Accesso passwordless: cos’è e perché è giunto il momento di implementarlo nella tua PMI

Per anni l’accesso alle risorse aziendali si è basato su un binomio apparentemente solido: username e password. Un meccanismo semplice e familiare, che oggi rappresenta il punto più fragile di qualsiasi infrastruttura IT.

L’introduzione della multi-factor authentication, pur avendo migliorato la protezione, rimane comunque non abbastanza forte considerando il furto delle sessioni token.

Le statistiche Microsoft parlano chiaro: secondo il Microsoft Digital Defense Report 2024 (puoi consultarlo qui), infatti, oltre il 99% degli attacchi all’identità osservati su Entra ID si basa proprio sul tentativo di sfruttare la password, mentre gli incidenti legati al furto dei token di sessione sono in forte crescita, con una media stimata di circa 39.000 casi al giorno. In parole semplici, il bersaglio preferito dei criminali informatici resta la credenziale dell’utente, sotto qualsiasi forma.

Non stupisce quindi che Microsoft, con Entra ID, stia spingendo con decisione verso un modello di autenticazione passwordless. Un approccio che unisce tre elementi chiave per le PMI: sicurezza, semplicità e controllo.

Ma come si è arrivati a questo cambio di paradigma?

Vediamo insieme l’evoluzione dell’autenticazione, dal metodo più debole al più sicuro, e perché per una PMI conviene orientarsi verso i metodi moderni.

Il punto di partenza: la sola password

L’autenticazione basata unicamente su username e password è stata per decenni lo standard. Un approccio che oggi sappiamo essere vulnerabile: phishing, furti di credenziali, attacchi automatizzati… Anche le policy più restrittive – password lunghe, complesse e da cambiare periodicamente – non riescono a garantire resilienza e finiscono per cedere.

Per questo negli ultimi anni ormai tutte le organizzazioni hanno abbandonato l’autenticazione basata semplicemente sul “qualcosa che si conosce”.

Metodi intermedi: password + OTP (One Time Password) via SMS o chiamata (2FA / MFA)

Il secondo passo per rafforzare la sicurezza è stata l’introduzione dell’autenticazione a due o più fattori basata su codice OTP. In questo modello, dopo aver digitato la password, l’utente riceve un codice aggiuntivo necessario per completare il processo di autenticazione. Una soluzione facile da spiegare e immediata da utilizzare, soprattutto perché non richiede l’acquisto di dispositivi particolari.

Nonostante ciò, anche questo metodo presenta limiti importanti: i codici OTP, che viaggiano su un canale esterno e vulnerabile, possono essere intercettati facilmente con diverse metodologie di attacco (phishing, smishing, social engineering…). Per questo motivo oggi queste modalità sono considerate ad alto rischio in scenari con un’esposizione significativa.

Metodi buoni: password + app o token hardware TOTP (Time-Based One Time Password)

Un’ulteriore miglioria è stata l’introduzione di applicazioni come Microsoft Authenticator, che abilitano l’autenticazione previo codici di accesso TOTP (software) o token TOTP fisici (hardware).

In questo modello, il sistema genera localmente ogni 30 secondi un codice univoco, molto più robusto e difficile da intercettare rispetto ad un OTP.

Negli anni, app come Microsoft Authenticator si sono evolute ulteriormente, introducendo modalità di accesso svariate come la notifica push da approvare dopo l’autenticazione con password.

Nonostante ciò, questa forma di autenticazione resta comunque ancorata alla password come primo fattore e quindi soggetta agli stessi pattern di attacco già noti (phishing, social engineering…). In altre parole, il punto debole rimane e il vero problema non viene eliminato.

Il vero salto: paradigma passwordless

Il vero cambio di paradigma si realizza quando la password sparisce a fronte di fattori di accesso molto più complessi da compromettere, legati all’identità dell’utente (chi è), al dispositivo che utilizza (ciò che possiede) e ad una informazione in suo possesso (qualcosa che conosce). Qui possiamo parlare finalmente di un modello passwordless.

Andremo ad elencare, in ordine di efficacia, i principali metodi di autenticazione passworless: dal più semplice fino al metodo strong-auth (metodo passwordless per eccellenza).

1. Authenticator App (notifica push)

In questo scenario, nel tentativo di accesso, l’utente inserisce solamente il proprio username. Conseguentemente, mediante l’app Authenticator, riceve una notifica push sul proprio smartphone, dal quale può confermare l’accesso con un gesto semplice, ad esempio tramite impronta digitale o riconoscimento facciale, seguiti da approvazione manuale della notifica.
Questa modalità elimina del tutto la password, risultando pratica e veloce: ideale per chi lavora in mobilità e deve poter accedere ai sistemi aziendali in modo rapido e sicuro, senza dover ricordare o digitare password complesse.

2. Windows Hello for Business (WHfB)

Windows Hello for Business sfrutta le potenzialità del dispositivo stesso per garantire un accesso sicuro. L’autenticazione avviene tramite PIN legato al chip TPM o tramite metodi biometrici come impronta digitale o riconoscimento facciale. Per essere idoneo, il dispositivo deve essere censito in Entra ID.

Il vantaggio è che il dato di autenticazione è crittografato da un chip hardware a bordo del device invece di essere salvato in una directory cloud.

3. FIDO2 Security Keys / Passkey

Le chiavi di sicurezza FIDO2 permettono all’utente di autenticarsi senza password utilizzando:

1. Dispositivi hardware connessi via USB, NFC o Bluetooth;
2. Credenziali integrate nei sistemi operativi o nelle app moderne che permettono la registrazione di una Passkey software crittografata (come Microsoft Authenticator).

Ma come funziona sostanzialmente?

L’utente, anziché digitare una password, utilizza qualcosa che possiede (dispositivo fisico), qualcosa che è (biometria) e qualcosa che sa (PIN).
Il meccanismo si basa sulla crittografia a chiave pubblica: quando si registra la chiave FIDO2 su un servizio, viene generata una coppia di chiavi crittografiche.

• La chiave pubblica va al servizio (esempio Entra ID),
• La chiave privata resta custodita nel dispositivo e non può essere copiata.

Quando l’utente si autentica, il servizio invia una “challenge crittografica” che solo la chiave privata può firmare. In questo modo, si conferma l’identità senza mai trasmettere una password riutilizzabile, eliminando completamente i pericoli di phishing. Anche un criminale inviasse una finta pagina di login, la chiave FIDO2 non funzionerebbe perché crittograficamente legata al dominio/sito/servizio legittimo, inoltre, non esistendo una password da intercettare, non c’è nulla che possa essere rubato.

Le chiavi FIDO2 sono ideali in contesti condivisi, come uffici dove più persone utilizzano la stessa postazione, o per utenti che hanno la necessità di spostarsi tra più dispositivi senza compromettere la sicurezza. In questo modo, l’identità digitale diventa portabile e indipendente dalle password.

4. Certificati digitali (Smartcard o Certificate-based Auth)

L’autenticazione basata su certificati digitali, tradizionalmente diffusa nei grandi ambienti enterprise, oggi è facilmente integrabile anche con dispositivi moderni.

Questo metodo, che spesso si concretizza in smartcard o certificati software installati sul dispositivo, è particolarmente adatto in settori regolamentati o in scenari ad alta compliance, dove è necessario garantire un livello massimo di sicurezza e tracciabilità.

Il modus operandi è più o meno lo stesso delle FIDO2; la differenza è che, in questo contesto, la chiave privata è rappresentata da una sorta di “carta d’identità elettronica” salvata su un dispositivo, emessa da un Certification Authority (CA) che prova l’identità dell’utente.

Sostanzialmente, quando l’utente prova ad accedere ad una risorsa, il sistema chiede al dispositivo di dimostrarne l’identità. Il certificato registrato sul dispositivo firma una “challenge crittografica” usando la chiave privata, dopodiché il sistema verifica la firma confrontandola con la chiave pubblica, che è associata all’identità digitale e riconosciuta dalla CA.

In sintesi, l’autenticazione con certificati digitali equivale a mostrare ad una guardia un documento d’identità emesso da un’autorità fidata, solo che avviene in automatico e in modo crittografico.

Perché una PMI dovrebbe puntare al passwordless

Per una PMI orientarsi verso il passwordless oggi non è più così complesso.

Con Entra ID e Intune, anche le aziende più piccole, prive di un grande reparto IT, possono gestire questa evoluzione in modo graduale.

Quali vantaggi?

• Riduzione dei rischi di phishing: senza password, non c’è nulla da rubare,
• Ottimizzazione dell’esperienza utente: addio reset e niente più “non ricordo la password…”,
• Supporto alla compliance: molte normative come ISO/IEC 27001 o NIS2 premiano modelli di autenticazione resilienti e verificabili.
• Adattabilità e scalabilità: tramite Intune e le policy di Accesso Condizionali presenti in Entra ID, anche un’organizzazione non dotata di team IT interno può implementare il passwordless e integrarlo mano a mano nei propri schemi aziendali.

Cosa fare ora?

Il futuro dell’autenticazione è già tracciato: meno password, più sicurezza.
Per una PMI, adottare oggi il modello passwordless significa ridurre i rischi di attacco, semplificare l’esperienza degli utenti e costruire basi solide per una crescita digitale sicura.

La squadra Infoteam è pronta ad accompagnarti in questo percorso di trasformazione digitale, con soluzioni pensate su misura per la tua realtà.

Da dove cominciare?

1. Abbandona le password in favore di WHfB (Windows Hello for Business);
2. Introduci metodi di accesso forti (Passkey con Microsoft Authenticator, FIDO2…);
3. Pianifica l’adozione del modello Zero Trust.

Vuoi sapere qual è il metodo passwordless più adatto alla tua azienda? Parliamone oggi.

Contattaci per una consulenza personalizzata all’indirizzo marketing@infoteamsrl.it.