Il NCSC raccomanderà le passkey come metodo di accesso preferito, ove disponibili

Il National Cyber Security Centre del Regno Unito ha dichiarato che inizierà a consigliare l’uso delle passkey ogni volta che i servizi online le supportano, mentre la verifica in due passaggi (2SV) resterà l’opzione di riserva quando le passkey non sono disponibili. Il cambiamento è stato annunciato durante CYBERUK 2026 a Glasgow e verrà integrato gradualmente nelle linee guida dell’agenzia, anziché essere introdotto in un’unica fase.

Il NCSC ha affermato che l’aggiornamento è il risultato di un ampio lavoro con gestori di siti web, sviluppatori di app, aziende tecnologiche e FIDO Alliance, oltre che di ricerche tecniche e sociali su come le persone utilizzano effettivamente i sistemi di accesso.

Perché le linee guida stanno cambiando

In un documento pubblicato insieme all’annuncio, l’agenzia ha confrontato i metodi di accesso più comuni dal punto di vista del singolo utente. Ha esaminato l’intero ciclo di vita delle credenziali, inclusi creazione, archiviazione, utilizzo, sincronizzazione, recupero e revoca, valutando inoltre i tipi di attacco osservati più frequentemente negli incidenti reali.

Il NCSC ha affermato che le forme tradizionali di autenticazione a più fattori, come le password abbinate a codici SMS, i codici inviati via email, le password monouso generate dalle app, i token hardware e le approvazioni push, sono ancora vulnerabili al phishing. Al contrario, le credenziali FIDO2, comprese le passkey, resistono agli attacchi comuni utilizzati contro gli account nel mondo reale.

Cosa dice il NCSC sulle passkey

• Le passkey e le altre credenziali FIDO2 sono almeno altrettanto sicure dell’MFA tradizionale contro le minacce comuni.
• Quando è richiesta la verifica dell’utente, FIDO2 può essere considerato un metodo di autenticazione a più fattori.
• Poiché le passkey non possono essere copiate o inoltrate facilmente, gli attacchi di phishing su larga scala sono molto meno efficaci.
• Quando sono supportate, le passkey dovrebbero generalmente essere la prima scelta degli utenti.

L’agenzia ha inoltre affrontato i dubbi sulle passkey sincronizzate, osservando che molte persone si affidano già alla sincronizzazione basata sul cloud per i gestori di password, la posta elettronica e le app di autenticazione. Ha spiegato che la questione principale è se l’account utilizzato per proteggere tale sincronizzazione sia adeguatamente protetto.

Il NCSC ha aggiunto che la tradizionale 2SV continua a essere importante come soluzione di riserva per i servizi che non hanno ancora adottato le passkey. Tuttavia, per i siti web e le app che le supportano, l’agenzia ritiene che le passkey offrano un modo pratico per aumentare la protezione contro la compromissione degli account e il phishing.