La guida definitiva all'autenticazione senza password in Microsoft 365

By Mirko Peters · 2026-08-27

Bentornati, ascoltatori e lettori! Se hai seguito il nostro ultimo episodio del podcast, sai che ci siamo immersi in uno dei temi di sicurezza informatica più urgenti del nostro tempo: l'eliminazione della tradizionale password. In questo articolo di approfondimento riprendiamo quel discorso e ci rimboccheremo le maniche per offrirti un piano dettagliato e molto pratico per dismettere le password

Automatically translated with AI from the original post. Read the English original

Titelbild: The Ultimate Guide to Passwordless Authentication in Microsoft 365

Diciamolo chiaramente: le password sono strutturalmente inadeguate. Anno dopo anno, le violazioni di dati confermano che le credenziali rubate, deboli o riutilizzate restano il principale vettore degli attacchi informatici. Le campagne di phishing sono diventate così sofisticate che anche i dipendenti più attenti possono occasionalmente cadere nella trappola. Entra in scena l'era dello Zero Trust. In un'architettura Zero Trust operiamo secondo il principio «mai fidarsi, verificare sempre». Non è possibile raggiungere una vera postura Zero Trust continuando a contare su una stringa segreta di caratteri che gli utenti scrivono sui post-it, riutilizzano su più siti o consegnano facilmente a un attaccante furbo su una falsa pagina di accesso.

Per fortuna, Microsoft 365 offre una solida suite di metodi di autenticazione senza password. Passando la tua organizzazione dalle password, riduci drasticamente la superficie d'attacco, elimini il furto di credenziali e, paradossalmente, migliori anche l'esperienza degli utenti. Niente più reimpostazioni della password che sottraggono tempo al helpdesk e niente più dipendenti esasperati bloccati fuori dai propri account il lunedì mattina. Esploriamo insieme il toolkit e vediamo come implementare un'azienda senza password in modo fluido e continuo.

Comprendere il toolkit senza password di Microsoft 365

Prima di entrare nelle strategie di distribuzione, mappiamo le armi del nostro arsenale. Microsoft Azure Active Directory (oggi noto come Microsoft Entra ID) supporta diversi meccanismi principali per l'autenticazione senza password. Ognuno si rivolge a un profilo utente, a una postura del dispositivo e a un caso d'uso aziendale leggermente diversi.

Innanzitutto, abbiamo Windows Hello for Business. È lo standard di riferimento per i dispositivi aziendali Windows dedicati. Sostituisce le password con un'autenticazione a due fattori robusta, basata su una credenziale specifica del dispositivo, legata a un dato biometrico (come un'impronta digitale o il riconoscimento facciale) oppure a un PIN. La chiave privata non lascia mai l'hardware del dispositivo, rendendola immune alle violazioni lato server.

In secondo luogo, abbiamo le chiavi di sicurezza FIDO2 e le passkey. Si tratta di token hardware (come una YubiKey) o di passkey basate sulla piattaforma che utilizzano standard aperti sviluppati dalla FIDO Alliance. Sono resistenti al phishing per progettazione, perché il meccanismo crittografico di challenge-response garantisce che una credenziale possa essere usata solo sul dominio esatto per cui è stata registrata. Se un utente finisce su un sito di phishing, la chiave si rifiuta di firmare.

In terzo luogo, abbiamo l'app Microsoft Authenticator. Per le organizzazioni con lavoratori che usano prevalentemente il mobile, scenari BYOD (Bring Your Own Device) o ambienti ibridi, la corrispondenza dei numeri tramite l'app Authenticator offre un'esperienza di notifica push senza attriti, che costringe gli utenti a verificare la propria identità in modo sicuro e rapido.

Infine, abbiamo il Temporary Access Pass (TAP). Pur non essendo un metodo di accesso di uso quotidiano, il TAP è il ponte fondamentale che consente di integrare nuovi utenti, recuperare account bloccati o predisporre nuovo hardware senza mai dover emettere una password legacy temporanea e insicura.

Implementare Windows Hello for Business sugli endpoint aziendali

Se la tua organizzazione si affida in larga misura a dispositivi Windows 10 e Windows 11, Windows Hello for Business (WHfB) dovrebbe essere il pilastro portante del percorso verso l'assenza di password. La distribuzione di WHfB richiede un'attenta pianificazione relativa alle autorità di certificazione e ai modelli di trust cloud o key trust, ma il risultato ripaga ampiamente lo sforzo.

Quando implementi WHfB, hai due modelli di distribuzione principali tra cui scegliere: Cloud Trust e Hybrid Key Trust. Per le organizzazioni moderne orientate al cloud, il modello Microsoft Entra Cloud Trust è davvero una svolta. Semplifica l'architettura di distribuzione eliminando la dipendenza dalla sincronizzazione dell'infrastruttura a chiave pubblica (PKI) con i controller di dominio. L'autenticazione avviene invece direttamente nel cloud, sfruttando le estensioni del protocollo Kerberos.

Per iniziare, configura il criterio di Windows Hello for Business tramite Microsoft Intune. Vai ai criteri di sicurezza degli endpoint e verifica che siano impostati i requisiti di complessità del PIN, che i metodi biometrici siano abilitati e che le funzionalità antispoofing siano attive, dove supportate dall'hardware del dispositivo. Dovresti anche stabilire se gli utenti devono usare un modulo di sicurezza hardware (per una sicurezza di livello enterprise il TPM 2.0 è obbligatorio).

Durante l'implementazione, comunica chiaramente con i tuoi utenti. Spiega che il PIN di Windows è legato esclusivamente al loro laptop fisico e non può essere intercettato sulla rete. Una volta che gli utenti avranno sperimentato l'accesso al proprio computer tramite riconoscimento facciale o un PIN rapido che sblocca un enclave hardware sicuro, non vorranno più digitare una password alfanumerica complessa di 16 caratteri.

Sfruttare le chiavi di sicurezza FIDO2 e le passkey

Windows Hello for Business è ottimo per gli endpoint Windows, ma che dire degli utenti Mac, degli sviluppatori Linux, delle postazioni condivise o dei lavoratori che passano da un dispositivo all'altro? È in questi scenari che le chiavi di sicurezza FIDO2 e le passkey danno il meglio di sé.

Le chiavi FIDO2 rappresentano il massimo livello di autenticazione resistente al phishing. Poiché il protocollo di autenticazione utilizza la crittografia a chiave pubblica, la credenziale memorizzata sulla chiave di sicurezza non può essere sottratta con il phishing, rubata tramite un attacco man-in-the-middle o recuperata da una violazione di database. Quando un utente inserisce la sua chiave di sicurezza USB (oppure la avvicina tramite NFC) e tocca il sensore, un'asserzione crittografica viene inviata a Microsoft Entra ID.

Per implementare le chiavi FIDO2 occorre abilitare la funzionalità nel criterio dei metodi di autenticazione di Microsoft Entra. Puoi limitare questo criterio a gruppi pilota specifici, magari iniziando con gli amministratori IT e la dirigenza prima di estenderlo a tutta l'organizzazione. È fondamentale imporre i requisiti di registrazione, assicurandosi che gli utenti registrino le proprie chiavi mentre si trovano in un ambiente aziendale sicuro o tramite un processo di onboarding verificato.

Inoltre, valuta le passkey di piattaforma integrate nei sistemi operativi come iOS, Android e macOS. Permettono agli utenti di usare i sensori biometrici integrati nel telefono (FaceID, TouchID o i sensori biometrici Android) per accedere in modo sicuro ai servizi di Microsoft 365 su browser e dispositivi diversi. Colmano il divario tra token hardware e comodità quotidiana.

Accesso mobile-first con Microsoft Authenticator

Non tutti i lavoratori della tua organizzazione lavorano a una scrivania con un laptop dedicato o una chiave di sicurezza hardware. I lavoratori di prima linea, i tecnici sul campo e il personale a contratto operano spesso in ambienti mobile-first. Per questi utenti, l'app Microsoft Authenticator è il veicolo senza password per eccellenza.

Per portare Microsoft Authenticator in una configurazione senza password, devi configurare l'accesso con il telefono. Quando l'accesso con il telefono è abilitato, l'utente inserisce il proprio nome utente e, invece di essere richiesta una password, viene inviata una notifica al dispositivo mobile. L'app Authenticator chiede all'utente di inserire un numero corrispondente visualizzato nella schermata di accesso, seguito da una conferma biometrica (FaceID, impronta digitale o PIN).

Questa implementazione elimina completamente il rischio degli attacchi di push fatigue, in cui malintenzionati inondano l'utente di notifiche push finché questi non ne approva una per errore. Con la corrispondenza dei numeri, l'utente *deve* guardare la schermata di accesso, leggere il numero e inserirlo nel telefono. Se non sta tentando di accedere, deve semplicemente toccare "Non sono io", il che può attivare criteri di rischio automatizzati in Microsoft Entra ID per bloccare l'attaccante e segnalare l'account.

Quando distribuisci Microsoft Authenticator per l'accesso senza password, assicurati che siano applicati i criteri di sicurezza a livello di dispositivo. Dovresti richiedere il blocco dell'app all'interno di Microsoft Authenticator stesso e verificare che il dispositivo mobile sia gestito tramite Microsoft Intune o protetto da criteri di accesso condizionale che richiedano sistemi operativi conformi.

Gestire onboarding e recupero con Temporary Access Pass (TAP)

Una delle esitazioni più comuni che le organizzazioni incontrano quando valutano una strategia senza password è il dilemma «dell'uovo e della gallina» nell'onboarding. Come autentichi un neoassunto che non ha ancora una chiave di sicurezza, un telefono registrato o un PIN di Windows Hello? Tradizionalmente, le organizzazioni consegnavano una password iniziale temporanea, facile da indovinare. Ma questo crea una finestra vulnerabile proprio all'inizio del ciclo di vita del dipendente.

Entra in scena il Temporary Access Pass (TAP). Un TAP è un metodo di autenticazione basato su passcode a durata limitata, che puoi configurare in Microsoft Entra ID per consentire agli utenti di registrare i propri metodi di autenticazione senza password. Un TAP può essere usato una sola volta (o più volte, se configurato per specifici scenari di migrazione), ha una durata rigorosamente limitata, da pochi minuti a diverse ore, e può essere generato in modo sicuro da un amministratore o dall'help desk.

Vediamo insieme uno scenario reale di onboarding con TAP:

Le risorse umane avviano il flusso di lavoro per il nuovo assunto e l'IT crea l'account utente in Microsoft Entra ID.
Un amministratore genera un Temporary Access Pass con scadenza di 1 ora e lo comunica al nuovo assunto tramite un canale fuori banda (out-of-band), come un messaggio di testo sicuro o un portale di onboarding cifrato.
Il nuovo dipendente accede al nuovo laptop o al browser usando *solo* il TAP.
Poiché il TAP soddisfa i requisiti di autenticazione forte, l'utente viene subito invitato a registrare le proprie credenziali permanenti senza password, come la configurazione di Windows Hello for Business, la registrazione di una chiave FIDO2 o l'aggiunta dell'app Microsoft Authenticator.
Una volta completata la registrazione, il TAP scade e l'utente è senza password fin dal primo giorno.

Il TAP è altrettanto rivoluzionario per il recupero dell'account. Se un dipendente perde la chiave di sicurezza o cambia telefono, l'help desk non deve emettere una password di riserva. Genera semplicemente un TAP, che permette all'utente di autenticarsi in modo sicuro e di configurare autonomamente il dispositivo o il token sostitutivo.

Buone pratiche per costruire una strategia senza password completa

Eliminare le password in un'intera azienda non è un'operazione da un giorno all'altro: richiede un'implementazione graduale e strategica. Come abbiamo discusso nel podcast, la gestione del cambiamento e l'applicazione dei criteri sono importanti quanto la tecnologia stessa. Ecco le buone pratiche fondamentali per far sì che il tuo percorso senza password abbia successo.

1. Adotta un'implementazione graduale

Non tentare un'implementazione «big bang» senza password in tutta l'azienda in un unico fine settimana. Inizia con i team IT e di sicurezza: conoscono la tecnologia, sanno risolvere i casi limite e fungono da sostenitori interni. Passa poi alla dirigenza e alle unità di business più orientate alla tecnologia. Una volta risolte le criticità operative, estendi l'implementazione ai lavoratori d'ufficio e, infine, affronta gli ambienti di prima linea o di produzione specializzata.

2. Usa con attenzione i criteri di accesso condizionale

I criteri senza password devono essere integrati strettamente con l'accesso condizionale di Microsoft Entra. Crea criteri che richiedano metodi di autenticazione resistenti al phishing per l'accesso alle app cloud sensibili, consentendo magari in via temporanea i metodi legacy per le applicazioni a rischio più basso durante il periodo di transizione. Usa i controlli di sessione per limitare la durata delle sessioni, forzando una nuova autenticazione quando i segnali di rischio aumentano.

3. Investi molto nella formazione degli utenti e nella gestione del cambiamento

Le modifiche tecnologiche falliscono quando le persone vengono lasciate fuori dal processo. Gli utenti sono abituati alle password: le usano da decenni. Devi spiegare *perché* stai facendo questo passaggio. Presenta l'autenticazione senza password non come un obbligo imposto dall'IT, ma come una misura di protezione che semplifica la vita: niente più password complesse da ricordare, niente più cambi password trimestrali obbligatori e accessi rapidissimi.

4. Pianifica le alternative e i casi limite

Prevedi sempre cosa succede quando le cose vanno storte. E se un utente rompe il telefono durante una trasferta di lavoro? E se una chiave di sicurezza hardware cade in una pozzanghera? Definisci flussi di lavoro chiari e sicuri che utilizzino i Temporary Access Pass e protocolli verificati di verifica dell'identità da parte dell'help desk, così che gli utenti possano recuperare l'accesso rapidamente senza compromettere la sicurezza dell'organizzazione.

Combinando Windows Hello for Business, le chiavi di sicurezza FIDO2, Microsoft Authenticator e i Temporary Access Pass, puoi finalmente voltare pagina sull'era delle password, vulnerabile e ormai superata. Gli strumenti sono pronti, l'architettura è collaudata e i vantaggi in termini di sicurezza sono innegabili. È il momento di entrare nella luce di un futuro davvero Zero Trust e senza password.

Grazie per aver letto fino in fondo! Se non l'hai ancora fatto, iscriviti al podcast, condividi questo post con il tuo team di sicurezza e non perderti la prossima puntata di approfondimento, dedicata alla threat hunting avanzata in Microsoft Defender!