Trust per Microsoft 365) garantisce una verifica continua, al passo con modelli di minaccia in rapida evoluzione, riducendo al minimo l'attrito per gli utenti.

Applicazioni per le aziende e i settori regolamentati: 1Kosmos 1Key e oltre

1. 1Kosmos 1Key per un'elevata garanzia: questa soluzione offre un'autenticazione senza password conforme a FIDO2, progettata per soddisfare i rigorosi requisiti AAL3 dello standard NIST SP 800-63B. Combina verifica biometrica, attendibilità del dispositivo e fattori di autenticazione dinamici per utenti con privilegi elevati e account ad alto rischio.
2. Integrazione avanzata con l'ambiente aziendale: 1Key si integra facilmente con le piattaforme business di Microsoft, automatizzando il provisioning delle identità, la gestione del ciclo di vita degli accessi e la revoca per implementazioni cloud scalabili.
3. Conformità normativa: la piattaforma supporta mappature di conformità pronte all'uso per i settori regolamentati (finanziario, sanitario e pubblico), consentendo la verifica dell'identità, una registrazione solida e tracce di audit che soddisfano rigorosi obblighi di reporting.
4. Accesso sicuro per cittadini e dipendenti: le organizzazioni che implementano app cloud o portali rivolti ai cittadini ottengono un accesso senza password, mantenendo la verifica dell'identità e la governance e riducendo i problemi operativi legati alla perdita delle credenziali o al reset delle password.
5. Sinergia con Power Platform e la governance: integrare soluzioni come 1Key in framework di governance più ampi (come illustrato in le best practice di governance per Power Platform) aiuta ad allineare la sicurezza basata sull'identità con i criteri aziendali relativi a dati, connettori e ambienti.

Migliorare l'esperienza utente e l'autenticazione su più dispositivi

Se c'è una cosa su cui utenti e amministratori concordano, è che le password sono un vero problema. Le passkey puntano a risolverlo rendendo l'accesso semplice, intuitivo e meno stressante, soprattutto su più dispositivi e piattaforme cloud. Con le passkey non serve più ricordare frasi complesse né reimpostare la password dopo ogni campagna trimestrale di «sensibilizzazione sulla sicurezza».

Un grande vantaggio delle passkey è l'autenticazione su più dispositivi. Una volta salvate nel portachiavi del tuo account (Apple, Google o Microsoft), ottieni accessi quasi istantanei sui dispositivi collegati allo stesso ecosistema. Approvare l'accesso con una scansione del volto o un'impronta digitale non solo accelera le operazioni, ma riduce drasticamente l'attrito per gli utenti che passano da un dispositivo o da una sede all'altra.

Dal punto di vista dell'adozione, ridurre l'attrito è tutto. Molti team IT temono una reazione negativa alle policy sulle password imposte o un aumento dei ticket all'helpdesk per account bloccati. Le passkey riducono questo rischio: gli utenti non gestiscono password, stanchezza da accesso o cicli di reimpostazione. Le barriere all'adozione riguardano piuttosto la compatibilità con l'ecosistema o la configurazione iniziale dei dispositivi, aspetti che stanno migliorando rapidamente.

Le organizzazioni più lungimiranti danno priorità alle strategie di implementazione avviando un pilota con i passkey in piccoli gruppi di lavoro, raccogliendo feedback e automatizzando la registrazione dei dispositivi. In questo modo il processo resta stabile e facile da usare, senza compromessi sulla sicurezza.

Domande frequenti, passkey vs chiavi di sicurezza e sicurezza degli accessi remoti

• I passkey e le chiavi di sicurezza sono la stessa cosa? Non esattamente. I passkey sono credenziali FIDO2 digitali gestite dal tuo dispositivo o dal cloud; le chiavi di sicurezza sono dispositivi fisici che colleghi o tocchi per autenticarti. Entrambi si basano sulle stesse fondamenta crittografiche.
• Posso usare i passkey su dispositivi Apple, Google e Windows? In parte. I passkey sincronizzati funzionano al meglio all'interno di un singolo ecosistema; il supporto multipiattaforma reale esiste, ma può essere discontinuo e la compatibilità dei browser con le funzionalità FIDO2 varia.
• Qualcuno può rubarmi il passkey da remoto? A meno che il tuo dispositivo (e il relativo account cloud di backup) non sia compromesso, il furto remoto dei passkey è molto improbabile. Le chiavi non lasciano mai il dispositivo in forma non cifrata.
• I passkey sono sicuri per il lavoro da remoto e l'accesso al cloud? Sì, se abbinati a criteri per i dispositivi e a strumenti come Microsoft Defender e Purview: i passkey offrono un'autenticazione remota solida, riducendo in modo significativo il rischio di phishing, malware e furto d'identità.
• I gestori di password possono archiviare i passkey? Le versioni più recenti di gestori come 1Password, Portachiavi iCloud e Gestore password Google ora supportano i passkey. Verifica sempre la compatibilità e il supporto FIDO2/WebAuthn quando li integri nel tuo flusso di identità.

Conclusioni, confronto sulla sicurezza e raccomandazioni finali

1. Sintesi sulla sicurezza: sia i passkey sia le credenziali FIDO2 eliminano le password e le loro debolezze. I passkey vincono per facilità d'uso nella maggior parte dei casi, mentre le chiavi di sicurezza hardware restano la scelta migliore negli scenari ad alta garanzia.
2. Usabilità vs. portabilità: i passkey sincronizzati offrono accessi multi-dispositivo senza interruzioni, il che li rende ideali per l'utente medio o per un parco dispositivi aziendale. Le chiavi hardware sono portabili, ma richiedono di avere sempre a portata di mano un token fisico.
3. Strategia di implementazione: negli ambienti regolamentati, adotta una sicurezza a più livelli: combina i passkey per gli utenti generici, le chiavi di sicurezza per gli amministratori e soluzioni enterprise come 1Kosmos 1Key per i flussi di lavoro conformi ad AAL3.
4. Ciclo di vita e ripristino: pianifica i flussi di ripristino e revoca prima della migrazione: backup e audit (vedi Governance per l'IA e controllo degli accessi) sono fondamentali per evitare interruzioni o disallineamenti di conformità.
5. Prepararsi al futuro: tieni d'occhio l'evoluzione degli standard per interoperabilità e conformità, in particolare negli ambienti Microsoft 365 e Azure, per restare al passo con le nuove sfide di identità e minacce.

Prossimi passi e approfondimenti sulla sicurezza delle identità

• Documentazione Microsoft: esplora la documentazione ufficiale su FIDO2, passkey e implementazione senza password in Microsoft 365 e Azure.
• Podcast sulla sicurezza delle identità: ascolta discussioni pratiche su audit e governance in M365.fm: Auditing User Activity with Microsoft Purview.
• Guide tecniche: consulta i blog tecnici su configurazione e risoluzione dei problemi di autenticazione FIDO2 e passkey per l'ambiente enterprise su larga scala.
• Buone pratiche di conformità: studia NIST SP 800-63B e scopri come le principali soluzioni senza password si allineano ai livelli di garanzia (IAL, AAL).
• Forum della community: iscriviti a forum dedicati a sicurezza, Microsoft 365 e gestione delle identità per porre domande e condividere con i colleghi consigli tratti dall'esperienza reale.

🎧 Ascolta anche

• Identity Governance in Microsoft Entra

  Scopri le pratiche di proprietà e i controlli di accesso pratici per Microsoft 365.

• Modello operativo di governance di Microsoft 365

  Esplora le decisioni che rendono sostenibile l'adozione di una tecnologia.

• Agenti IA – Spiegati in modo semplice

  Comprendi il contesto di governance del lavoro assistito dall'IA.

Passkey vs FIDO2: indicazioni pratiche per l'enterprise

Passkey e chiavi di sicurezza FIDO2 offrono entrambe un'autenticazione resistente al phishing, ma fanno compromessi diversi su portabilità, recupero, controllo del dispositivo ed esperienza utente. Un rollout solido definisce il modello delle credenziali, il percorso di registrazione, il processo di recupero, i requisiti per gli utenti privilegiati e le eccezioni per le applicazioni legacy.

Checklist di implementazione

1. Inventaria provider di identità, browser, dispositivi e applicazioni supportate.
2. Scegli credenziali sincronizzate o legate al dispositivo per ogni profilo di rischio.
3. Registra più autenticatori prima di applicare l'obbligo.
4. Proteggi il recupero e la verifica tramite help desk.
5. Testa con un pilota gli utenti privilegiati e misura i fallimenti prima di un rollout ampio.

Errori comuni

• Imporre l'accesso senza password senza un percorso di recupero.
• Dare per scontato che ogni browser e ogni applicazione legacy supporti la stessa credenziale.
• Consentire autenticatori condivisi, che indeboliscono la responsabilità individuale.
• Ignorare il ciclo di vita dei dispositivi e le procedure per gli autenticatori smarriti.

Domande frequenti

Che cos'è una passkey?

Una passkey è una credenziale FIDO che usa la crittografia a chiave pubblica e si sblocca con un gesto sul dispositivo, un dato biometrico o un PIN locale.

Che cos'è FIDO2?

FIDO2 è lo standard di autenticazione basato su WebAuthn e sul Client to Authenticator Protocol, che consente l'accesso resistente al phishing.

Passkey e FIDO2 sono la stessa cosa?

Le passkey sono un'esperienza di credenziali semplice da usare, costruita sugli standard FIDO. FIDO2 descrive l'ecosistema tecnico più ampio e i protocolli di autenticazione.

Le passkey sono più sicure delle password?

Sì. Le passkey usano una crittografia a chiave pubblica vincolata all'origine, quindi un sito web non riceve un segreto riutilizzabile che gli attaccanti possano rubare o riprodurre.

Le passkey sono resistenti al phishing?

Sì, se implementate correttamente. La credenziale è vincolata all'origine del sito legittimo e non rivela una password a una pagina di phishing.

Una YubiKey è una passkey FIDO2?

Una YubiKey può memorizzare credenziali FIDO2 e funzionare come chiave di sicurezza. Il fatto che venga chiamata passkey dipende dalla credenziale e dalla terminologia del prodotto.

Le passkey sono più sicure di una YubiKey?

Nessuna delle due è universalmente più sicura. Le passkey sincronizzate migliorano il recupero e la facilità d'uso, mentre le chiavi legate all'hardware offrono un forte controllo del dispositivo e una maggiore separazione.

Che cos'è una passkey sincronizzata?

Una passkey sincronizzata viene salvata tramite un gestore di credenziali approvato o un ecosistema di piattaforma, così può essere disponibile su più dispositivi.

Che cos'è una passkey legata al dispositivo?

Una passkey legata al dispositivo resta su un solo autenticatore o dispositivo e non viene sincronizzata con un'altra piattaforma.

FIDO2 sostituisce completamente le password?

Può sostituire le password per le applicazioni supportate, ma le organizzazioni hanno comunque bisogno di strategie per il recupero, l'autenticazione legacy e il ciclo di vita degli account.

Microsoft Entra ID supporta le passkey?

Microsoft Entra ID supporta le chiavi di sicurezza FIDO2 e le opzioni di autenticazione correlate alle passkey, in base alla configurazione del tenant e alle funzionalità attuali del servizio.

Che rapporto c'è tra WebAuthn e le passkey?

WebAuthn è l'API del browser e della piattaforma che consente a siti web e provider di identità di creare e usare credenziali a chiave pubblica.

Che cosa succede se un utente perde il dispositivo con la passkey?

L'utente ha bisogno di un altro autenticatore registrato o di un metodo di recupero approvato. Le aziende dovrebbero registrare più autenticatori prima di imporre l'accesso senza password.

Le passkey possono essere usate su più dispositivi?

Le passkey sincronizzate possono essere disponibili su più dispositivi supportati, mentre le credenziali legate al dispositivo richiedono una registrazione su ciascun autenticatore.

Le passkey possono essere condivise tra utenti?

No. Le credenziali dovrebbero rappresentare una sola persona o un'identità di carico di lavoro approvata. Gli autenticatori condivisi indeboliscono la responsabilità individuale.

Le passkey proteggono dal replay delle credenziali?

Sì. La chiave privata resta sull'autenticatore e ogni autenticazione include una sfida che impedisce il replay semplice.

Una passkey può essere rubata?

Un attaccante può rubare il dispositivo, ma la credenziale è normalmente protetta da un fattore di sblocco locale e non espone una password riutilizzabile.

Che cos'è l'autenticazione senza password?

L'autenticazione senza password verifica l'utente tramite un autenticatore crittografico, dati biometrici, un PIN o una chiave di sicurezza, invece di una password memorizzata.

Quali sono gli svantaggi delle passkey?

Le sfide riguardano il recupero, l'interoperabilità tra piattaforme, gli scenari con dispositivi condivisi, le applicazioni legacy e la comprensione del funzionamento da parte degli utenti durante il rollout.

Come devono gestire il recupero delle passkey le aziende?

Richiedi più autenticatori, definisci la verifica tramite help desk, proteggi i metodi di recupero e monitora gli eventi di registrazione e reimpostazione.

Le passkey funzionano con i dispositivi mobili?

Sì. I sistemi operativi mobili supportati possono creare o usare le passkey tramite autenticatori della piattaforma o chiavi di sicurezza esterne.

Le passkey funzionano su più browser?

Il supporto dipende dal browser, dal sistema operativo, dal provider di identità e dal tipo di credenziale. Verifica i percorsi utente previsti prima del rollout.

Le passkey sono adatte agli amministratori?

Sì. Sono particolarmente utili per gli utenti privilegiati, che dovrebbero usare un'autenticazione resistente al phishing e identità amministrative separate.

In che modo le passkey influiscono sull'accesso condizionale?

Possono soddisfare i requisiti di autenticazione avanzata quando il provider di identità riconosce l'autenticatore e le condizioni del criterio sono soddisfatte.

Come vanno distribuite le passkey?

Inizia con gli utenti privilegiati e quelli ad alto rischio, definisci il ripristino, esegui un pilota con dispositivi rappresentativi, poi estendi l'adozione con metriche di registrazione e di supporto.

Cosa va monitorato dopo la distribuzione?

Monitora le registrazioni, gli errori di autenticazione, gli eventi di ripristino, le elusioni dei criteri, il volume di richieste all'help desk e il rischio di accesso.

Le passkey eliminano l'MFA?

Una passkey può offrire un'esperienza di autenticazione a più fattori resistente al phishing quando combina il possesso dell'autenticatore con un fattore di sblocco locale.

Le passkey possono proteggere gli account di servizio?

Le passkey degli utenti non sostituiscono l'identità dei carichi di lavoro. Per i servizi usa identità gestite, certificati o altre credenziali non umane appropriate.

Qual è il principale vantaggio per le aziende?

Il vantaggio principale è ridurre il rischio di phishing e di reimpostazione delle password, migliorando al tempo stesso la sicurezza dell'accesso e l'esperienza utente.

Qual è il primo passo per l'implementazione?

Inventaria applicazioni e utenti, verifica il supporto del provider di identità, definisci il ripristino ed esegui un pilota con un piccolo gruppo prima di imporre l'accesso senza password.

Esplora le risorse correlate di M365.fm: M365.fm Learning Hub, Microsoft 365 governance checklist e Microsoft Copilot security model.