Ecco “Fido”: la rivoluzionaria tecnologia che ci farà vivere senza password

Spesso ovvie e banali, le nostre tradizionali password alfanumeriche vengono regolarmente rubate dagli hacker. Ma scegliere combinazioni troppo complesse rischia di farcele dimenticare. Per fortuna ora tutto cambierà grazie al sistema “Fido”, di recente adottato anche da Apple, Google e Microsoft. Ecco come funziona.

Sono allo stesso tempo il nostro punto debole e un regalo insperato agli hacker. “123456” viene utilizzata da cento milioni di persone in cinquanta Paesi ed è saldamente al primo posto tra le password più comuni secondo l’ultimo report di NordPass. C’è anche “000000”, “qwerty” e l’ovvia “password”. In Italia al sesto posto troviamo “juventus”, al nono “andrea” e al decimo “napoli”. Non solo. La metà delle persone utilizza una sola password per tutto, il 30% delle password ha meno di nove caratteri, il 20% meno di sette, e solo un terzo degli internet users le cambia almeno una volta l’anno. E ancora: quasi un dipendente su sette ha comunicato la propria password a un collega, e per giunta riutilizza la stessa almeno 13 volte.

E’ vero che, come stima SC Magazine, ogni persona deve ricordarsi in media la bellezza di 38 password. La nostra memoria ha un limite e quando compare l’ennesimo “scegliere password” ne mettiamo una semplice o già utilizzata. Ma è altrettanto vero che con questo livello di leggerezza e pigrizia l’81% delle azioni hacker utilizza proprio il cavallo di Troia di password deboli o rubate, come attesta il Verizon 2022 Data Breach Investigation Report. Nella metà dei casi si tratta di operazioni condotte da organizzazioni criminali.

Fonte: Nordpass

Il conto degli smemorati

Una password a prova di bomba è possibile, ma porta con sé una potenziale insidia: dimenticarsela. Il che può costare molto caro, come sanno alcuni proprietari di wallet Bitcoin milionari, tagliati fuori dalle loro ricchezze proprio perché smemorati. Pare che un quinto dei Bitcoin in circolazione sia bloccato in “portafogli” di cui si sono smarrite le password, ha rivelato il New York Times, e la società specializzata Wallet Recovery Services afferma di ricevere una settantina di richieste al giorno da Paperoni che hanno dimenticato i propri codici d’accesso.

Possibile che le tecnologie oggi disponibili non riescano a semplificare gli accessi quotidiani a siti e app di miliardi di persone?

La rivoluzione Fido Alliance

La buona notizia è che le vecchie password hanno le ore contate. Da una decina d’anni esiste un consorzio chiamato Fido Alliance (dove “Fido” sta per “Fast IDentity Online”) che ha sviluppato un protocollo in grado di utilizzare i device personali per identificarsi, al posto delle password alfanumeriche.

Il cuore del nuovo sistema di sicurezza è lo smartphone, al quale viene inviata una notifica per autorizzare il login: l’accesso si effettua con il pin, oppure con le impronte digitali, o ancora con la scansione del viso, un comando vocale, il collegamento da un dispositivo wearable e così via.

Fondata nel 2012 da alcune aziende tech (tra cui PayPal e Lenovo), Fido Alliance ha fatto fatica a decollare. Il salto di qualità è però arrivato in maggio, quando tre giganti come Apple, Google e Microsoft hanno annunciato un’alleanza strategica per eliminare le chiavi alfanumeriche. Entro il 2023 il trio svilupperà un’infrastruttura comune per consentire un rapido login smartphone (Android e iOS), computer (Windows e macOS) e browser (Chrome, Edge e Safari).

Sistemi che si parlano

Proprio in questo sta la portata rivoluzionaria dell’ingresso di Apple, Google e Microsoft nell’ecosistema Fido: grazie all’interoperabilità dei sistemi, potremo accedere a siti e app autenticandoci in modo rapido e sicuro anche su più dispositivi, senza password ma con la semplice operazione di sblocco del telefono che eseguiamo decine di volte al giorno.

Per la registrazione o l’autenticazione su siti e app, sarà sufficiente inserire il proprio nome utente e cliccare sul tasto “iscriviti”, in modo da creare un account. Il tutto senza alcuna password. Lo smartphone crea infatti una coppia di chiavi: quella privata è memorizzata nel dispositivo, mentre quella pubblica viene registrata dal sito o dall’app. Quando l’utente vuole accedere, il sistema deve dimostrare di possedere la chiave privata, che viene inserita - in modo rapido e intuitivo - con la stessa procedura scelta per sbloccare lo smartphone (ossia l’inserimento del Pin, che diventa così la “password unica”, oppure il riconoscimento di dati biometrici).

Sul server non vengono mai memorizzati dati sensibili, nessun protocollo coinvolge terze parti e non esistono collegamenti tra vari servizi. A garantire sicurezza e riservatezza è il fatto che l’autenticazione viene eseguita localmente: nessuna informazione personale o di login viene trasmessa via internet.

Addio password, ma quando?

Una piccola grande rivoluzione, insomma. Le password hanno quindi i mesi contati? Non proprio: l’avvento di Fido avverrà per gradi. Intanto è necessario avere uno smartphone, e non tutti lo possiedono, ma anche aver aggiornato tutti i sistemi operativi o i browser alle future versioni “interoperabili” sviluppate da Apple, Google e Microsoft, con tutti i potenziali problemi che questa colossale migrazione tecnologica comporta. Ma la strada è segnata. E un giorno anche le password “123456” verranno consegnate alla storia, diventando vintage almeno come Pac Man o il Commodore 64.