Apple, Google e Microsoft hanno annunciato di voler ridare vita a un vecchio sogno: l'eliminazione delle password.
A questo scopo hanno annunciato la creazione di un'infrastruttura per consentire il login senza password su smartphone (Android e iOS), computer (Windows e macOS) e browser (Chrome, Edge e Safari), e che dovrebbe iniziare a essere operativa già dal prossimo anno.
Da tempo i tre giganti del web sostengono che le password rappresentano un sistema di autenticazione non sicuro al 100% e spingono per alternative che ritengono più adatte e semplici dai utilizzare.
La scelta per un sistema di autenticazione alternativo è caduta sugli smartphone, basandosi sulla convinzione che chiunque debba accedere a un computer, a un'app o a un servizio online ormai ne possieda uno. Una volta che il sistema sarà in funzione, per accedere per esempio a un sito web anziché inserire una password l'utente non dovrà fare altro che sbloccare il telefono con il sistema prescelto: PIN, schema, impronta digitale e via di seguito. Sarà quindi lo smartphone, comunicando una chiave crittografica univoca chiamata passkey, a garantire l'identità dell'utente al sito in questione, che garantirà l'accesso.
Vasu Jakkal (Microsoft) spiega: "Con le passkey sui dispositivi mobili, si potrà fare login in un'app o un servizio da pressoché qualsiasi dispositivo, indipendentemente dalla piattaforma che il dispositivo stesso esegue» «Per esempio, gli utenti potranno fare login nel browser Google Chrome su un PC con Microsoft Windows usando la passkey di un dispositivo Apple".
Gli fa eco Kurt Knight (Apple): "Proprio allo stesso modo in cui progettiamo i nostri prodotti affinché siano intuitivi ed efficienti, li progettiamo anche perché siano privati e sicuri. Il lavoro di definizione di metodi nuovi e più sicuri per l'autenticazione, che offrano protezioni migliori ed eliminino le vulnerabilità delle password è fondamentale per il nostro impegno a realizzare prodotti che offrano la massima sicurezza e un'esperienza utente trasparente, mantenendo al sicuro le informazioni personali degli utenti".
L'idea alla base della proposta è che l'uso di un dispositivi fisico sia più semplice e meno prona ad errori rispetto all'inserimento di una password, ed evidentemente poco importa il fatto che, se lo smartphone viene sbloccato con un PIN, in sostanza una password c'è sempre. D'altra parte - ragionano i promotori - dover avere a disposizione un apparecchio per poter effettuare un login impedisce agli hacker di accedere, poiché una password si può rubare o indovinare spesso con una certa facilità , mentre rubare uno smartphone è un po' più complicato. Ugualmente, con il sistema proposto i siti fasulli usati per condurre attacchi di phishing allo scopo di sottrarre password agli utenti diventerebbero di colpo inutili.
Dal punto di vista tecnico, la trovata di Microsoft, Google e Apple si basa sullo standard FIDO, che si basa sul principio della crittografia a chiave pubblica ed è già supportato da diverse applicazioni, anche se la "spinta" ricevuta dall'appoggio dei tre giganti lo renderà un nome senz'altro molto più familiare di quanto non sia ora.
Rispetto alle implementazioni attuali di FIDO, inoltre, il sistema proposto - appoggiandosi al sistema di sblocco dello smartphone - ha il vantaggio di eliminare la password dall'ultimo luogo in cui è tuttora utile: durante la configurazione di un accesso con FIDO, infatti, è necessario proprio indicare una password.
