L'autenticazione senza password è un metodo di autenticazione che non utilizza password tradizionali, domande di sicurezza o altri fattori di conoscenza per verificare l'identità di un utente. Invece, i metodi di autenticazione senza password utilizzano elementi più difficili da rubare o falsificare, come passkey, chiavi di sicurezza fisiche e biometria.
Le password sono forse il metodo più comune di autenticazione degli utenti e forse anche il più debole. Le password possono essere rubate tramite attacchi di phishing e malware infostealer, indovinate tramite attacchi di forza bruta o acquistate dal dark web, dove gli hacker le vendono a pochi euro l'una.
Armati di credenziali rubate, gli attori delle minacce possono prendere il controllo di account legittimi, abusare dei loro privilegi validi ed eludere il rilevamento, perché la loro attività sembra quella di un utente autorizzato. Secondo l'IBM X-Force Threat Intelligence Index 2025, il furto valido di account è uno dei vettori di accesso iniziali più comuni, presente nel 32% degli attacchi informatici analizzati da X-Force.
Altri fattori di conoscenza (cioè qualsiasi fattore di autenticazione che si basa su un segreto che l'utente conosce) presentano le stesse debolezze. Le risposte alle domande di sicurezza più comuni, come il nome del primo animale domestico o del migliore amico d'infanzia, possono essere facilmente scoperte tramite l'ingegneria sociale o una semplice esplorazione dei social media.
Sebbene "password" sia nel nome, l'autenticazione senza password elimina tutti i fattori di conoscenza, comprese le domande di sicurezza. I metodi senza password sostituiscono questi fattori di conoscenza con token hardware, passkey crittografiche, impronte digitali, scansioni facciali, app di autenticazione e altro ancora.
Questi fattori di autenticazione senza password sono considerati molto più sicuri dei fattori di conoscenza. Non possono essere facilmente rubate o falsificate, rendendole resistenti ad alcune delle minacce informatiche più diffuse oggi. Ad esempio, i criminali informatici non possono rubare una password tramite un link di phishing, né possono creare impronte digitali false senza una tecnologia altamente sofisticata.
Unisciti ai leader della sicurezza che si affidano alla newsletter Think per ricevere notizie selezionate su AI, cybersecurity, dati e automazione. Impara velocemente da tutorial e articoli informativi consegnati direttamente nella tua casella di posta. Leggi l'Informativa sulla privacy IBM.
L'autenticazione senza password funziona sostituendo i fattori di conoscenza nel processo di autenticazione con alternative non basate sulla conoscenza. Quindi, invece di chiedere una password, un processo di accesso senza password potrebbe chiedere a un utente di fare clic su un link magico o di toccare una notifica push.
Per comprendere appieno la logica dell'autenticazione senza password, può essere utile analizzare innanzitutto come funziona l'autenticazione in generale.
In un tipico processo di autenticazione, gli utenti dimostrano la propria identità fornendo la prova di essere chi affermano di essere. Questa prova è chiamata "fattore di autenticazione" e di solito rientra in una di quattro categorie:
Fattori di conoscenza: qualcosa che solo l'utente conosce, come una password o la risposta a una domanda di sicurezza.
Fattori di possesso: qualcosa che l'utente possiede, come una password monouso generata da uno smartphone personale o una chiave crittografica privata.
Fattori di inerenza: qualcosa che caratterizza l'utente, in genere si riferisce a dati biometrici come impronte digitali, riconoscimento facciale e scansione della retina.
Fattori comportamentali: qualcosa che l'utente fa, come tendenze di digitazione uniche o gesti del mouse.
Le soluzioni di autenticazione senza password utilizzano solo fattori di possesso, inerenza e comportamento. Più specificamente, le alternative comuni alle password includono:
Le chiavi di accesso si basano sulla crittografia a chiave pubblica, generalmente implementata secondo una serie di standard noti come FIDO o FIDO2.
Le password funzionano generando una coppia di chiavi crittografiche: una chiave pubblica condivisa con qualsiasi servizio a cui l'utente si sta iscrivendo e una chiave privata conservata sul dispositivo dell'utente, come il suo smartphone personale. La chiave privata non viene mai condivisa con il servizio. Inoltre, la chiave privata è protetta da un PIN o da una verifica biometrica.
(Lo standard FIDO supporta anche le chiavi di sicurezza hardware. Per ulteriori informazioni, consulta "Token hardware".)
Con una passkey, il flusso di autenticazione funziona così:
Le passkey sono considerate molto più sicure delle password per diversi motivi. La chiave privata non lascia mai il dispositivo dell'utente, quindi non può essere intercettata. Se un criminale informatico riesce a rubare il dispositivo contenente la chiave privata, dovrà comunque inserire un PIN o superare una verifica biometrica per poterla utilizzare.
Come ha detto Jeff Crume, inventore principale e illustre ingegnere di IBM, in un episodio del podcast IBM Security Intelligence:
Il principale vettore di violazione dei dati [secondo il Report Cost of a Data Breach del 2025 di IBM] è il phishing. E con il phishing, cosa cercano? Vogliono ottenere le tue credenziali. Allora prova a pensarla così: se non hai una password, nessuno può rubartela. Se hai una passkey, è molto più difficile.
L'autenticazione biometrica si basa sulle caratteristiche fisiche dell'utente. Le scansioni della retina, la tecnologia di riconoscimento facciale e la scansione delle impronte digitali sono alcune delle forme più comuni di biometria.
I fattori biometrici sono considerati sicuri perché non possono essere rubati o falsificati facilmente. Sono anche considerati facili da usare perché gli utenti non devono fare nulla di speciale per inserire le credenziali biometriche: basta guardare una telecamera o premere il pollice su uno schermo.
Lo svantaggio è che, sebbene sia estremamente raro, i dati biometrici possono essere rubati. Nel 2024, ad esempio, degli hacker hanno rubato dati di riconoscimento facciale da un'azienda australiana chiamata Outabox. E quando i dati biometrici vengono rubati, non possono essere reimpostati come una password. Non è possibile modificare le proprie impronte digitali o i modelli della retina.
Come suggerisce il nome in inglese, le One Time Password (OTP) sono password monouso, solitamente valide solo per un breve periodo, che sostituiscono le credenziali permanenti. Ogni volta che un utente deve accedere a un servizio, genera una nuova OTP.
Le OTP possono essere generate in diversi modi. I metodi più comuni includono:
Le OTP non sono considerate fattori di conoscenza perché non sono segreti di lunga durata. Le OTP sono fattori di possesso. Non è la conoscenza dell'OTP che verifica una persona, ma il possesso dell'app registrata, del numero di telefono o della chiave di sicurezza che ha generato l'OTP.
Le OTP generalmente scadono dopo un utilizzo o un determinato periodo di tempo, limitando il loro valore in caso di furto o intercettazione. Ma possono essere rubate con alcune misure astute, come infostealer o attacchi man-in-the-middle (MitM).
Chiamati anche chiavi di sicurezza, i token hardware sono dispositivi dedicati, spesso sotto forma di dongle USB, che contengono o generano informazioni di autenticazione.
Alcuni token hardware usano le OTP. O creano regolarmente nuove OTP, come un'app di autenticazione, oppure generano OTP su richiesta quando l'utente preme un pulsante. Altri token trasmettono automaticamente le informazioni di autenticazione a un servizio quando vengono collegati a un dispositivo.
I token hardware sono considerati forti perché spesso non sono connessi a internet e una persona deve possedere fisicamente il token per poterli utilizzare.
Detto questo, le chiavi di sicurezza possono essere perse o rubate. Può essere costoso, e logisticamente proibitivo, rilasciare una chiave a ogni dipendente o utente di un servizio.
I link magici sono link speciali che contengono token di autenticazione.
Per prima cosa, l'utente registra il proprio account e-mail o numero di telefono presso un servizio. Poi, quando vogliono accedere, richiedono un link magico. Il servizio invia il link all'e-mail o al dispositivo mobile registrato. Quando l'utente fa clic, viene indirizzato al servizio a cui desidera accedere, completamente autenticato e loggato.
I link magici sono una sorta di fattore di possesso, ma non è il possesso del link stesso a dimostrare l'identità dell'utente. Piuttosto, è il possesso dell'account e-mail o del numero di telefono precedentemente registrato.
Come le OTP, i link magici rimangono validi solo per un breve periodo e scadono automaticamente dopo un solo utilizzo.
Tuttavia, se un criminale informatico riesce ad accedere alla casella di posta elettronica o al numero di telefono di un utente, i link magici possono essere facilmente utilizzati in modo improprio. Il criminale informatico deve semplicemente accedere al servizio che desidera violare, richiedere un link ed entrare.
Similarmente ai link magici, questo metodo invia notifiche push al dispositivo mobile precedentemente registrato di un utente quando tenta di accedere a un servizio. L'utente deve premere "approva" (o un equivalente) nella notifica push per accedere.
Le notifiche push sono un altro fattore di possesso. L'atto del tocco conferma che l'utente possiede il dispositivo registrato, verificandone l'identità.
Le notifiche push sono comode e generalmente sicure, ma sono vulnerabili ad attacchi noti come "inondazioni di notifiche push" (chiamati anche "stress da MFA", "bombardamento MFA" o "spamming di prompt").
In questo attacco, un attore delle minacce accede al servizio che desidera violare, inserisce l'ID utente del bersaglio e richiede ripetutamente l'autenticazione tramite notifica push. L'improvvisa ondata di notifiche sul dispositivo del bersaglio è destinata a travolgere, in modo tale che la vittima ne approvi una per sbaglio o semplicemente per fermarla. Con questa approvazione, l'hacker può accedere all'account dell'utente.
Gli accessi basati su QR visualizzano un codice QR. L'utente scansiona il codice, tipicamente con un'app di autenticazione o un'app specifica per il servizio a cui sta accedendo, e questo lo fa accedere.
Il meccanismo di base in questo caso è un trasferimento di sessione. Ad esempio, supponiamo che un utente voglia accedere a un sito web sul proprio laptop utilizzando un codice QR:
Anche se un criminale informatico ottiene il codice QR, non può fare molto senza il dispositivo preautenticato dell'utente. Detto questo, un criminale informatico può ipoteticamente dirottare la sessione telefonica dell'utente e entrare in un account in questo modo.
L'autenticazione basata su QR è anche suscettibile al quishing, noto anche come QR phishing o QR jacking. I criminali informatici presentano alle vittime codici QR falsi che, una volta scansionati, autorizzano sessioni controllate dai criminali informatici anziché sessioni legittime.
I fattori comportamentali sono artefatti digitali che verificano l'identità di un utente in base a modelli comportamentali, come l'intervallo tipico degli indirizzi IP, la posizione e la velocità media di digitazione dell'utente.
Questi fattori sono raramente utilizzati come prova di identità sufficiente da soli. Sono più comunemente parte di uno schema di autenticazione basato sul rischio che valuta continuamente il livello di sicurezza di un utente per determinare dinamicamente i requisiti di autenticazione in base al livello di rischio.
Ad esempio, un utente che effettua la registrazione dal proprio dispositivo abituale al solito orario potrebbe dover fornire un solo fattore di autenticazione. Lo stesso utente che effettua la registrazione da un nuovo dispositivo o da una posizione sconosciuta potrebbe dover fornire un fattore aggiuntivo.
A causa in gran parte dell'ascesa dei cloud service, dell'intelligenza artificiale e del machine learning, il numero di identità non umane (NHI) attive nella rete aziendale media è aumentato notevolmente negli ultimi anni. E man mano che gli agenti AI abilitano automazioni sempre più sofisticate, la gestione delle autorizzazioni delle NHI e la sicurezza delle loro credenziali diventano preoccupazioni centrali per i team di cybersecurity.
Gli account non umani possono essere dirottati proprio come quelli di un essere umano. Spesso hanno privilegi elevati (basta pensare a un processo di backup che può leggere i database aziendali più sensibili) e si affidano a una singola credenziale per l'autenticazione, il che li rende obiettivi interessanti e potenzialmente deboli.
Sebbene le NHI non utilizzino le password allo stesso modo degli esseri umani, spesso si affidano a certificati e token che possono essere rubati, falsificati o violati proprio come le password.
L'autenticazione senza password per gli utenti umani consiste nella rimozione di credenziali a lungo termine che possono essere facilmente rubate o falsificate. Le organizzazioni possono ottenere benefici simili per le NHI utilizzando una combinazione di accesso just-in-time e archiviazione delle credenziali, come previsto dal processo Security Lifecycle Management .
La gestione del ciclo di vita della sicurezza automatizza la creazione, la rotazione e l'archiviazione sicura delle credenziali NHI, sostituendo segreti persistenti e codificati con credenziali effimere o just-in-time memorizzate in un archivio centrale e sicuro. A loro volta, i vault sono protetti da crittografia e da solide misure di autenticazione per garantire che solo gli utenti autorizzati possano accedere a queste credenziali quando necessario.
Jake Lundberg, Field CTO di HashiCorp, ha delineato una visione per le credenziali NHI iper-effimere in una puntata di Security Intelligence:
Lo scenario migliore è che tu stia passando alle credenziali basate su sessioni. Quando la mia sessione viene interrotta, ho una credenziale just-in-time. E non appena la sessione viene chiusa, elimino immediatamente quelle credenziali. Quindi, quando la mia sessione è finita, anche se è durata solo cinque minuti, rimuoviamo quelle credenziali da quei sistemi.
Le specifiche di identità del workload , come SPIFFE/SPIRE, possono collegare le identità NHI ad attributi di tempo di esecuzione verificabili dal punto di vista crittografico. Questi framework consentono di verificare un workload in base a dove e come viene eseguito, permettendo alle NHI di autenticarsi senza utilizzare password o chiavi API.
Gli accessi senza password possono essere implementati sia come autenticazione a singolo fattore (richiedendo un fattore non di conoscenza) sia come autenticazione a più fattori (MFA) (che richiede due o più fattori non di conoscenza). Le implementazioni MFA senza password sono considerate più sicure rispetto alla MFA standard o all'autenticazione a due fattori (2FA), che di solito utilizzano una password come primo fattore.
(Un'implementazione MFA che richiede sia una password che qualche altro fattore di non conoscenza non è priva di password perché implica comunque una password. Tutti i fattori coinvolti devono essere fattori non di conoscenza per un accesso veramente senza password.)
Non tutte le app supportano in modo nativo opzioni completamente senza password. Per implementare l'autenticazione senza password su tutta la rete aziendale, le organizzazioni spesso utilizzano piattaforme di orchestrazione dell'identità. Questi strumenti collegano e coordinano sistemi di gestione dell'identità e degli accessi (IAM) eterogenei provenienti da più fornitori di identità in un identity fabric olistico con un unico workflow di identità senza attrito. L'identity orchestration è la tecnologia alla base di molti sistemi single sign-on (SSO).
Essenzialmente, l'identity orchestration funziona indirizzando invece le richieste di accesso per i singoli servizi attraverso un processo centralizzato e molte piattaforme di identity orchestration supportano un processo di autenticazione centralizzato senza password. Pertanto, l'intera azienda può essere priva di password, anche se le app e i servizi individuali dello stack tecnologico non lo supportano.
L'autenticazione basata su password è da tempo il metodo predefinito per verificare le identità degli utenti. Purtroppo, è anche il meno sicuro. I metodi senza password possono rimuovere uno degli anelli più deboli delle reti moderne, colmando una lacuna ampiamente sfruttata nella superficie di attacco aziendale.
Le password vengono facilmente rubate attraverso attacchi di ingegneria sociale come phishing e malware come spyware e infostealer. Sono particolarmente vulnerabili agli attacchi all'help desk, alle truffe di ingegneria sociale in cui attori malintenzionati chiamano un help desk fingendo di essere un utente o un dipendente che necessita di reimpostare la password. Questi attacchi stanno diventando sempre più comuni perché sono incredibilmente efficaci. Come ha detto una volta Stephanie Carruthers, ex chief people hacker di IBM X-Force:
"Facciamo campagne di social engineering per i nostri clienti con l'obiettivo di chiamare il loro help desk e vedere se possiamo impersonare un dipendente per reimpostare la password. Ad oggi, ci siamo riusciti ogni volta che lo abbiamo fatto."
Le persone spesso utilizzano password deboli che i criminali informatici possono decifrare attraverso attacchi di brute force e attacchi a dizionario, ovvero provando password comuni finché una funziona. Le persone riutilizzano anche le password per più servizi, abilitando il riempimento delle credenziali. Quando i criminali informatici hanno una password per un servizio, possono provarla anche per molti altri.
Anche quando le persone seguono le best practice per la gestione delle password, ovvero utilizzano una password diversa e difficile da indovinare per ogni servizio, si imbattono comunque in problemi. Considerato il numero di account che le persone possiedono, è facile dimenticare queste password. Nel caso delle credenziali NHI, come le chiavi API, queste potrebbero essere lasciate codificate direttamente nelle app o non protette come testo semplice nelle unità condivise.
Gli strumenti di gestione delle password sono nati per risolvere questi problemi di igiene delle password, ma hanno le loro vulnerabilità peculiari. Vale a dire: la maggior parte dei gestori di password è protetto da password principali, che possono essere a loro volta rubate. Quindi, sì, gli hacker possono rubare le password salvate con le giuste manovre.
La proliferazione di NHIS ha anche contribuito a rendere prioritaria l'autenticazione senza password.
App, processi di sistema e altri utenti non umani non hanno password classiche, ma usano token OAuth, chiavi API, certificati e altri segreti per autenticarsi. Gli agenti AI, che si trovano a cavallo tra funzionalità tradizionalmente umane e non umane, potrebbero persino "prendere in prestito" le credenziali dei loro utenti umani per eseguire attività automatizzate. Tutti questi segreti possono essere rubati e utilizzati in modo improprio, proprio come le password.
I sistemi di gestione delle identità e degli accessi (IAM) tradizionali non sono stati progettati per la gestione dei segreti NHI, creando una lacuna nella sicurezza delle identità.
I professionisti dell'identità e della sicurezza riconoscono queste pressioni da parecchio tempo. Ma le soluzioni senza password stanno prendendo piede perché la tecnologia si sta finalmente adeguando. Gli smartphone consentono agli utenti di tutti i giorni di adottare password monouso biometriche e temporizzate. Lo sviluppo degli standard FIDO e dei protocolli sottostanti WebAuthn e CTAP2 ha reso ampiamente disponibile l'autenticazione basata su passkey per siti web e app web. E nuovi strumenti di Security Lifecycle Management permettono alle organizzazioni di automatizzare la creazione, la rotazione, lo storage e la gestione degli accessi delle credenziali per le NHI.
L'autenticazione senza password è ampiamente considerata più sicura e comoda rispetto agli approcci basati su password. Gli svantaggi sono in gran parte legati alla potenziale complessità e ai costi elevati derivanti dal passaggio a un sistema senza password.
Il phishing è una delle principali cause di violazione dei dati, rappresentando il 16% delle violazioni analizzate nel Cost of a Data Breach Report di IBM. L'obiettivo della maggior parte degli attacchi di phishing è rubare le credenziali di un utente, in genere una password.
L'autenticazione senza password sostituisce le password con credenziali resistenti al phishing che non possono essere facilmente rubate, sventando così una delle minacce più grandi alla sicurezza dei dati.
Le credenziali senza password possono anche rafforzare le difese contro alcuni ceppi di malware comuni, come infostealer o spyware. Ad esempio, le passkey non vengono mai trasmesse o digitate da nessuna parte e, sebbene le OTP possano essere lette, diventano inutili dopo un singolo inserimento.
Uno dei motivi per cui le password rappresentano una debolezza di cybersecurity così significativa è che molti utenti non seguono le best practice per l'igiene delle password. Uno dei casi d'uso più convincenti dell'autenticazione senza password è che elimina completamente il problema dell'igiene.
Gli utenti non devono creare password univoche e complesse per ogni servizio perché non hanno bisogno di alcuna password. La rimozione delle password può anche migliorare l'esperienza dell'utente, rendendo l'autenticazione senza password uno dei rari casi in cui sicurezza e usabilità sono sincronizzate.
Nella maggior parte delle organizzazioni, dimenticare la password significa chiamare l'help desk. Queste chiamate costano denaro, distraggono i lavoratori IT da lavori più preziosi e interrompono i workflow dei dipendenti. E le chiamate all'help desk, come detto in precedenza, offrono agli attori delle minacce una potente via di attacco.
L'autenticazione senza password significa niente più reimpostazioni delle password, il che può ridurre le chiamate all'help desk, tagliare le spese di supporto IT e mitigare un pericoloso vettore di minacce.
Oltre a essere uno dei principali vettori di accesso alle reti, le credenziali rubate sono anche un bersaglio principale per gli hacker quando si trovano all'interno. L'acquisizione delle credenziali è stata la conseguenza più comune degli attacchi analizzati nel più recente Threat Intelligence Index, presente nel 26% dei casi.
Quando i criminali informatici hanno queste credenziali, le usano per il movimento laterale e la privilege escalation, oppure le vendono sul dark web ad altri criminali informatici. In ogni caso, le password rubate causano gravi danni.
Non solo le credenziali senza password sono più difficili da rubare in primo luogo, ma le credenziali rubate sono di uso limitato o totalmente invendibili. Ad esempio, non puoi rubare le passkey entrando in un servizio perché il servizio non ne memorizza nessuna. Ogni passkey viene conservata sul dispositivo dell'utente individuale. E nessuno pagherà per i codici OTP già scaduti.
Nonostante tutti questi vantaggi, l'autenticazione senza password presenta i suoi svantaggi, tra cui implementazioni complesse, difficoltà nel resettare le credenziali perse o rubate e gli attacchi informatici unici a cui sono suscettibili gli accessi senza password.
La rete aziendale media contiene un mix di applicazioni e risorse on-premise e basate sul cloud, di diversi fornitori, con sistemi di gestione degli accessi leggermente differenti che non sempre supportano l'autenticazione senza password.
Inoltre, alcuni esperti hanno previsto che il software effimero vibe coded diventerà presto più comune nelle reti aziendali, introducendo una gamma ancora più variegata di sistemi di gestione delle identità e degli accessi (IAM).
Prima di poter adottare l'autenticazione senza password, molte organizzazioni scoprono di dover prima costruire un identity fabric integrato che unisca tutte le risorse in un workflow di identità comune. Sebbene un identity fabric olistico sia oggi considerato una best practice per la sicurezza delle identità, costruirne uno richiede tempo, denaro, strumenti e competenze.
Anche la registrazione degli utenti al processo di autenticazione senza password può rappresentare una sfida, a seconda del tipo di credenziali che l'organizzazione desidera supportare. Le passkey e le app di autenticazione sono relativamente semplici, ma le chiavi di sicurezza hardware e la biometria possono essere più complicate.
È meno probabile che i fattori di autenticazione senza password necessitino di un ripristino. Ma quando succede, il processo può essere difficile.
Ad esempio, una chiave hardware smarrita costa denaro e deve essere distribuita fisicamente all'utente. I dati biometrici rubati non possono essere modificati. Uno smartphone perso o rubato contenente un'app può dare a un attore delle minacce l'accesso all'intera vita digitale di un utente.
Sebbene i metodi di autenticazione senza password siano più difficili da decifrare, sono vulnerabili a determinati attacchi sofisticati.
Ad esempio, schemi man-in-the-middle sufficientemente avanzati possono intercettare le OTP prima che vengano inserite nel sito web reale e prima che scadano, consentendo agli hacker di utilizzarle prima che possano farlo gli utenti legittimi. Gli schemi di scambio di SIM (in cui truffatori si fingono vittime e convincono il loro operatore di telecomunicazioni a trasferire il loro numero su un telefono controllato dai truffatori) possono anche offrire ai criminali informatici un modo per intercettare OTP, notifiche push, link magici e altri fattori di autenticazione comuni.