Addio alle password anche sugli account Google: come funzionano le passkey e come abilitarle

La Grande G ha appena fatto un ampio passo verso un futuro senza password per gli account Google. L'azienda ha infatti annunciato che sono disponibili già da subito su tutte le principali piattaforme le "passkey", una nuova soluzione crittografica che consente di garantire l'accesso all'account attraverso un dispositivo preautenticato.

Gli utenti interessati possono passare sin da subito alle passkey, abbandonando così la propria password o il processo di verifica a 2 step. Google spiega così la funzionalità:

"Le passkey ti permettono di accedere in sicurezza al tuo Account Google usando la tua impronta, il tuo volto, il blocco schermo o il token di sicurezza hardware".

Cosa sono le passkey, alternative alle password per gli account Google?

Le passkey rappresentano un'alternativa più sicura alle password tradizionali, e sono già state prese in considerazione anche da altre società, come ad esempio Microsoft, in conformità con quanto definito dalla FIDO Alliance. Possono sostituire diversi sistemi di log-in, come la verifica 2FA o via SMS, utilizzando per l'accesso un PIN locale o un dispositivo di autenticazione biometrica (sensore di impronte o Face ID). La sicurezza delle passkey sta nel fatto che tutti i dati biometrici e le stesse passkey rimangono in locale e non vengono condivisi con il fornitore del servizio legato all'account (in questo caso Google). Questo garantisce un ulteriore strato di sicurezza, visto che la passkey è legata al dispositivo e non c'è una password che un attore malevolo può rubare attaverso attacchi mirati (ad esempio di phishing).

Quando viene aggiunta una passkey a un account Google la piattaforma inizierà a richiedere l'autenticazione ogni volta che si eseguirà l'accesso allo stesso account, o quando verranno rilevate attività potenzialmente sospette. Le passkey possono essere memorizzate su tutti i dispositivi compatibili (qui la lista completa), come ad esempio gli iPhone con iOS 16 o i dispositivi Android 9 o successivi, e potranno essere condivise attraverso iCloud o password manager come Dashlane e 1Password (il supporto arriverà a breve). Google dà anche la possibilità di accedere all'account Google attraverso dispositivi non di proprietà, utilizzando un'opzione apposita che consente di creare un accesso una tantum senza trasferire la password su dispositivi sconosciuti.

Le passkey possono anche essere revocate velocemente attraverso le impostazioni dell'account Google, ad esempio se si perde il dispositivo legato alla passkey o se si sospetta che l'account sia stato rubato.

È probabile che il processo di adozione delle passkey non sarà rapidissimo, ed è per questo che Google supporterà ancora per diverso tempo i metodi di autenticazione tradizionali. Gli utenti che non hanno a disposizione prodotti con sensori biometrici integrati non sono ovviamente obbligati a cambiare hardware per accedere al proprio account Google. Come molte altre aziende, però, anche la Grande G si sta preparando a un futuro "passwordless", incoraggiando gli utenti con hardware più aggiornato a compiere il cambiamento già da adesso.

Google ha implementato lo scorso dicembre su Chrome il supporto alle passkey, tuttavia l'adozione da parte dei servizi non è stata eclatante. Il futuro passwordless, insomma, non è ancora molto vicino nonostante gli indiscutibili vantaggi in termini di sicurezza, privacy e protezione. E, ulteriore vantaggio non da poco, con le passkey gli utenti non avranno più bisogno di ricordarsi una password diversa per ogni servizio.

Come abilitare le passkey sul proprio account Google

Per attivare l'autenticazione via passkey sul proprio account Google è sufficiente accedere a questo indirizzo con un browser web, dopo aver eseguito il log-in. Google mostra inoltre un avviso che consente l'abilitazione della funzione quando viene rilevato l'accesso su un dispositivo compatibile, quindi il processo di creazione della passkey per i vari dispositivi in possesso dovrebbe avvenire in maniera quasi automatica, con un numero di interazioni ben ridotto da parte dell'utente. Accedendo alla pagina è possibile creare nuove passkey per il dispositivo in uso, in modo da non dover più inserire la password del proprio account con lo stesso.

Nel post ufficiale Google ha inoltre indicato che la funzionalità non è ancora disponibile per gli account Google Workspace, ma gli admin avranno "presto" la possibilità di abilitare le passkey sui client gestiti durante il log-in.