Le password sono ancora onnipresenti nelle aziende. Allo stesso tempo, i dati di accesso rubati o utilizzati in modo improprio continuano a rappresentare una delle principali vie di accesso per gli attacchi informatici. L’attuale Verizon Data Breach Investigations Report 2026 mostra che, al di là del phishing, dei dati di accesso rubati e del cosiddetto «pretexting», le identità compromesse continuano a essere coinvolte in circa il 39% di tutte le violazioni dei dati. In questo contesto, i metodi di autenticazione senza password come FIDO2 stanno acquisendo sempre maggiore importanza. Essi promettono un nuovo livello di sicurezza, facilità d’uso e scalabilità per le aziende moderne.
In un mondo degli affari sempre più digitale, le password sono diventate un rischio. Sono difficili da gestire, facili da rubare e spesso all’origine di gravi incidenti di sicurezza. Soprattutto nelle aziende che lavorano quotidianamente con dati sensibili dei clienti e sistemi critici per l’azienda, una password compromessa può avere gravi conseguenze. La necessità di una soluzione di autenticazione sicura, intuitiva e scalabile è più forte che mai.
FIDO2 e le passkey rappresentano un’alternativa al passo con i tempi. I collaboratori possono così accedere, ad esempio, tramite riconoscimento facciale, impronta digitale o PIN del dispositivo, senza dover inserire una password. Per gli account che richiedono una protezione particolare è possibile utilizzare anche chiavi di sicurezza fisiche. L’autenticazione senza password diventa così non solo più sicura, ma anche più semplice. È tuttavia necessario un’implementazione ben pianificata, che si adatti al panorama IT esistente e ai diversi gruppi di utenti all’interno dell’azienda.
FIDO2 è uno standard di autenticazione aperto, sviluppato dalla FIDO Alliance (Fast Identity Online), un consorzio industriale internazionale che annovera tra i propri membri aziende quali Google, Microsoft e Apple. L’obiettivo di questa alleanza è rendere superflue le password nel lungo periodo, sostituendole con un sistema di autenticazione sicuro e di facile utilizzo basato su chiavi crittografiche. FIDO2 si basa su WebAuthn, uno standard del World Wide Web Consortium, e sul Client to Authenticator Protocol (CTAP). WebAuthn consente l’utilizzo di credenziali crittografiche nei browser e nelle applicazioni, mentre CTAP regola la comunicazione con l’autenticatore utilizzato, ad esempio un notebook, uno smartphone o una chiave di sicurezza fisica.
Le passkey rappresentano l’attuale applicazione di questo principio. Al posto di una password viene utilizzata una coppia di chiavi crittografiche: la chiave pubblica è depositata presso il rispettivo servizio, mentre la chiave privata rimane protetta sul dispositivo o sull’autenticatore e non viene mai trasmessa al momento dell’accesso. La passkey viene sbloccata con lo stesso metodo utilizzato per sbloccare il dispositivo: riconoscimento facciale, impronta digitale o PIN del dispositivo. La biometria non sostituisce quindi direttamente la password, ma conferma a livello locale che la persona autorizzata può utilizzare la chiave crittografica. I dati biometrici non lasciano mai il dispositivo.
Durante la configurazione di una Passkey, il dispositivo genera una coppia di chiavi univoca. La chiave privata rimane sul dispositivo, mentre quella pubblica viene archiviata presso il servizio aziendale. Al momento dell’accesso, il servizio invia una richiesta al dispositivo; l’utente la conferma tramite impronta digitale, riconoscimento facciale o PIN, e il dispositivo firma la richiesta con la chiave privata.
Fondamentale è il vincolo alla rispettiva applicazione o dominio: una passkey per Microsoft 365 non funziona su una pagina di accesso contraffatta con un indirizzo dall’aspetto simile. Di conseguenza, le passkey sono molto più resistenti ai classici attacchi di phishing rispetto alle password o ai codici monouso trasmissibili.
Per la maggior parte dei collaboratori, oggi non è più indispensabile disporre di una chiave USB o NFC aggiuntiva. Sui dispositivi moderni gestiti centralmente, la passkey può essere salvata direttamente sul portatile o sullo smartphone – ad esempio tramite Windows Hello for Business o le passkey in Microsoft Authenticator. Le chiavi di sicurezza fisiche rimangono comunque utili:
La chiave fisica non è quindi la soluzione standard per tutti i collaboratori, ma una delle diverse possibilità. La scelta della variante da utilizzare dovrebbe dipendere dalle esigenze di protezione, dal gruppo di utenti e dall’ambiente dei dispositivi disponibili.
Nel caso delle passkey legate al dispositivo, la chiave privata rimane su un determinato dispositivo (ad es. nel chip di sicurezza del laptop) o su una chiave di sicurezza fisica, senza poter essere copiata. Questa variante offre un elevato livello di controllo ed è particolarmente adatta per dispositivi aziendali gestiti e account con privilegi.
Le passkey sincronizzate, invece, sono disponibili su più dispositivi tramite un provider supportato (ad es. iCloud Keychain, Google Password Manager o un gestore di password aziendale). Ciò aumenta la facilità d’uso e semplifica il cambio di dispositivo, ma richiede una verifica dei processi di sincronizzazione e ripristino utilizzati. Per le aziende è inoltre necessario garantire, tramite una politica (MDM), che le passkey aziendali non finiscano negli account cloud privati dei dipendenti.
Microsoft Entra ID supporta entrambe le varianti e, a partire da settembre 2026, renderà le passkey il metodo di accesso standard, sostituendo gradualmente SMS e chiamate come procedure di autenticazione a più fattori. Microsoft raccomanda le passkey legate al dispositivo (ad es. chiavi di sicurezza FIDO2, passkey in Microsoft Authenticator) per gli amministratori e i ruoli con privilegi, mentre per il resto del personale consiglia le passkey sincronizzate.
Il principale vantaggio in termini di sicurezza risiede nella protezione dal phishing e dall’uso improprio delle credenziali rubate: senza una password riutilizzabile, non esiste una password che possa essere inserita su una pagina contraffatta o utilizzata per altri servizi a seguito di una fuga di dati.
Allo stesso tempo, l’accesso diventa più semplice: non è più necessario creare, memorizzare o reimpostare password complesse. Anche il supporto tecnico può essere alleggerito, poiché la reimpostazione delle password è tra le richieste più frequenti al servizio di assistenza. Ciò comporta tuttavia l’introduzione di nuovi processi relativi alla registrazione dei dispositivi, al cambio di dispositivo e al recupero degli accessi smarriti – questi devono essere presi in considerazione fin dall’inizio.
L'autenticazione forte è un elemento fondamentale delle moderne architetture Zero Trust: ogni accesso deve poter essere associato a un'identità chiaramente verificata. FIDO2 garantisce una maggiore protezione dell'accesso contro il phishing e il furto delle credenziali.
Tuttavia, un accesso riuscito da solo non è sufficiente. Le aziende devono inoltre verificare da quale dispositivo avviene l’accesso, qual è il suo stato di sicurezza e a quali applicazioni o dati è consentito l’accesso. FIDO2 non sostituisce quindi né la gestione delle autorizzazioni, né la protezione dei dispositivi finali, né il monitoraggio delle attività sospette, ma rafforza una parte importante dell’architettura di sicurezza.
Un'implementazione di successo inizia con un'analisi dell'ambiente esistente: quali piattaforme di identità, dispositivi, sistemi operativi e applicazioni specialistiche sono in uso e quali supportano FIDO2 o le passkey?
Successivamente vengono definiti i gruppi di utenti e gli ambiti di utilizzo più adatti. Spesso è consigliabile proteggere innanzitutto gli account con privilegi o le applicazioni particolarmente sensibili e poi estendere gradualmente la soluzione.
Il processo di ripristino è particolarmente importante: in caso di smarrimento di un dispositivo, deve essere possibile configurare rapidamente un nuovo accesso senza che ciò crei un percorso di attacco più semplice. La verifica dell’identità da parte del supporto tecnico, la gestione dei dispositivi sostitutivi e il blocco degli autenticatori smarriti devono quindi essere chiaramente regolamentati – così come la gestione controllata di metodi alternativi meno sicuri. Non da ultimo, è necessaria una comunicazione chiara: i collaboratori dovrebbero sapere perché cambia la procedura di accesso, come funziona e cosa fare in caso di smarrimento del dispositivo.
FIDO2 e le passkey offrono una protezione molto elevata contro i classici attacchi di phishing e il riutilizzo di password rubate. Ciò non rende però un’azienda inattaccabile: un dispositivo finale compromesso, una sessione attiva rubata, autorizzazioni assegnate in modo errato o vulnerabilità del software sfruttate rimangono aree di rischio a sé stanti – queste ultime, secondo l’attuale DBIR, sono addirittura il punto di accesso più frequente. Anche il social engineering nei confronti del service desk e i processi di ripristino non sicuri rimangono possibili punti di attacco.
Se implementato correttamente, FIDO2 riduce tuttavia in modo significativo un rischio particolarmente sfruttato e rappresenta quindi un elemento importante, ma non l’unico, della sicurezza informatica.
L'introduzione delle passkey non riguarda solo l'accesso vero e proprio, ma anche la gestione delle identità e dei dispositivi, la protezione degli account con privilegi, nonché procedure chiare di assistenza e ripristino. MTF supporta le aziende nell’analisi del loro ambiente esistente e nello sviluppo di una strategia adeguata per l’autenticazione senza password: dall’integrazione di FIDO2 e Windows Hello for Business alla configurazione di Microsoft Entra ID e Intune, fino alla selezione di autenticatori adeguati per i diversi gruppi di utenti.
Contattateci e contribuite attivamente a plasmare il percorso verso un futuro senza password.