La maggior parte delle chiavi di sicurezza viene fornita senza PIN e i siti web lo richiedono raramente

Una chiave di sicurezza sul proprio portachiavi sembra garantire la massima sicurezza. Un dispositivo hardware che nessuno può rubare da remoto. L’agenzia statunitense per la sicurezza informatica CISA definisce l’accesso resistente al phishing il «gold standard» nella sua scheda informativa dell’ottobre 2022 e indica FIDO e WebAuthn come «l’unica autenticazione resistente al phishing ampiamente disponibile».

Ciò che pochi sanno: su molte di queste chiavi, basta un semplice tocco per utilizzarle immediatamente. Nessun PIN, nessuna impronta digitale, nulla. Chiunque ne sia in possesso è, per quanto riguarda il servizio a cui è collegata, il legittimo proprietario.

Non si tratta di una svista né di un problema legato a prodotti di bassa qualità: è indicato nei manuali. Yubico lo indica nel proprio Manuale tecnico come nota a margine: «Per impostazione predefinita, non è impostato alcun PIN». E un paragrafo più avanti: le credenziali memorizzate «possono essere lasciate sbloccate e utilizzate per un’autenticazione forte a fattore singolo».

Un unico fattore, in altre parole. Esattamente ciò che le passkey avrebbero dovuto sostituire.

Toccare o dimostrare: ecco la differenza

FIDO2 prevede due livelli, entrambi contrassegnati dallo stesso sigillo di certificazione. La «Presenza dell’utente» indica semplicemente che una persona era presente e ha toccato la chiave. La chiave non verifica chi l’abbia toccata. La «Verifica dell’utente» significa che la persona ha dimostrato la propria identità, tramite PIN o impronta digitale.

Quanto sia superficiale il primo livello è documentato da Nitrokey, tra tutti i produttori. La guida di Nitrokey FIDO2 afferma: «La prima operazione FIDO viene automaticamente accettata entro due secondi dal collegamento di Nitrokey FIDO2». Il semplice inserimento del dispositivo vale come prova di presenza. La stessa pagina aggiunge che le operazioni di configurazione e ripristino non vengono accettate in questo modo. La guida di Nitrokey Passkey riporta la stessa frase senza tale limitazione, mentre per il Nitrokey 3 il produttore non documenta affatto tale comportamento.

Sui modelli BioPass K26, K27 e K45 di Feitian è il LED a fornire l’indicazione: una luce verde che lampeggia lentamente indica di toccare il dispositivo, mentre una luce che lampeggia rapidamente indica di posizionare il dito. Un unico dispositivo, due livelli di sicurezza, distinguibili in base alla frequenza di lampeggiamento.

Di norma è il sito web a decidere in merito al Suo PIN

Il secondo aspetto problematico: anche se è stato impostato un PIN, ciò non significa che verrà richiesto.

Token2 lo spiega in modo più chiaro di qualsiasi altro produttore: «La decisione se effettuare l’autenticazione con una chiave di sicurezza con o senza PIN spetta a ciascun sito web o servizio di autenticazione». Al momento dell’accesso, il servizio imposta un parametro denominato userVerification, con tre possibili valori. Con «discouraged» non richiede alcun PIN. Con «preferred», il caso standard, lo richiede solo se ne è stato impostato uno. Solo l’impostazione «required» lo rende obbligatorio, e il servizio vi costringe quindi a impostarne uno durante la registrazione.

Per voi ciò significa che, senza un PIN impostato, nemmeno l’impostazione «preferred» richiederà l’inserimento. E anche con un PIN, non vi verrà richiesto nulla se il servizio invia il valore «discouraged». Esiste un modo per invertire questa situazione, di cui parleremo tra poco.

Ciò che salta all’occhio è quanto sia esiguo il gruppo di prodotti che richiede un PIN predefinito: la linea Enhanced PIN di Yubico e il PIN+ di Token2 con firmware R3.3. Tutti gli altri prodotti vengono forniti senza. La seconda metà della tabella illustra cosa accade quando, in definitiva, il PIN non è compatibile.

Come riconoscere la qualità al momento dell’acquisto

I numeri riportati nella tabella non forniscono alcuna indicazione sulla qualità costruttiva di una chiave. A questo servono i livelli di certificazione della FIDO Alliance, che figurano nella scheda tecnica di ogni produttore. Ne esistono cinque: L1, L1+, L2, L3 e L3+.

Il livello L1 rappresenta lo standard minimo di protezione contro il phishing e le violazioni presso il fornitore di servizi. Può trattarsi di puro software e viene verificato tramite questionario. Il livello L2 richiede inoltre un ambiente di esecuzione isolato a livello hardware, in modo che un sistema operativo compromesso non possa accedere alle chiavi. A partire dal livello L3, il dispositivo deve resistere anche alle manomissioni fisiche, mentre il livello L3+ estende tale protezione fino al livello del chip. A partire dal livello L2, un laboratorio accreditato effettua i test, in parte con accesso al codice sorgente e test di penetrazione.

Per la maggior parte degli utenti privati, il livello L2 rappresenta il minimo ragionevole. Token2 lo pubblicizza per la serie PIN+, ma sul dispositivo biometrico Bio3 la certificazione copre solo il firmware. La certificazione della parte relativa alle impronte digitali è ancora in corso, secondo quanto afferma il produttore.

L’opzione che ha la precedenza sul sito web

Esiste una soluzione, denominata alwaysUV, abbreviazione di «richiedi sempre la verifica dell’utente». Quando è attiva, il token richiede un PIN indipendentemente da ciò che il servizio richiede. Token2 descrive l’effetto: «Questa impostazione impone la richiesta del PIN in tutti i casi, indipendentemente dal fatto che l’RP lo richieda o meno». Pertanto, funziona anche quando un servizio invia un messaggio di dissuasione.

Raggiungere tale opzione è un’altra questione. Token2 la fornisce abilitata a partire dal firmware R3.3. Al 5 agosto 2026, il modello PIN+ Bio3 funziona ancora con la versione R3.2 e, secondo il produttore, non riceverà mai la versione R3.3, passando invece direttamente alla R3.4, dove anche alwaysUV è attivo per impostazione predefinita. Yubico lo abilita sulla linea Enhanced PIN e sulla serie Bio. Su una normale YubiKey 5 è necessario configurarla manualmente, e la procedura è documentata solo per lo strumento da riga di comando ykman. Per quanto riguarda OnlyKey, Feitian e Google, la funzione alwaysUV non compare affatto nella documentazione da noi consultata, mentre per Nitrokey è menzionata solo in una release candidate del giugno 2026, non nella documentazione per l’utente.

Rimane tuttavia un problema. Token2 ha documentato che la funzione alwaysUV, se utilizzata in combinazione con la modalità «discouraged», causava il blocco del sistema sulle versioni precedenti di Windows, con lo schermo che alternava all’infinito le schermate «Toccare la chiave di sicurezza» e «Inserire il PIN». Secondo la sua tabella di test, erano interessate Windows 10 22H2 e le prime build di Windows 11. A partire da Windows 11 23H3, Token2 segnala che il problema è stato risolto.

Un caso particolare dimostra quanto sia facile fare supposizioni errate. OnlyKey pubblicizza l’inserimento del PIN sul dispositivo anziché sul computer. Ciò vale per il PIN del dispositivo, ma non per il PIN FIDO2: quest’ultimo viene «inserito tramite tastiera», come precisa OnlyKey nella propria documentazione sui comandi. Pertanto, viene digitato sulla tastiera del computer come ovunque altrove. Almeno i due PIN sono collegati in serie: un OnlyKey bloccato non esegue alcuna operazione FIDO2. Ciò che colpisce di più, tuttavia, è che l’ultimo firmware di OnlyKey risale al dicembre 2022, mentre Yubico ha rilasciato il firmware 5.8 nel luglio 2026.

Otto tentativi errati di fila e l’accesso viene bloccato

Il PIN ha un costo, e quasi nessuno ne parla. Yubico, Token2 e Nitrokey indicano tutti otto tentativi falliti. Lo standard FIDO CTAP fissa a otto il limite massimo, e a partire dalla versione CTAP 2.1 i produttori potrebbero consentirne un numero inferiore. Yubico aggiunge che la chiave deve essere scollegata e reinserita dopo tre inserimenti errati. Importante: si tratta di otto inserimenti errati consecutivi; un inserimento corretto azzera il contatore. Chiunque abbia realmente dimenticato il PIN dispone esattamente di quei otto tentativi.

Dopodiché, «la fine» comporta conseguenze più gravi di quanto la maggior parte delle persone si aspetti. Yubico scrive: «Il ripristino della chiave comporterà la rimozione del PIN, ma distruggerà anche tutte le credenziali U2F e FIDO2 presenti sulla YubiKey, indipendentemente dal fatto che siano rilevabili o meno». Ogni servizio presso cui la chiave era stata registrata dovrà essere configurato nuovamente. Nitrokey e Token2 descrivono la stessa procedura.

Un buon PIN che si riesca effettivamente a ricordare è quindi più importante di uno estremamente complicato. Token2 impone regole non previste dallo standard: almeno sei cifre sui modelli PIN+, otto sul firmware Octo, oppure dieci caratteri alfanumerici. Non sono ammesse sequenze ascendenti o discendenti, né palindromi, né più di tre cifre identiche.

Per quanto riguarda i sensori di impronte digitali, i produttori presentano notevoli differenze. Yubico e Token2 ricorrono al PIN dopo tre tentativi falliti. Feitian indica quindici tentativi falliti per i modelli K26, K27 e K45, dopodiché la chiave viene bloccata e, secondo il manuale, l’unica soluzione è un ripristino delle impostazioni di fabbrica con conseguente perdita dei dati. Per i modelli più recenti K49 e K50, registrati da Feitian come BioPass FIDO2 Plus, tale dato non è indicato. La YubiKey Bio è particolarmente insidiosa: con l’autenticazione U2F standard non è possibile ricorrere al PIN e, dopo tre tentativi falliti, la chiave entra direttamente in uno stato di «biometria bloccata». La stessa Yubico, in una nota per gli sviluppatori, definisce la serie Bio una scelta poco indicata per strumenti di accesso di questo tipo.

Cosa deve fare ora

Impostare un PIN. L’unico passaggio che trasforma l’autenticazione a fattore singolo in quella a due fattori. Su Yubico tramite l’app Yubico Authenticator, su Nitrokey 3 tramite Nitrokey App 2 o nitropy, sul vecchio Nitrokey FIDO2 direttamente nel browser durante la prima registrazione, poiché l’app non supporta quel modello. Su Token2 tramite lo strumento interno.

Verifichi se la funzione alwaysUV è disponibile. Su Yubico tramite ykman fido info e ykman fido config toggle-always-uv, su Token2 è già attiva a partire dalla versione R3.3. Per gli altri produttori è opportuno rivolgersi all’assistenza, poiché la documentazione non fornisce indicazioni in merito.

Registri una seconda chiave. Otto inserimenti errati di seguito e tutte le registrazioni andranno perse. Una seconda chiave nel cassetto è l’unica garanzia.

Non si affidi esclusivamente ai dati forniti da un singolo produttore. Il Manuale tecnico di Yubico indica 25 passkey per la serie 5 in una sezione e 100 nella matrice delle capacità. Token2 elenca la certificazione del chip nella stessa pagina sia come EAL5+ che come EAL6+. Verifichi sul Suo dispositivo.

Presti attenzione al firmware e alla certificazione. Su Token2 e Yubico il firmware dei modelli certificati non può essere aggiornato, e ciò è intenzionale. Ciò che il dispositivo è in grado di fare al momento dell’acquisto, lo potrà fare per sempre. Il firmware 5.8 di Yubico, del luglio 2026, può rafforzare la sicurezza del reset, ad esempio bloccandolo tramite NFC o richiedendo un contatto di cinque secondi. Si tratta tuttavia di opzioni di fabbrica impostate durante la programmazione. Su una chiave acquistata normalmente, tali opzioni sono disattivate.