Scegliere l’account aziendale sul notebook, autorizzare l’accesso sul dispositivo e proseguire il lavoro: una passkey può semplificare la giornata. Per le aziende serve anche un piano per dispositivi consentiti, sostituzione e recupero.
Che cosa accade davvero durante l’accesso
Una passkey è una credenziale basata sugli standard FIDO e su una coppia di chiavi crittografiche. Il servizio conosce la chiave pubblica. L’authenticator utilizza la corrispondente chiave privata, per esempio su smartphone, computer o chiave di sicurezza. Durante l’accesso risponde a una richiesta del servizio con una firma digitale. Non serve una password di accesso condivisa con il sito.
WebAuthn è l’interfaccia standardizzata per questo accesso sul web; FIDO2 comprende i meccanismi sottostanti. Per chi lavora conta soprattutto la procedura visibile: controllare account e destinazione, poi autorizzare con il PIN del dispositivo o una verifica biometrica adatta. Le scelte disponibili dipendono da servizio, sistema operativo, browser e fornitore di passkey.
Perché è diverso da password e codice monouso
Una password e un codice SMS o dell’app digitato manualmente possono essere richiesti su una pagina di accesso falsa e inoltrati. WebAuthn lega la credenziale al servizio previsto. Questo rende gli accessi con passkey resistenti al phishing. Non rende però automaticamente sicuri un dispositivo infetto, una sessione rubata o un recupero debole.
L’autorizzazione locale sul dispositivo non è una seconda password del sito. Il rispetto del livello di autenticazione o multifattore richiesto si valuta in base al metodo effettivo e alla policy. Premere un pulsante qualsiasi su una chiave qualsiasi non è una descrizione sufficiente. Fonti: FIDO Alliance: spiegazione delle passkey (link esterno).
Vincolate al dispositivo o sincronizzate: la differenza decisiva
Le passkey vincolate al dispositivo restano sullo specifico authenticator. Può essere un telefono adeguatamente supportato o una chiave di sicurezza FIDO2. Una nuova chiave o un telefono sostitutivo non possiede la credenziale solo perché appartiene alla stessa persona. Occorre registrare un ulteriore authenticator consentito oppure usare una procedura di recupero predisposta.
Le passkey sincronizzate possono arrivare ad altri dispositivi autorizzati della stessa persona tramite un fornitore di passkey. Contano quindi il suo account, la protezione e il recupero. Dispositivi e modalità di trasferimento supportati dipendono dal fornitore. Non ne derivano esportazioni arbitrarie tra tutte le piattaforme o un’inclusione automatica nella gestione aziendale.
| Variante | Che cosa accade cambiando dispositivo? | Da chiarire prima dell’uso operativo |
|---|---|---|
| Passkey vincolata al dispositivo | Registrare un nuovo authenticator o usare il percorso di recupero previsto. | Preparare separatamente sostituzione e responsabilità. |
| Passkey sincronizzata | Disponibile su un dispositivo supportato tramite il fornitore adatto; conta il suo percorso di recupero. | Definire account del fornitore consentito, dispositivi e protezione dell’account. |
| Accesso tra dispositivi | Usare un authenticator esistente su un altro dispositivo non equivale a copiarlo. | Testare la combinazione supportata e una sessione sicura sul dispositivo di destinazione. |
Un telefono può autorizzare l’accesso senza copiare la passkey
Un flusso di lavoro ipotetico: una dipendente apre un portale aziendale approvato sul notebook della sala riunioni. Lo smartphone consentito conferma l’accesso. Un metodo supportato tra dispositivi usa l’authenticator del telefono. Questo va distinto dalla sincronizzazione o dalla registrazione permanente sul notebook.
Queste procedure possono richiedere una verifica di prossimità e ulteriori requisiti tecnici. Si testano con i dispositivi e i browser effettivamente usati. Su un computer condiviso contano inoltre account corretto, durata della sessione adatta e successiva disconnessione. Avere il telefono vicino non sostituisce questi passaggi organizzativi.
Distinguere consapevolmente dispositivi personali e gestiti
Se l’accesso aziendale è sincronizzato solo tramite un account personale di piattaforma, il recupero aziendale può dipendere dall’account privato di una persona. Si stabilisce quindi in anticipo quali fornitori, dispositivi e tipi di passkey siano consentiti ai diversi gruppi. Un dispositivo gestito facilita alcune regole, ma la gestione non permette automaticamente agli amministratori di leggere ogni chiave privata.
Secondo la documentazione verificata, Microsoft Entra ID supporta passkey sincronizzate e vincolate al dispositivo e può applicare requisiti ai gruppi tramite profili di passkey. Non significa approvare ogni combinazione: registrazione, autorizzazioni esistenti, supporto dei dispositivi e policy devono essere coerenti. Fonti: Microsoft: passkey e profili in Entra ID (link esterno).
Preparare sostituzione e uscita dall’azienda prima della diffusione
Il pilota comprende, oltre all’accesso riuscito, un telefono perso, una chiave di sicurezza guasta e un account del fornitore bloccato. In base alle esigenze di protezione, si prepara un authenticator sostitutivo registrato indipendentemente o un recupero controllato. Il cambio di dispositivo non è il momento adatto per iniziare a cercare il responsabile e le prove necessarie.
Quando una persona lascia l’azienda, l’accesso aziendale viene bloccato nel servizio di identità o nel sistema di destinazione e i metodi registrati sono revocati in modo appropriato. Una copia in un account di sincronizzazione personale non deve necessariamente sparire dal dispositivo privato; conta che non sia più accettata per l’accesso aziendale. Sessioni esistenti e altri percorsi di accesso si considerano separatamente. Non ne deriva una cancellazione remota generalizzata dei dispositivi personali.
Che cosa accade a impronte e dati del volto
Durante l’accesso WebAuthn il servizio non riceve caratteristiche biometriche come impronta o modello facciale. La verifica avviene localmente nell’authenticator; il servizio riceve la prova crittografica e le informazioni di verifica previste. Neppure il PIN del dispositivo viene trasmesso come password del sito. Il trattamento preciso sul dispositivo e presso il fornitore di passkey resta comunque parte della scelta di dispositivi e fornitori.
Fonti: W3C: verifica biometrica locale con WebAuthn (link esterno). Questo non significa che un fornitore cloud coinvolto non tratti alcun dato dell’account o metadato.
Iniziare con un pilota circoscritto
DAXS supporta la scelta di servizi e dispositivi adatti, ruoli e recupero concordati e un pilota con risultati documentati. Si verificano accesso normale, sostituzione, postazioni condivise e uscita dall’azienda. Solo dopo si decide quali metodi estendere all’intera organizzazione.
Parlare dell’introduzione delle passkey · Pianificare postazioni e identità · Gestire con ordine gli accessi aziendali condivisi
Domande frequenti
Posso semplicemente copiare una passkey del dispositivo su un nuovo telefono?
È proprio ciò che le passkey vincolate al dispositivo non prevedono. Le passkey sincronizzate possono diventare disponibili sui dispositivi supportati dell’account del fornitore adatto. Il percorso concreto di sostituzione si prova in anticipo.
Tutti devono usare lo smartphone personale?
Lo stabilisce il modello operativo aziendale. In base al servizio e alle regole si possono usare dispositivi gestiti, chiavi di sicurezza adatte o altri autenticatori supportati.
Una passkey sostituisce tutte le autorizzazioni aziendali?
Dimostra l’accesso a un account. Quali applicazioni e dati quell’account possa usare resta un compito distinto della gestione di utenti e autorizzazioni.
