Passkeys: l’attacco ‘Pass-ta-key’ è solo l’ennesima ondata di hype inutile?
Scommetto che il vostro feed è stato inondato da titoli apocalittici che promettono il collasso totale della sicurezza digitale grazie a questo nuovo attacco chiamato «Pass-ta-key». Se avete letto bene, avrete notato che la notizia su Ars Technica sembra suggerire che le fondamenta della crittografia moderna stiano crollando come un castello di carte durante un raid di un botnet. Ma spoiler: fate un respiro profondo, non è successo nulla di così tragico. In realtà, stiamo parlando di quello che in gergo chiamiamo un «nothingburger». Un termine che adoro perché descrive perfettamente quella sensazione di vuoto che provi quando leggi un comunicato stampa carico di termini tecnici aggressivi che poi, una volta analizzati, si rivelano essere solo un problema di implementazione locale e molto specifico. Il cuore della questione non è un difetto intrinseco del protocollo delle passkey, ma piuttosto il modo in cui certi ecosistemi decidono di gestire l’integrazione con Windows rispetto ad altri sistemi operativi. Il problema nasce da come le app gestiscono le chiamate verso Windows, creando delle asimmetrie che potrebbero, in scenari molto particolari e costruiti a tavolino, permettere manipolazioni. È un po’ come se qualcuno trovasse un modo per bypassare la serratura della vostra smart lock non perché la serratura sia progettata male, ma perché l’installatore l’ha montata su una porta di cartongesso. Per noi che viviamo di open source e di sistemi che vogliamo controllare, questo tipo di disallineamento tra i vari vendor è sempre un segnale d’allarme. Vedere come le diverse piattaforme scelgano di implementare lo standard — con approcci che sembrano quasi diversi solo per mantenere l’utente prigioniero nel proprio ecosistema preferito — è la solita storia. Non è una questione di leggi o regolamenti europei che ci toccano direttamente, ma è un problema di filosofia del software: perché creare uno standard universale se poi ogni produttore decide di interpretarlo come gli pare, creando buchi di sicurezza o, peggio, inefficienze? Quindi, meno panico. Se usate le passkey correttamente, non siete diventati vulnerabili dall’oggi al domani. Però, tenete gli occhi aperti: l’attacco esiste, ma la sua portata è molto più limitata a quanto i titoli clickbait vogliano farvi credere. La vera sfida rimane quella di riportare la tecnologia verso standard che non siano solo ‘comodi’ per i big del settore, ma realmente interoperabili e trasparenti. In breve: la tecnologia è solida, sono le implementazioni pigre che ci fanno preoccupare. Source: New Pass-ta-key attack reveals all the things we didn't know about passkeys