Passkey sincronizzate o hardware key per il vault dell'identità

Sia le passkey sincronizzate sia le hardware key sbloccano il vault dell'identità CardanoWall, ma puntano a obiettivi diversi. Per l'uso quotidiano la passkey sincronizzata è di solito la scelta migliore, perché ti segue su un nuovo telefono o portatile attraverso il tuo provider di passkey. La hardware key è invece di solito preferibile per le identità ad alto valore, perché è legata al dispositivo e sotto controllo fisico.

Entrambe funzionano come fattore di sblocco del vault quando il browser, il sistema operativo e l'autenticatore supportano l'estensione WebAuthn PRF. E in entrambi i casi il fattore di sblocco è una comodità, non la custodia: la tua vera identità è l'Identity Seed.

Cos'è una passkey sincronizzata?

Una passkey sincronizzata è una passkey che il tuo provider rende disponibile su tutti i tuoi dispositivi.

Quel provider può essere integrato nel sistema operativo, nel browser, nel password manager o in un account di piattaforma. Il vantaggio è evidente: prendi un nuovo dispositivo, accedi allo stesso provider e la passkey è già lì.

Per CardanoWall questo rende facile l'uso quotidiano. Accedi, approvi la richiesta della passkey e il vault cifrato dell'identità si apre — senza digitare l'Identity Seed.

Il compromesso è che erediti il modello di sicurezza e di recupero del provider che sincronizza la passkey. La protezione del suo account, il suo recupero multi-dispositivo e le sue modalità di guasto diventano le tue.

Cos'è una hardware key?

Una hardware key è un autenticatore fisico — una chiave di sicurezza USB, NFC o BLE che tieni in mano.

Una hardware key legata al dispositivo non si sincronizza da sola su nuovi computer. Per sbloccare con essa, devi avere la chiave fisica con te. È proprio questo il punto: la credenziale non può esistere di nascosto in un posto dove non l'hai messa tu.

Le hardware key sono adatte alle identità sensibili:

• identità di redazione o di raccolta segnalazioni di whistleblower;
• identità legali e probatorie;
• identità aziendali ad alto valore;
• identità di produzione per API o operatori di gateway;
• qualunque identità che non dovrebbe dipendere dalla sincronizzazione cloud consumer.

Il compromesso è operativo. Se perdi la chiave, ricadi su un altro fattore registrato o sull'Identity Seed.

Un avvertimento pratico: il supporto a PRF per le chiavi USB/NFC roaming è meno uniforme rispetto alle passkey di piattaforma. All'inizio del 2026, Safari su macOS e iOS non passa in modo affidabile i dati PRF agli autenticatori roaming, quindi sui dispositivi Apple una hardware key potrebbe non essere utilizzabile come fattore del vault anche quando lo è una passkey di piattaforma. Metti in conto di dover testare una hardware key prima di farci affidamento, invece di dare per scontato che funzioni ovunque.

Quale delle due è più sicura?

Dipende dal tuo modello di minaccia — non c'è un vincitore unico.

Le passkey sincronizzate sono eccellenti nel resistere al phishing e alle violazioni dei database di password, e riducono la probabilità di perdere l'accesso quando un dispositivo si rompe. Le hardware key offrono un controllo più forte su dove può esistere la credenziale, il che fa al caso dei team che hanno bisogno di custodia fisica, tracciamento degli asset, key ceremony o una politica chiara su chi può sbloccare un'identità condivisa.

Sia la comodità sia il controllo sono proprietà di sicurezza. Anche perdere l'accesso è un fallimento di sicurezza. La scelta migliore è quella che riesci davvero a gestire correttamente sotto pressione.

Come le usa CardanoWall?

Come fattori di sblocco del vault — mai come l'identità stessa.

La tua identità CardanoWall è l'Identity Seed: un singolo segreto da 32 byte da cui deriva ogni chiave. Una passkey o una hardware key non sostituisce quel seed. Sblocca il vault cifrato che lo custodisce per il tuo account, così puoi accedere su un nuovo dispositivo senza ridigitare il seed ogni volta.

Il vault è un singolo testo cifrato con age, indirizzato solo ai tuoi fattori WebAuthn-PRF — una stanza per ogni passkey o hardware key registrata. Non c'è una stanza derivata da password da forzare con un attacco brute-force, né una stanza a chiave pubblica che un futuro attacco quantistico possa prendere di mira; l'esposizione rilevante è la ricerca in stile Grover contro chiavi simmetriche a 256 bit, che lascia un margine effettivo di circa 128 bit. Il servizio detiene il testo cifrato ma non può decifrarlo. Se un fattore riesce a produrre l'output PRF richiesto durante la cerimonia nel browser, può aprire il vault; in caso contrario, CardanoWall non dovrebbe registrarlo. Per saperne di più su cosa protegge questo design, vedi come le passkey proteggono il vault della tua identità.

Ecco perché il rilevamento delle capacità è importante prima di affidarti a un fattore.

Perché il supporto a PRF è importante?

Perché non tutte le passkey possono sbloccare un vault cifrato.

Il WebAuthn semplice può dimostrare a un sito web chi sei. Aprire il vault richiede qualcosa in più: l'autenticatore deve consegnare al browser il materiale di chiave per decifrare il testo cifrato locale. Questa capacità aggiuntiva è l'estensione WebAuthn PRF, e il suo supporto varia tra browser, sistema operativo e autenticatore.

CardanoWall rileva attivamente PRF prima di registrare un fattore, invece di indovinare dal nome del browser, e ti indirizza al percorso solo-seed se la tua configurazione non supporta PRF. Quel percorso non è una modalità degradata — è la base portabile. L'Identity Seed funziona su qualsiasi dispositivo, in qualsiasi strumento conforme, senza alcun provider e senza alcun servizio nel mezzo.

Cosa dovrebbero scegliere gli utenti normali?

Di solito una passkey di piattaforma sincronizzata.

Per un'identità personale di tutti i giorni, una passkey sincronizzata è il compromesso migliore: facile da usare, facile da recuperare tra i dispositivi e ti evita di incollare di continuo il tuo seed. Una configurazione sensata è questa:

• salva l'Identity Seed in un password manager o in un luogo offline sicuro;
• aggiungi una passkey di piattaforma sincronizzata;
• aggiungi un secondo fattore se usi più dispositivi;
• evita di sbloccare identità ad alto valore su macchine di cui non ti fidi — se proprio devi, usa una modalità per computer pubblici che non conserva nulla.

La passkey è comodità. Il seed è recupero e portabilità. Salva il seed a prescindere dal fattore di sblocco che scegli.

Cosa dovrebbero scegliere i team?

Hardware key più una custodia del seed documentata.

Ai team di solito interessa meno la comodità spicciola e di più il controllo. Un'identità di team può essere condivisa di proposito, ma condivisa di proposito non è la stessa cosa di facile-da-copiare-di-nascosto. Una configurazione di team ragionevole:

• due hardware key tenute da persone responsabili diverse;
• un Identity Seed stampato in cassaforte;
• una politica di accesso scritta;
• una procedura di rotazione per quando cambia la custodia;
• un'identità separata per ogni flusso di lavoro principale;
• la disattivazione delle identità che non devono più firmare.

Un limite onesto per le identità condivise: chiunque possieda il seed può firmare e decifrare come quell'identità. Le hardware key proteggono l'accesso al vault su un dato dispositivo; non rendono un seed condiviso parziale o revocabile. Se il seed stesso è già stato passato di mano in mano, il controllo su di esso è perso — è una proprietà del seed, non del fattore di sblocco.

Cosa succede se ne perdi una?

Usa un altro fattore, oppure ricadi sul seed.

Se perdi un dispositivo sincronizzato ma hai ancora il provider di passkey su un altro dispositivo, di solito puoi proseguire senza problemi. Se perdi una hardware key, rimuovi quel fattore: il vault si ricifra sui fattori rimanenti e il vecchio testo cifrato viene cancellato in modo definitivo. Se tutti i fattori sono persi, l'Identity Seed è il percorso di recupero. E se sono spariti anche tutti loro, è sparito anche ogni uso futuro di quell'identità — ma tutto ciò che ha già pubblicato resta verificabile per sempre a partire dai soli dati pubblici.

La rimozione è una vera revoca per il vault attuale, ma non è retroattiva — è un controllo a livello di servizio, non una macchina del tempo. Se un fattore potrebbe essere stato rubato e usato prima che tu lo rimuovessi, tratta la situazione come una possibile compromissione del seed: rimuovere il fattore gli impedisce di aprire il vault ricifrato, ma non può annullare alcun uso precedente. La risposta giusta a una sospetta compromissione del seed è una nuova identità più la disattivazione di quella vecchia, non un reset. Il ciclo di vita relativo — attiva, disattivata, eliminata — è un argomento a sé.

In breve

Le passkey sincronizzate sono comode e ti seguono tra i dispositivi. Le hardware key sono più controllate e restano dove le metti tu. CardanoWall può usare entrambe come fattore di sblocco del vault quando WebAuthn PRF è disponibile.

Per l'uso personale di tutti i giorni, una passkey sincronizzata è di solito la scelta giusta. Per le identità ad alto valore o di team, le hardware key possono valere la cerimonia in più — dove PRF funziona con esse. In ogni caso, salva l'Identity Seed: la passkey sblocca il vault, ma il seed è l'identità.

Per approfondire

• FIDO Alliance — Panoramica sulle passkey: https://fidoalliance.org/passkeys/
• W3C — Web Authentication (WebAuthn) Level 3: https://www.w3.org/TR/webauthn-3/
• Yubico — A Developer's Guide to Deriving Keys with WebAuthn PRF: https://developers.yubico.com/WebAuthn/Concepts/PRF_Extension/Developers_Guide_to_PRF.html