Le credenziali rubate restano il vettore di attacco più sfruttato contro le infrastrutture aziendali, e la sola password ha smesso da tempo di garantire un livello di protezione accettabile.
La passwordless authentication risponde a questo problema spostando l’identità dell’utente su fattori molto più difficili da intercettare: chiavi crittografiche, dispositivi verificati e biometria.
È diventato lo standard di riferimento per chi vuole ridurre la superficie di attacco e snellire la gestione degli accessi.
Vediamo come funziona la passwordless authentication, quali metodi sono già maturi per l’azienda e come pianificare un’adozione graduale senza spezzare l’operatività dei team.
Cos’è la passwordless authentication
La passwordless authentication è un modello in cui l’accesso a un sistema avviene senza inserimento della password.
Al posto della stringa segreta condivisa con il server, l’utente prova la propria identità con elementi crittografici legati al dispositivo, fattori biometrici o credenziali generate localmente.
Cambia il paradigma: non c’è più nulla da rubare al volo con phishing classico o credential stuffing.
I tre fattori che sostituiscono la password
Il principio operativo poggia sulla combinazione di tre fattori indipendenti che lavorano insieme:
- Qualcosa che possiedi: uno smartphone censito nell’IDP aziendale o una chiave hardware FIDO2
- Qualcosa che sei: impronta digitale, riconoscimento facciale o altra biometria locale
- Qualcosa che sai: un PIN locale al dispositivo, che non viaggia mai sulla rete
Questi fattori non transitano sul canale di rete: restano sul dispositivo dell’utente, protetti da un chip dedicato come il TPM o il Secure Enclave.
Un attaccante remoto non ha più un’unica stringa da intercettare.
Deve compromettere fisicamente il dispositivo, replicare la biometria e conoscere il PIN locale, uno scenario molto più costoso e improbabile.
Differenza tra MFA tradizionale e passwordless
Molti responsabili IT confondono i due modelli, ma la differenza è netta.
L’MFA classica somma la password a un secondo fattore (OTP via SMS, app, token): la password resta il primo livello e quindi il punto debole.
La passwordless authentication, invece, elimina del tutto la password come fattore. Non aggiunge un livello sopra: ne sostituisce uno alla radice. Il rischio di phishing, credential stuffing e attacchi a dizionario scompare perché la credenziale riusabile non esiste più.
Esiste anche una via di mezzo che alcune aziende adottano in transizione:
l’MFA passwordless, dove due fattori non-password (biometria + token hardware, per esempio) lavorano in coppia per accessi ad alto rischio come amministratori di dominio o accessi a sistemi finanziari.
Lo standard tecnico: FIDO2 e WebAuthn
La maggior parte delle soluzioni passwordless enterprise si appoggia oggi a FIDO2, lo standard sviluppato dalla FIDO Alliance e dal W3C.
FIDO2 è composto da due specifiche: WebAuthn, che gestisce la comunicazione tra browser/applicazione e server, e CTAP, che regola il dialogo con il dispositivo autenticatore.
Il meccanismo si basa su crittografia asimmetrica. Al momento della registrazione, il dispositivo genera una coppia di chiavi: la pubblica viene inviata al servizio, la privata resta blindata nell’hardware.
Quando ti autentichi, il server invia una sfida crittografica che solo la chiave privata può firmare. Nessuna password attraversa la rete, nessun database centrale di credenziali resta esposto.
È questo il motivo per cui la passwordless authentication basata su FIDO2 è considerata phishing-resistant per progettazione.
Perché eliminare le password è una priorità
Le password gestite male producono incidenti gravi e costi nascosti.
Le statistiche di settore degli ultimi anni indicano che oltre l’80% delle violazioni legate ad attacchi al perimetro web parte da credenziali compromesse, e il reset password resta la voce più ricorrente nei ticket del service desk.
Non è solo una questione di sicurezza: è efficienza operativa, esperienza utente e conformità normativa che convergono nello stesso punto.
Il costo nascosto delle credenziali compromesse
Phishing mirato, brute force e attacchi MitM continuano a funzionare perché sfruttano un meccanismo che nessuna policy di complessità può blindare davvero.
Le campagne di credential phishing oggi superano il filtro anti-spam con landing page indistinguibili dall’originale, e un dipendente distratto consegna le chiavi del dominio in pochi secondi.
A cascata arrivano i danni più costosi: movimenti laterali, ransomware, esfiltrazione di dati. Capire bene quali sono le principali minacce informatiche per le aziende aiuta a misurare quanto il vettore credenziali pesi nello scenario di rischio complessivo.
Eliminando la password dalla catena, gran parte di queste tecniche perde immediatamente efficacia.
Impatto operativo e produttività dei team
Ogni reset password gestito dal service desk costa tra i 15 e i 70 euro a richiesta, secondo le stime di Gartner.
Moltiplica questo numero per centinaia di dipendenti e diversi reset l’anno: la cifra che esce supera spesso il budget di un intero progetto di identity management.
La passwordless authentication taglia drasticamente questo flusso.
L’utente accede con un gesto biometrico o una chiave hardware, senza dimenticanze e senza ticket da aprire.
In media le aziende che adottano modelli passwordless registrano riduzioni del 50-70% dei ticket helpdesk legati alle credenziali, con un ritorno sull’investimento misurabile entro il primo anno.
Compliance e quadro normativo
NIS2, DORA, GDPR e ISO/IEC 27001 spingono tutte verso meccanismi di autenticazione forti, resilienti al phishing e tracciabili.
La sola password con policy di rotazione non è più considerata adeguata dalle linee guida più recenti dell’ENISA e del NIST.
Adottare la passwordless authentication aiuta a soddisfare i requisiti tecnici sulla protezione dell’identità senza dover stratificare controlli compensativi complessi.
Per chi sta lavorando all’adeguamento normativo, un percorso strutturato sui temi di NIS2 e GDPR è il punto di partenza naturale prima di scegliere la tecnologia.
L’identità senza password si integra con i framework di GDPR e cybersecurity perché riduce la quantità di dati sensibili (le credenziali stesse) che l’azienda deve custodire e proteggere.
Metodi e implementazione in azienda
Esistono diversi metodi passwordless oggi disponibili sul mercato enterprise, ciascuno con un profilo diverso di sicurezza, costo e usabilità.
La scelta dipende dal contesto: utenti mobili, postazioni condivise, ruoli amministrativi, settori regolamentati.
| Metodo | Sicurezza | Costo per utente | Caso d’uso tipico |
| Windows Hello for Business | Alta | Incluso | Dipendenti su laptop aziendale |
| Passkey FIDO2 software | Alta | Basso | Utenti distribuiti, BYOD |
| Chiave hardware FIDO2 | Massima | Medio | Admin, accessi privilegiati |
| Certificati digitali / smartcard | Massima | Alto | Settori regolamentati, PA |
Biometria, Windows Hello e Passkey
Windows Hello for Business sfrutta il chip TPM del dispositivo e un fattore biometrico locale per autenticare l’utente verso Entra ID. La credenziale resta dentro l’hardware e non viaggia mai sulla rete.
Le Passkey rappresentano l’evoluzione naturale per ambienti multi-device.
Sono sincronizzabili attraverso il cloud del vendor (Apple, Google, Microsoft) in forma crittografata, e funzionano su qualsiasi sito che supporta WebAuthn.
Sono la scelta ideale per organizzazioni distribuite o con politiche BYOD, perché eliminano la dipendenza da un singolo dispositivo aziendale senza ridurre il livello di sicurezza crittografica.
Chiavi hardware FIDO2 per accessi privilegiati
Per gli account amministrativi e i ruoli con accesso a sistemi critici, le chiavi hardware FIDO2 (YubiKey, Feitian, Token2) restano lo strumento più robusto.
Sono dispositivi fisici USB, NFC o Bluetooth che firmano la sfida crittografica e non possono essere clonati da remoto.
L’utente le porta con sé, le collega al dispositivo, conferma con un tocco. Nessun software malevolo installato sulla macchina può estrarre la chiave privata, perché non lascia mai il chip della key.
Questa soluzione si integra bene con architetture Zero Trust Network, dove ogni accesso deve essere verificato in modo continuo e crittograficamente forte.
Roadmap di adozione passwordless
Il salto al passwordless va pianificato per fasi, mai imposto da un giorno all’altro. Le aziende che hanno avuto i risultati migliori hanno seguito un percorso scandito:
- Audit dell’identità: censimento di utenti, applicazioni, ruoli e flussi di accesso esistenti
- Pilota su gruppi selezionati: IT, sicurezza, dirigenti — utenti che vedono subito il valore
- Integrazione con l’Identity Provider: Entra ID, Okta, Ping o soluzioni equivalenti già in uso
- Rollout graduale per dipartimento: con formazione mirata e supporto in fase di onboarding
La fase critica è l’integrazione con SSO e con le applicazioni legacy che ancora non parlano WebAuthn.
In questo caso un partner ICT con esperienza su security networking e identity management aiuta a evitare gli inciampi più costosi.
