e Passkey sono credenziali WebAuthn/FIDO2 che sostituiscono password e codici monouso con la crittografia a chiave pubblica associata al dispositivo, in modo che non venga mai digitato o trasmesso nulla di phishing. Entro il 2026 sostituiranno l'OTP via SMS per l'accesso all'account, mentre gli SMS sopravvivranno come canale di fallback e di riverifica laddove la copertura delle Passkey, il recupero dell'account o l'accesso da più dispositivi risultino ancora insufficienti.
Cos'è effettivamente una passkey?
Una passkey è una credenziale definita dallo standard W3C Web Authentication (WebAuthn) e dalle specifiche FIDO2 della FIDO Alliance. Quando un utente si registra, il dispositivo genera una coppia di chiavi pubblica/privata: la chiave privata non lascia mai l'autenticatore (un telefono, un laptop o una chiave hardware) e viene sbloccata tramite un'autenticazione biometrica locale o un PIN; la chiave pubblica viene memorizzata dal sito web. L'accesso avviene tramite un meccanismo di sfida-risposta crittografico, quindi non vi è alcun segreto condiviso che possa essere rubato, sfruttato tramite phishing o riprodotto.
Esistono due tipologie. Le chiavi di accesso sincronizzate sono condivise tra i dispositivi dell'utente tramite un portachiavi condiviso dalla piattaforma, risolvendo così il problema della perdita e del recupero che ha limitato l'utilizzo delle chiavi hardware. Le chiavi di accesso vincolate al dispositivo rimangono associate a un singolo autenticatore e sono adatte ai casi che richiedono la massima sicurezza. Entrambe le tipologie sono resistenti al phishing perché le credenziali sono crittograficamente limitate al sito specifico per cui sono state create e non verranno rilasciate per domini simili.
Perché il settore è passato dagli SMS OTP
Le password monouso via SMS presentano un difetto strutturale: il segreto è un codice breve che una persona può essere indotta a rivelare con l'inganno, e il sistema di trasmissione non è mai stato progettato per resistere al phishing. Diversi fattori hanno contribuito a dissuadere i flussi di dati ad alta sicurezza dall'utilizzarle.
- Lo standard NIST SP 800-63-4, finalizzato nel luglio 2025, classifica i codici monouso via SMS come un metodo di autenticazione limitato che, da solo, non soddisfa i requisiti per l'autenticazione AAL2 resistente al phishing.
- La FIDO Alliance sostiene che le passkey siano intrinsecamente resistenti al phishing, poiché le credenziali non possono essere divulgate a soggetti fraudolenti.
- Le frodi di SIM swapping e di intercettazione degli OTP consentono agli aggressori di ricevere i codici senza che la vittima disponga affatto del suo dispositivo: una minaccia che le password predefinite eliminano strutturalmente.
- Il "pumping" di SMS (traffico gonfiato artificialmente) ha trasformato ogni invio di OTP in una superficie di attacco a pagamento, introducendo un incentivo economico diretto a ridurre il volume degli OTP.
Password fisse vs OTP via SMS, a confronto
| Dimensione | SMS OTP | Chiave di accesso (WebAuthn/FIDO2) |
|---|---|---|
| Modello segreto | Codice condiviso, inserito dall'uomo | Chiave privata, mai trasmessa |
| Resistenza al phishing | Basso — il codice può essere manipolato socialmente | Credenziali di alto livello legate all'origine |
| Esposizione allo scambio di SIM | Vulnerabile | Non applicabile — nessuna dipendenza dal numero di telefono |
| Attrito utente | Attendi, leggi e digita un codice | Un gesto biometrico/PIN |
| Portata | Universale: qualsiasi telefono con un segnale | Richiede un dispositivo registrato e compatibile |
| Il ruolo migliore | Ripristino, ripristino e riverifica | Accesso all'account principale |
Il compromesso sta nella portata contro la resistenza. Una password è più sicura, ma richiede che l'utente abbia registrato un dispositivo compatibile e lo abbia a portata di mano; gli SMS raggiungono qualsiasi telefono con segnale, ma presentano le stesse debolezze di cui sopra. È proprio questa differenza che spiega perché i due sistemi coesistono, anziché essere completamente eliminati l'uno dall'altro.
Cosa fanno ancora gli SMS in un mondo basato sulle password
Rimuovere l'OTP via SMS dall'accesso principale non significa eliminare completamente gli SMS dal sistema. Il loro ruolo si sposta dall'essere la credenziale stessa a supportare il ciclo di vita della credenziale e a coprire i casi in cui le password non sono sufficienti.
- Recupero dell'account: quando un utente perde tutti i dispositivi su cui è memorizzata la password, un numero di telefono verificato rappresenta una procedura di recupero comune e consolidata per accedere nuovamente all'account.
- Avvio multi-dispositivo: la conferma di un numero di telefono aiuta a configurare un nuovo dispositivo prima che vi venga associata una password.
- Soluzione alternativa per gli utenti non registrati: coloro che non hanno ancora creato una password o che utilizzano un dispositivo preso in prestito necessitano comunque di un metodo di accesso funzionante.
- Autenticazione a più livelli e riverifica: un secondo segnale per un'azione rischiosa, che si aggiunge alla password anziché sostituirla.
- Notifiche e avvisi transazionali: aggiornamenti sulla consegna, avvisi di frode e conferme che non sono mai state autenticate in primo luogo.
Lo stack OTP e verifica di BroadNet esegue prima l'autenticazione di rete silenziosa con fallback automatico tramite SMS, quindi laddove è ancora necessario un fattore di numero di telefono (recupero, bootstrap o step-up), si ottiene un controllo di rete resistente al phishing laddove gli operatori lo supportano e la copertura SMS garantita ovunque altrove, da un'unica integrazione.
Come sequenziare la migrazione
Classificate innanzitutto i flussi in base al livello di sicurezza richiesto. Spostate l'accesso principale per gli account sensibili alle password, mantenete un fattore di numero di telefono per il recupero e gli utenti non registrati e considerate gli SMS come il ruolo a basso livello di sicurezza descritto dagli standard attuali, piuttosto che come la porta d'accesso principale. Se state ancora progettando il livello del numero di telefono, la nostra risposta su cos'è l'OTP illustra le opzioni, verifica del numero spiega l'alternativa basata sulla rete ai codici e la verifica chiavi in mano MyOTP di BroadNet gestisce la consegna di fallback in modo che possiate concentrarvi sull'implementazione delle password.
Domande frequenti
Le chiavi passkey sostituiscono completamente le password monouso via SMS?
Non del tutto. Le password monouso sostituiscono l'OTP via SMS per l'accesso principale, ma gli SMS mantengono un ruolo nel recupero dell'account, nell'avvio multi-dispositivo, nella verifica a più fattori e nel contattare gli utenti che non hanno registrato una password monouso. Nel 2026, il modello realistico prevede l'autenticazione tramite password monouso come prima opzione, con il numero di telefono mantenuto come metodo di sicurezza di riserva a basso livello, anziché come credenziale principale.
Le password sono resistenti al phishing?
Sì. Una chiave di accesso è crittograficamente legata all'origine esatta per cui è stata creata, quindi non rilascerà la sua firma a un dominio simile o fraudolento: viene eliminato il meccanismo che rende possibili gli attacchi di phishing e man-in-the-middle. La FIDO Alliance e il W3C WebAuthn progettano le chiavi di accesso in modo che siano resistenti al phishing per costruzione, cosa che l'OTP via SMS non è.
Che fine fanno gli SMS OTP per il recupero dell'account?
In genere, questa soluzione rimane in vigore. Quando un utente perde tutti i dispositivi che contengono le proprie password, un numero di telefono pre-verificato è una via di recupero ampiamente utilizzata. Il cambiamento fondamentale riguarda l'ambito di applicazione: gli SMS vengono utilizzati per ristabilire l'accesso previa verifica aggiuntiva, non come fattore di accesso quotidiano, pertanto la loro esposizione a phishing e pump è limitata a un flusso ristretto e monitorato.
Il NIST consente ancora l'autenticazione tramite SMS?
L'invio di SMS è consentito ma soggetto a restrizioni. Lo standard NIST SP 800-63-4 (finalizzato a luglio 2025) considera i codici monouso via SMS come un metodo di autenticazione limitato che, da solo, non soddisfa i requisiti AAL2 di resistenza al phishing. Può comunque fungere da metodo di sicurezza meno affidabile o di riserva, ruolo che mantiene a fianco delle password.
Riferimenti
- FIDO Alliance — Panoramica di Passkeys: fidoalliance.org
- W3C — Autenticazione Web (WebAuthn) Livello 3: w3.org
- NIST — Linee guida SP 800-63-4 sull'identità digitale (versione definitiva, luglio 2025): csrc.nist.gov
- IETF — RFC 6238, TOTP: Algoritmo per password monouso basato sul tempo: datatracker.ietf.org