Il passaggio alle passkey non sta avvenendo per obbligo di legge ma perché c'è una riconosciuta superiorità tecnica. Nel mio portachiavi ho svariate passkey non solo delle big tech (per esempio svariati forum della piattaforma Discourse che supporta nativamente le passkey).
Guardate che è lo stesso meccanismo di crittografia asimmetrica implementato da GPG, solo che vien fatto in modo trasparente (senza che l'utente se ne accorga, o ne sappia) e automatico. È uno standard aperto di FIDO alliance e W3C. Viene generata una coppia di chiavi, la chiave pubblica viene memorizzata nel server, e la chiave privata è salvata in modo sicuro[*] nel client dell'utente. Al momento di autenticarsi, viene effettuata una "challange" che prevede l'uso di tale chiave privata, per dimostrare al sito di esserne in possesso. Il serve controlla che la challange sia passata, e in caso positivo l'autenticazione è considerata valida.
Essendoci una correlazione forte tra chiave pubblica e privata, è impossibile imbrogliare. E in caso di data leak lato server, nel peggiore dei casi sarebbe esposta solo la chiave pubblica, che da sola non basta a completare un'autenticazione.
Questo in soldoni, e per come l'ho capita io.
[*] in modo sicuro = con crittografia simmetrica: per accedere alla chiave privata, il browser richiede un PIN o una master password per sbloccare il portachiavi dove è memorizzata.
ivantu
