23 milioni di utenti diranno addio alla password: Regno Unito sceglie le passkey

Il governo britannico ha iniziato a spostare oltre 23 milioni di utenti verso un sistema di autenticazione nel quale la password smette di essere lo strumento abituale per accedere ai servizi online della Pubblica Amministrazione (PA). GOV.UK One Login sta infatti estendendo l’uso delle passkey: impronta digitale, riconoscimento del volto oppure PIN del dispositivo possono autorizzare l’accesso senza digitare la password e senza attendere il classico codice ricevuto via SMS.

Dopo una prima fase con più di 300.000 utenti, quasi un accesso giornaliero su dieci a One Login utilizza già una passkey; secondo il governo britannico, l’eliminazione degli SMS in quelle sessioni consente risparmi importanti.

GOV.UK One Login nasce per diventare la porta di ingresso comune ai servizi digitali della PA britannica. Il progetto risale formalmente al 2021 e punta a sostituire una situazione frammentata, nella quale nel tempo si erano accumulati oltre 190 differenti sistemi di autenticazione.

Il passaggio pubblico dalle password alle passkey

Una volta configurata, la passkey diventa il metodo principale utilizzato Oltremanica da One Login. L’utente inserisce l’indirizzo email e autorizza l’accesso usando il meccanismo con cui normalmente sblocca il proprio dispositivo: Face ID, impronta digitale, PIN, passcode o sequenza di sblocco, a seconda della piattaforma.

Il dato biometrico non raggiunge i server governativi: la verifica avviene in locale e serve ad autorizzare l’uso della credenziale crittografica custodita dal dispositivo o dal credential manager. GOV.UK riceve la prova crittografica necessaria per verificare l’autenticazione, non il dato biometrico utilizzato per sbloccare la chiave.

Il governo dichiara che l’accesso mediante passkey può risultare fino a 8 volte più rapido rispetto alla sequenza nome utente, password e codice di verifica.

Al di là del dato promozionale, il vantaggio operativo è abbastanza evidente: sparisce almeno un passaggio che introduce attesa, errori di digitazione e problemi di recapito.

C’è anche un costo infrastrutturale che normalmente resta invisibile all’utente: ogni OTP (one-time password, ovvero il codice di conferma prodotto dal sistema per verificare la richiesta d’accesso) inviato tramite rete mobile ha un prezzo; con decine di milioni di account e un volume elevato di autenticazioni, anche pochi centesimi per messaggio diventano una voce significativa.

Come funziona una passkey: la biometria non è la chiave privata

Le passkey – l’abbiamo detto – sfruttano gli standard FIDO2, costruiti principalmente attorno a WebAuthn e CTAP. Durante la registrazione l’autenticatore genera una coppia di chiavi asimmetriche: la chiave pubblica arriva al servizio remoto, mentre la chiave privata rimane sotto il controllo dell’autenticatore o del gestore delle credenziali.

Il server non deve conoscere un segreto condiviso con l’utente. Con una password accade esattamente il contrario: l’utente conosce un segreto e il servizio conserva almeno una sua rappresentazione derivata, normalmente sotto forma di hash. Chi riesce a sottrarre un database di password può quindi tentare attacchi offline sugli hash; chi convince l’utente a digitare la password in un sito contraffatto (phishing) ottiene invece direttamente il segreto.

Con WebAuthn il server invia una challenge (sfida) casuale: l’autenticatore produce un’asserzione crittografica usando la chiave privata associata a quel servizio; il server controlla la firma utilizzando la chiave pubblica registrata in precedenza. La chiave privata non deve attraversare la rete.

WebAuthn introduce inoltre un elemento decisivo contro il phishing: la credenziale appartiene a una specifica Relying Party. Significa che una passkey registrata per il servizio autentico non può semplicemente essere richiesta da un dominio contraffatto che ne imita graficamente la pagina. Browser e autenticatore partecipano all’applicazione di questo vincolo.

È una differenza enorme rispetto a password, TOTP e codici SMS. Un utente può essere convinto a consegnare un codice di sei cifre a una pagina fasulla; non può allo stesso modo copiare e incollare la propria chiave privata WebAuthn.

Perché gli SMS rappresentano l’anello debole

L’autenticazione a due fattori basata su SMS ha migliorato enormemente la sicurezza rispetto alla sola password e continua ad avere un valore dove non esistono alternative migliori. Non bisogna però confondere “più sicuro di una password” con “resistente al phishing“.

Un aggressore può costruire un sito reverse proxy che riproduce in tempo reale la pagina autentica. La vittima digita password e OTP; il criminale inoltra entrambi al servizio reale e completa l’accesso mentre il codice è ancora valido. Esistono inoltre attacchi contro il numero telefonico, procedure fraudolente di SIM swap, compromissioni degli account presso l’operatore e tecniche di social engineering.

Le passkey eliminano alla radice buona parte di tali scenari perché non esiste un OTP da comunicare all’interlocutore. Il britannico National Cyber Security Centre le raccomanda esplicitamente quando disponibili e, in un’analisi tecnica pubblicata nel 2026, ha concluso che le credenziali FIDO2 risultano almeno altrettanto sicure delle forme tradizionali di autenticazione multifattore e in diversi scenari offrono proprietà di sicurezza superiori.

Se un criminale non può più chiedere “mi legga il codice arrivato sul telefono“, proverà maggiormente a compromettere il dispositivo, il credential manager, il processo di recupero dell’account oppure il servizio di assistenza.

One Login funziona anche quando la passkey si trova sul telefono

Cosa succede quando si vuole entrare da un PC sul quale la passkey non è presente? GOV.UK One Login supporta l’autenticazione cross-device: il computer mostra un codice QR; l’utente lo inquadra con il telefono che contiene la passkey e autorizza la richiesta dal dispositivo mobile.

Entrambi i dispositivi devono avere Bluetooth attivo: il meccanismo cross-device previsto dalle specifiche FIDO utilizza Bluetooth Low Energy come elemento per verificare la prossimità fisica, mentre la comunicazione necessaria all’autenticazione non va interpretata semplicemente come un trasferimento della chiave privata dal telefono al PC.

Si può quindi usare un computer pubblico o un portatile differente senza copiare la passkey al suo interno. Autenticarsi da un dispositivo non affidabile rimane una scelta da valutare con attenzione: una passkey protegge la credenziale dal phishing, non rende innocuo un computer compromesso da malware capace di osservare o manipolare ciò che accade dopo il login.

La documentazione britannica indica requisiti piuttosto ampi. Per creare e utilizzare una passkey vengono supportati, tra gli altri, iPhone 8 o successivi con iOS 16 o versioni successive, iPad con iOS 16 o superiore, dispositivi Android dalla versione 10, computer Windows da Windows 10 e Mac da macOS Ventura 13.

Serve inoltre un sistema di blocco dello schermo. È coerente con il modello di sicurezza: prima che la chiave privata possa firmare la challenge, il dispositivo deve verificare la presenza dell’utente attraverso il PIN locale, il riconoscimento biometrico o un altro metodo configurato.

Il Regno Unito non spegne ancora le password, ma indica la direzione

GOV.UK mantiene per ora il vecchio metodo basato sull’uso delle password, sia per scelta dell’utente sia come alternativa quando la passkey non è disponibile.

Il segnale interessante è un altro: una delle più grandi infrastrutture pubbliche di identità digitale europee sta portando l’autenticazione passwordless a milioni di persone comuni, senza chiedere loro di acquistare token dedicati o imparare nuovi codici. Il gesto richiesto coincide con quello già utilizzato decine di volte al giorno per sbloccare lo smartphone.

D’altra parte, le passkey hanno un vantaggio decisivo rispetto a molte tecnologie di sicurezza del passato. Non chiedono all’utente di diventare più bravo nel riconoscere un sito di phishing; cercano di impedire tecnicamente alla credenziale di funzionare sul sito sbagliato. Non eliminano social engineering, malware, furto dei dispositivi o procedure di recupero mal progettate, ma tolgono agli aggressori uno degli strumenti più redditizi e universali: convincere qualcuno a consegnare un segreto riutilizzabile.

Se l’esperimento britannico manterrà buoni livelli di usabilità anche quando passerà dalla fase di adozione volontaria alla diffusione di massa, il caso GOV.UK potrebbe diventare un riferimento interessante anche per altre PA.