Cosa succede se perdi il dispositivo con la passkey? Passkey sincronizzate vs passkey vincolate al dispositivo

Perdere il telefono è ancora peggio quando gli accessi sono salvati lì. Che le passkey siano recuperabili dipende da una cosa: se erano sincronizzate tra più dispositivi o vincolate a quello che hai perso.

Ecco cosa succede in entrambi i casi, perché il recupero dell’account è il punto debole, cosa fare per prima cosa e come prepararsi. Questo articolo descrive il funzionamento generale delle passkey; i passaggi esatti variano a seconda dei servizi e dei dispositivi.

Cosa succede dipende dal tipo di passkey

Una passkey sincronizzata viene salvata tramite un servizio di sincronizzazione e compare sugli altri tuoi dispositivi. Una passkey vincolata al dispositivo rimane su un solo dispositivo e non può essere copiata: è così che funzionano le passkey memorizzate su una chiave di sicurezza fisica, secondo la FIDO Alliance.

Le linee guida sull’identità digitale del NIST mostrano il compromesso. Consentono chiavi esportabili, come le passkey sincronizzate, al livello intermedio di garanzia, ma le vietano al livello più elevato, che richiede una chiave che non possa lasciare il dispositivo. Le linee guida si applicano ai sistemi governativi, ma riflettono la stessa scelta: più una chiave può essere trasferita, più è facile recuperarla e meno è vincolata a un singolo dispositivo.

Se perdi un dispositivo con una passkey sincronizzata

L’NCSC del Regno Unito spiega che le passkey sincronizzate vengono propagate a tutti i dispositivi collegati allo stesso account di sincronizzazione, quindi perdere un dispositivo non ti fa perdere l’accesso se ne hai un altro. Se il dispositivo smarrito era l’unico, ti serve un nuovo dispositivo, preso in prestito o acquistato, e puoi recuperare l’accesso ripristinando l’account di sincronizzazione. Una volta ripristinato quell’account, tornano anche le tue passkey.

Per questo l’account di sincronizzazione è fondamentale. Se è possibile recuperarlo in modo sicuro, recuperi tutto ciò che contiene. Se il suo recupero è poco sicuro, un aggressore può tentare di sfruttare lo stesso percorso. La FIDO Alliance descrive anche l’accesso cross-device, che consente di usare una passkey su un dispositivo vicino per accedere da un altro: una soluzione utile se usi un computer che non contiene le tue passkey.

Se perdi una passkey vincolata al dispositivo

Una passkey vincolata al dispositivo non può essere esportata, quindi, se perdi il dispositivo o la chiave di sicurezza, perdi anche la credenziale. L’NCSC afferma che, in questa situazione, gli utenti devono affidarsi a un backup registrato in precedenza oppure seguire la procedura di recupero dell’account per ciascun servizio. Aggiunge che chi sceglie una credenziale utilizzabile su un solo dispositivo è responsabile della gestione dei propri backup e che i servizi dovrebbero incoraggiare la registrazione di una credenziale di riserva.

Perché il recupero è il punto debole

Quando perdi una passkey, è il processo di recupero a determinare quanto sei davvero al sicuro. L’NCSC osserva che gli aggressori prendono di mira il recupero dell’account, perché spesso è meno sicuro dell’accesso, soprattutto negli attacchi motivati da ragioni finanziarie o quando l’aggressore ha già il controllo dell’email della vittima. Una passkey resiste al phishing, ma non è d’aiuto se qualcuno riesce a superare una procedura di recupero meno sicura parlando con un operatore o reimpostando le credenziali.

Per lo stesso motivo sono importanti i metodi di recupero configurati in anticipo. Il NIST descrive i codici di recupero salvati come segreti monouso da conservare e usare in caso di perdita di un altro autenticatore. Sono utili, ma non resistono al phishing, quindi vanno conservati offline e tenuti riservati.

Cosa fare subito e come prepararsi

Se perdi un dispositivo, parti da ciò che hai ancora. Usa un altro dispositivo, se ne possiedi uno, controlla l’account di sincronizzazione per individuare eventuali dispositivi che non riconosci e proteggi prima quell’account. Secondo l’NCSC, eliminare una passkey da un dispositivo smarrito non la revoca automaticamente presso il servizio; per gli account importanti, quindi, rimuovi la vecchia passkey dalle impostazioni di sicurezza dell’account, se il servizio lo consente. Il NIST si aspetta inoltre che i servizi offrano un modo per invalidare un autenticatore smarrito non appena viene segnalato.

È meglio prepararsi prima di averne bisogno. Registra più di una passkey o di un metodo di accesso sugli account importanti, conserva offline i codici di recupero, proteggi l’account di sincronizzazione con un accesso sicuro e usa un PIN robusto per il dispositivo: l’NCSC osserva che un ladro a conoscenza di un codice debole potrebbe riuscire a usare le credenziali memorizzate. Mantieni aggiornati anche l’indirizzo email e il numero di telefono per il recupero.

Promemoria WEEX: registra un backup prima di averne bisogno

WEEX ricorda agli utenti di configurare più di un modo per riaccedere agli account importanti e di conservare offline i codici di recupero, non come screenshot o note nel cloud. Dopo aver perso un dispositivo, considera esposto tutto ciò che vi era memorizzato finché non avrai protetto i tuoi account e non condividere mai un codice di recupero o una frase seed con chiunque si offra di aiutarti. Una passkey non esegue il backup di un wallet, quindi la frase seed di un wallet in autocustodia deve avere un backup sicuro e offline separato. Questo contenuto non costituisce una consulenza finanziaria.

Conclusione

È possibile superare la perdita di un dispositivo se ci si è preparati. Una passkey sincronizzata è disponibile anche sugli altri dispositivi e si ripristina recuperando l’account di sincronizzazione; una passkey vincolata al dispositivo, invece, è persa se non avevi registrato un backup. In entrambi i casi, gli aggressori prendono di mira il recupero dell’account: proteggerlo, conservare offline i codici di recupero e registrare più di un metodo di accesso sono quindi i passaggi più importanti.

FAQ

1. Cosa succede se perdo il telefono che contiene le mie passkey?
Dipende dal tipo. Le passkey sincronizzate sono disponibili sugli altri dispositivi collegati allo stesso account di sincronizzazione oppure si ripristinano recuperando quell’account. Le passkey vincolate al dispositivo non possono essere copiate, quindi ti serve un backup registrato in precedenza oppure devi ricorrere alla procedura di recupero dell’account del servizio.

2. Qualcuno può usare la mia passkey se trova il telefono che ho perso?
Di norma, per usare una passkey è necessario sbloccare il dispositivo con un dato biometrico o un PIN. L’NCSC osserva che chi ha rubato un dispositivo e conosce un codice debole potrebbe riuscire a usare le credenziali memorizzate, quindi è importante scegliere un PIN robusto.

3. Devo rimuovere la passkey dai miei account dopo aver perso un dispositivo?
Sì, per gli account importanti, se il servizio lo consente. L’NCSC afferma che eliminare una passkey da un dispositivo non la invalida automaticamente presso il servizio e il NIST si aspetta che i servizi permettano di invalidare un autenticatore smarrito.

4. E se perdo il mio unico dispositivo e la mia unica passkey?
Dovrai seguire la procedura di recupero dell’account del servizio. Il recupero è spesso meno sicuro dell’accesso, quindi mantieni aggiornati l’indirizzo email e il numero di telefono per il recupero e conserva offline i codici di recupero.

5. Dovrei registrare più di una passkey?
Sì, se il servizio lo consente. L’NCSC raccomanda ai servizi di supportare più credenziali per lo stesso account e suggerisce di registrare una credenziale di riserva per quelle utilizzabili su un solo dispositivo.