GitHub passkey, una nuova via per autenticarsi senza password in beta che presto diventerà standard

Lo staff product manager di GitHub, Hirsch Singhal, ha recentemente riportato in un blog post come la maggioranza degli attacchi di tipo data breach, l’80% almeno, registrati sulla piattaforma siano causati dai furti di password.

Non c’è da dare alcun torto a Singhal, basta leggere le notizie per capire come, oggi come non mai, internet non sia un posto sicuro. Si pensi a quanto riportato da AquaSecurity in merito al repo jacking proprio su GitHub, ossia la modalità con cui malintenzionati creano repository dai nomi del tutto simili a quelli di prodotti ufficiali se non per piccole ed impercettibili (almeno ai distratti) differenze, permettendo così di infettare con codice malevolo i sistemi di quanti volevano solo scaricare dei pacchetti o dei sorgenti.

I rischi sono ovunque, ed in questo senso GitHub cerca di tutelarsi con l’unica cosa che può controllare, ossia l’accesso ai propri sistemi. Già nel lontano dicembre 2020 era stato sospeso l’accesso via password ad alcune delle operazioni base, come ad esempio la command line di git, ma ovviamente questo è un nuovo passo avanti, poiché come detto la tutela non è mai troppa.

Proprio per questo Singhal, sempre nello stesso articolo, ha aggiunto come la politica di GitHub cambierà ulteriormente. Dopo quindi l’introduzione dell’obbligatorietà della 2FA (2 factors authentication) nel maggio 2022, verrà aggiunta una nuova modalità, attualmente in beta, che si chiama passkey authentication.

Le passkey su GitHub.com richiederanno la verifica dell’utente, e conteranno come un 2FA in uno: qualcosa che sei o conosci (l’impronta digitale, il viso o la conoscenza di un PIN) e qualcosa che hai (la tua chiave di sicurezza fisica o il tuo dispositivo).

Ecco come si attiva il supporto (come detto, in beta):

Per via di questa forzatura in autenticazione non è più necessario della password per verificare che sia davvero l’utente ad accedere.

Ecco come funziona nella pratica:

Niente di più semplice, pochi step per rendere ancora più sicuro il proprio accesso a ciò che è più prezioso per l’utenza di GitHub: il codice.