Pass-the-Passkey: nuovi attacchi prendono di mira il successore della password

La nostra guida «Una password da sola non basta» ha riscosso un buon successo presso la comunità ed è stata redatta appositamente per i principianti. I commenti ricevuti hanno evidenziato proprio quei dettagli che all’epoca avevamo tralasciato. Ora la ricerca offre l’occasione giusta: al Black Hat USA (dal 1° al 6 agosto, Las Vegas), il ricercatore di sicurezza Michael Grafnetter presenterà una famiglia di attacchi che definisce «Pass-the-Passkey». È giunto il momento di approfondire l’argomento: cosa distingue realmente le passkey, quali sono i loro limiti e come è possibile migliorarle.

Passkey su cloud o chiave hardware: ecco la differenza

Le passkey sono disponibili in due varianti. Quella più comoda risiede in un gestore di password o direttamente presso Apple, Google o Microsoft e si sincronizza con tutti i vostri dispositivi tramite il cloud. È una soluzione pratica, ma apre una ulteriore via di attacco. Chiunque riesca ad accedere al vostro account cloud potrebbe potenzialmente ottenere anche le passkey sincronizzate. La seconda variante è la chiave hardware, una piccola chiavetta USB o NFC. La sua chiave privata non esce mai dal chip e non può essere esportata, come descrive la FIDO Alliance. Per la maggior parte delle persone la chiave di accesso nel cloud è sufficiente, poiché rimane resistente al phishing ed è chiaramente migliore di una password. Se disponete di account che richiedono una protezione speciale, sarete più al sicuro con una chiave hardware.

Cosa emerge dalla ricerca «Pass-the-Passkey»

Michael Grafnetter, ricercatore di sicurezza presso SpecterOps, ha esaminato attentamente le implementazioni reali delle passkey e ha reso noti i propri risultati sul suo blog DSInternals. Ecco cosa ha scoperto: quando l’ambiente circostante è poco accurato, è possibile riutilizzare vecchi modelli di attacco, anche se la crittografia delle passkey in sé è solida. Egli lo definisce «Pass-the-Passkey», sulla scia del «Pass-the-Hash». Un aggressore ruba i dati di accesso e li riutilizza senza mai conoscere la password. Nello specifico, ha individuato tre vulnerabilità in Windows 11 e Microsoft Entra ID che erano quasi sfruttabili. Windows 11 registrava la firma di un accesso nel registro eventi in chiaro, dove account privi di privilegi potevano leggerla, in alcuni casi persino da remoto. La chiave privata, invece, rimaneva protetta nell’autenticatore. Inoltre, Entra ID non impediva correttamente il riutilizzo di tali asserzioni. Nel complesso, ciò sarebbe stato sufficiente per assumere il controllo di account cloud con privilegi e aggirare persino l’accesso multifattoriale resistente al phishing. La vulnerabilità principale è stata catalogata come CVE-2026-34348 ed è stata risolta il 14 luglio. Microsoft ha corretto il problema sul lato cloud in modo discreto. Un aspetto è importante per contestualizzare: ciò riguarda principalmente le configurazioni aziendali con Entra ID, Windows Hello o chiavi FIDO2, non la vostra chiave di accesso privata sul telefono. Il giudizio di Grafnetter è che le chiavi di accesso rappresentino un grande passo avanti, ma non una soluzione miracolosa, e che le vie di attacco rimangano di gran lunga più complesse rispetto a quelle delle password classiche.

Le chiavi hardware non sono tutte uguali

Una chiave hardware non rappresenta automaticamente la soluzione perfetta. Consideriamo innanzitutto lo standard. FIDO2 con WebAuthn rappresenta la via moderna e resistente al phishing, mentre i metodi più datati basati su codici monouso, come il TOTP, non offrono tale protezione. In secondo luogo, i marchi più noti come YubiKey (disponibile qui su Amazon) o Titan di Google sono ormai consolidati, ma la loro stessa diffusione li rende un bersaglio popolare e presentano anch’essi dei punti deboli. L’attacco EUCLEAK ha dimostrato nel 2024 che alcune YubiKey di vecchia generazione possono essere clonate in condizioni di laboratorio. Se si desidera ridurre la superficie di attacco, è possibile scegliere deliberatamente un modello meno comune ma certificato. E per qualsiasi elemento integrato nel dispositivo, ad esempio un iPhone, vale la sobria considerazione: ciò che oggi è al sicuro nel chip potrebbe comunque essere letto un giorno. Una chiave separata che si può estrarre in caso di dubbio rimane la scelta più prudente.

L’errore più comune: la vecchia password rimane attiva

L’errore più costoso è quello che non si vede. Molte persone configurano una chiave di accesso ma lasciano attiva la vecchia password, poco sicura, come credenziale di accesso. La porta sul retro rimane quindi spalancata e la chiave di accesso serve a ben poco. Ecco come procedere correttamente:

1. Configurare una passkey o una chiave hardware per l’account.
2. Salvate i codici di recupero, preferibilmente stampandoli o memorizzandoli in un gestore di password offline.
3. Disattivate la vecchia password ovunque il servizio lo consenta.
4. Se ciò non fosse possibile, sostituisca la password con una lunga e complessa e la conservi esclusivamente in un luogo sicuro.

Vale comunque la pena effettuare il passaggio?

Sì. Le passkey spostano il bersaglio, non lo eliminano, ed è questo il messaggio sincero della nuova ricerca. Sono comunque chiaramente più sicure delle password, indipendentemente dalle fughe di dati e resistenti al phishing. Microsoft sta addirittura rendendo le passkey la modalità di accesso predefinita per i propri account cloud a partire dal 1° settembre. Per la maggior parte delle persone, la passkey sincronizzata rappresenta il passo giusto. Chiunque necessiti di maggiore protezione può aggiungere una chiave hardware e chiudere la «backdoor» della password. Grafnetter illustrerà i dettagli di «Pass-the-Passkey» al Black Hat, insieme agli strumenti che sta rilasciando come open source affinché altri possano individuare ulteriori punti deboli.

Aggiornamento del 31 luglio 2026

Abbiamo reso più precisa la descrizione della vulnerabilità di Windows. In precedenza, in questo passaggio si affermava che Windows 11 scrivesse una copia completa della chiave nel registro eventi. Tale formulazione proveniva dal rapporto di Dark Reading che avevamo citato come fonte. Ciò che effettivamente è stato registrato nel registro era la firma di un accesso, limitata nel tempo e nel pubblico, non la chiave privata. La chiave privata rimane protetta nell’autenticatore.

Microsoft ci ha segnalato l’inesattezza. La correzione è in linea con l’annuncio di Michael Grafnetter su DSInternals, che parla di firme, e con la classificazione di CVE-2026-34348 come divulgazione di informazioni nel servizio di registrazione degli eventi di Windows. Nulla di tutto ciò modifica la gravità della vulnerabilità. Le firme riutilizzabili e la mancanza del controllo di replay in Entra ID erano sufficienti, insieme, per assumere il controllo di account cloud con privilegi.