Password addio? Il supporto alle Passkey arriva nella versione stabile di Google Chrome

[Redazione di Hardware Upg]

Link alla notizia: https://www.hwupgrade.it/news/softwa...me_112449.html

Si tratta di un nuovo modo per autenticarsi sui siti e i servizi online. Le passkey approdano sulla versione stabile di Google Chrome per Windows 11, macOS e Android e promettono maggiore sicurezza rispetto alle password.

Click sul link per visualizzare la notizia.

[marcram]

Originariamente inviato da Redazione di Hardware Upgrade

...
Qualcuno si starà già chiedendo: cosa sono le passkey?...

E se lo continuano a chiedere...
Bastava scrivere "autenticazione tramite chiave asimmetrica"...

[Pasquale_1965]

ma ci possiamo fidare ?

[Opteranium]

così quando ti ruberanno le credenziali dovrai tagliarti il pollice

[andresb]

A parte che affidare tutti i propri accessi a un solo servizio di un'azienda privata non mi convince per nulla, cosa succede se lo smartphone è infetto?
Io reputo il mio telefono molto meno sicuro del mio computer, su cui scelgo l'OS da usare e non ho niente di preinstallato.

[io78bis]

Originariamente inviato da marcram

E se lo continuano a chiedere...
Bastava scrivere "autenticazione tramite chiave asimmetrica"...

Hai ragione, col tuo commento è diventato tutto più chiaro

[aqua84]

vado subito a buttare via tutte le mie password!!

[marcram]

Originariamente inviato da io78bis

Hai ragione, col tuo commento è diventato tutto più chiaro

Devo spiegare come funziona la crittografia a chiave asimmetrica?
E si che ormai è una tecnologia molto diffusa, tra certificati, firme digitali, cifratura memorie, smartcard...

Il discorso era che in tutto l'articolo non veniva detto che tipo di autenticazione erano queste Passkey. Per l'appunto, una semplice autenticazione che prevede che, invece di tenere segreta una password, tu debba tenere segreta una chiave...

[AntoRev]

Originariamente inviato da marcram

Devo spiegare come funziona la crittografia a chiave asimmetrica?
E si che ormai è una tecnologia molto diffusa, tra certificati, firme digitali, cifratura memorie, smartcard...

Il discorso era che in tutto l'articolo non veniva detto che tipo di autenticazione erano queste Passkey. Per l'appunto, una semplice autenticazione che prevede che, invece di tenere segreta una password, tu debba tenere segreta una chiave...

Forse non era un commento ironico, a me il tuo commento è stato utile per capire con una sola frase di cosa si stava parlando.
Personalmente però questo sistema non lo considero più sicuro delle attuali password se si utilizza un cloud o il proprio smartphone. Si rischia di dipendere dalla sicurezza fisica di un oggetto (lo smartphone probabilmente portandolo in giro potrebbe essere più soggetto ad occhi indiscreti o furti). Sarebbe meglio utilizzare chiavette offline adibite allo scopo così come è stato per i generatori di codici otp, wallet hardware per cryptovaluta ecc. Non la
vedo come una grande novità.

[giuliop]

Originariamente inviato da Pasquale_1965

ma ci possiamo fidare ?

Hm, il mio I Ching elettronico dice... giallo soffuso?

Originariamente inviato da Redazione di Hardware Upgrade

Una passkey non lascia il vostro dispositivo mobile quando accedi in questo modo.

La concordanza, perdinciui!

[zappy]

Originariamente inviato da giuliop

La concordanza, perdinciui!

ormai chi scrive non sa neanche cosa scrive, quindi è facile faccia confusione

[zappy]

Originariamente inviato da marcram

E se lo continuano a chiedere...
Bastava scrivere "autenticazione tramite chiave asimmetrica"...

non è che pure così mi sia chiarissimo come avviene l'autenticazione, ma pazienza, tanto preferisco la pass

Originariamente inviato da andresb

A parte che affidare tutti i propri accessi a un solo servizio di un'azienda privata non mi convince per nulla, cosa succede se lo smartphone è infetto?
Io reputo il mio telefono molto meno sicuro del mio computer, su cui scelgo l'OS da usare e non ho niente di preinstallato.

tanto per cambiare, un modo per estorcere un collegamento fra tutto quello che fai online e lo smartphone, che già ti spia di suo.

[marcram]

Originariamente inviato da zappy

non è che pure così mi sia chiarissimo come avviene l'autenticazione, ma pazienza, tanto preferisco la pass

Ti registri, crei la coppia di chiavi, dai al sito la chiave pubblica.
Per loggarti, il sito ti manda un testo, tu lo firmi con la privata, glielo rimandi, lo controlla con la pubblica, e ti fa accedere...

[zappy]

Originariamente inviato da marcram

Ti registri, crei la coppia di chiavi, dai al sito la chiave pubblica.
Per loggarti, il sito ti manda un testo, tu lo firmi con la privata, glielo rimandi, lo controlla con la pubblica, e ti fa accedere...

grazie.
e la coppia di chiavi la genera e gestisce un sw qualunque compatibile con il protocollo di login/scambio, giusto?

beh, sembra più decentralizzato di quanto mi sembrava all'inizio...
semplicemente quando ti registri al sito anzichè stabilire user e pass, stabilisci l'user e consegni la chiave pubblica, prodotta dove e come ti pare...

[marcram]

Originariamente inviato da zappy

grazie.
e la coppia di chiavi la genera e gestisce un sw qualunque compatibile con il protocollo di login/scambio, giusto?

beh, sembra più decentralizzato di quanto mi sembrava all'inizio...
semplicemente quando ti registri al sito anzichè stabilire user e pass, stabilisci l'user e consegni la chiave pubblica, prodotta dove e come ti pare...

Non so.
Per il momento sembra che venga implementato come sistema gestito direttamente nell'OS del telefono. Credo utilizzino, per le chiavi, direttamente la memoria credenziali del sistema.
Certo che, se il backup delle chiavi viene fatto tramite cloud Google, vuol dire che le chiavi sono accessibili, quindi probabilmente usciranno anche delle alternative terze, per la gestione del tutto.

Comunque, nel caso di android, stai consegnando tutte le chiavi di accesso agli account in mano ai server Google.
Per il momento, mi tengo strette le mie password...

[zappy]

Originariamente inviato da marcram

Non so.
Per il momento sembra che venga implementato come sistema gestito direttamente nell'OS del telefono. Credo utilizzino, per le chiavi, direttamente la memoria credenziali del sistema.
Certo che, se il backup delle chiavi viene fatto tramite cloud Google, vuol dire che le chiavi sono accessibili, quindi probabilmente usciranno anche delle alternative terze, per la gestione del tutto.

Comunque, nel caso di android, stai consegnando tutte le chiavi di accesso agli account in mano ai server Google.
Per il momento, mi tengo strette le mie password...

concordo
dopo di che se il tutto è open ed usa un protocollo open che in pratica definisce solo che il login avviene scambiando un codice che tu crittografi e rimandi indietro, ok (in realtà si può farselo in casa sia lato client che server già ora).
altrimenti ciccia.

[marcram]

Originariamente inviato da zappy

concordo
dopo di che se il tutto è open ed usa un protocollo open che in pratica definisce solo che il login avviene scambiando un codice che tu crittografi e rimandi indietro, ok (in realtà si può farselo in casa sia lato client che server già ora).
altrimenti ciccia.

Per il momento, non vedo niente di rivoluzionario.
Cioè, se le chiavi private fossero inaccessibili (come avviene, ad esempio, con le smartcard, o le chiavette hardware...), allora avrebbe un senso maggiore.
Ma così, con le chiavi private che viaggiano per internet, e vengono salvate su server esterni, quali sono i reali vantaggi rispetto all'uso delle password?

Ecco, l'unico è che ti salvi in parte dal phishing. Se sei proprio un distrattone, e ti autentichi su una pagina farlocca, perdi solo quel dato accesso, e non l'intera chiave privata. Come avviene con le OTP per l'autorizzazione a due fattori.
Ma esistono già metodi per fregarti anche su quelle, quindi...

Per il momento, niente di eclatante. Almeno fino a quando non si potranno usare con un gestore open, tipo un password manager.

[zappy]

Originariamente inviato da marcram

...
Ma così, con le chiavi private che viaggiano per internet, e vengono salvate su server esterni, quali sono i reali vantaggi rispetto all'uso delle password?

perchè le private che viaggiano? non viaggia solo la pubblica?

la privata te la generi sul tuo apparecchio e lì rimane, no?

Ecco, l'unico è che ti salvi in parte dal phishing. Se sei proprio un distrattone, e ti autentichi su una pagina farlocca, perdi solo quel dato accesso, e non l'intera chiave privata. Come avviene con le OTP per l'autorizzazione a due fattori.
Ma esistono già metodi per fregarti anche su quelle, quindi...

[marcram]

Originariamente inviato da zappy

perchè le private che viaggiano? non viaggia solo la pubblica?

la privata te la generi sul tuo apparecchio e lì rimane, no?

Non viaggia quando la generi e la utilizzi, ma Google ti fa il backup sul suo cloud. Quindi alla fine, su internet ci arriva lo stesso. E in che mani, poi...

Naturalmente devi avere un backup, visto che sono l'unico accesso che avresti per alcuni account.
Non puoi scrivertele su un foglietto, come con le password.
Dovresti farti un backup locale, ma quanti sono in grado di farlo? Allora Google ci pensa lui...

Avevo letto che riescono a interporsi tra te e, per esempio, la banca, e sfruttare la password a tempo prima che scada... Insomma, un falso sito che invece di memorizzare i dati inseriti, li usa al volo...

Certamente sono casi particolari (e probabilmente il dispendio di energia per mettere in atto queste truffe è maggiore), ma vuol dire che anche i codici a tempo, per quanto più sicuri della sola password, non sono 100% sicuri.
Specie se clicchi link a caso sulle email...

[zappy]

Originariamente inviato da marcram

Naturalmente devi avere un backup, visto che sono l'unico accesso che avresti per alcuni account.
Non puoi scrivertele su un foglietto, come con le password.

beh, potresti stamparle sotto forma di string(on)a alfanumerica o di qrcode, no?

Avevo letto che riescono a interporsi tra te e, per esempio, la banca, e sfruttare la password a tempo prima che scada... Insomma, un falso sito che invece di memorizzare i dati inseriti, li usa al volo...

ah, beh, falso sito e cattura del 2°fattore (app o sms)... ok, non semplicissimo...