Newsgroup: it.comp.sicurezza.varie
Titolo: Google, Ms, Apple e eliminazione delle password.

Sto leggendo questo articolo
 
https://www.dday.it/redazione/44011/google-piu-vicina-alladdio-alle-password-via-al-supporto-delle-passkey-su-android-e-chrome
 
 
Sicuramente la cosa è interessante, ma c'è un risvolto di cui non ho nè 
letto nè sentito che sia messo in evidenza: rende obbligatorio l'uso di 
un account.
 
Non solo, ma se ho capito bene è prevista interoperabilità tra Google, 
Ms, e Apple, per cui la chiave pubblica viene scambiata tra i 3 
operatori: tra account obbligatorio e interscambiabilità delle chiave 
pubblica, tutti e 3 gli operatori sapranno contemporaneamente (ma lo 
sanno già...) quando e dove ti connetti.
 
Insomma, per sapere sempre più cose di tutti mascherano il servizio con 
un sistema comodo a loro: ti danno uno, ti prendono 99.
 
Spero di sbagliare, e se qualcuno me ne desse contezza sarei contento.

Rispondo qui sotto a ArchiPit

Dimenticavo:
 
Dato che la chiave privata risiede sul dispositivo (tramite lei su lui 
viene generata la chiave pubblica che sta sui server di GG,Ms, Apple), 
se ti rubano il dispositivo su cui risiede la chiave privata (il 
telefonino) sei fregato su tutti i siti.
 
Si, il blocco schermo aiuta specie con un PIN lungo e impronta, ma 
insomma...

 insomma...
 
non è il blocco schermo, l'identificazione ti viene richiesta ogni qual 
volta è necessario accedere alla chiave allorché è salvata in un area 
protetta, come già avviene quando attivi l'accesso con dati biometrici per 
le app che lo supportano.
cioè un minimo ci hanno pensato eh... sarebbe da fresconi se bastasse il 
dispositivo sbloccato per accedere ovunque.

 sanno già...) quando e dove ti connetti.
 
no, non è esatto. l'interoperabilità non riguarda questo ma la definizione 
di uno standard di questo protocollo, perché ovviamente i vari chrome, 
edge e safari nonché i sistemi ios/macosx, windows e android devono essere 
uniformati.
 
la chiave pubblica viene generata sul dispositivo a partire dalla chiave 
privata (non può essere altrimenti) puntualmente per il sito su cui ci si 
deve autenticare e i vari google, ms o apple non ne hanno contezza. con 
questo non voglio dire che sia impossibile la tracciatura, dico solo che 
non è insita in questo sistema. 

 dispositivo sbloccato per accedere ovunque.
 
Non ne sono così sicuro.
 
Io rubo o uso il tuo dispositivo in un momento in cui è sbloccato: a 
questo punto come fanno gg, ms, apple a capire che non sei tu che lo 
stai utilizzando ma io, e a impedirne l'uso?
 
Per me stanno solo spostando il luogo dove sta il codice di 
autenticazione: dalla persona (le password, una chiavetta, etc.) al 
dispositivo AND ai loro server (le chiavi).
 
E per me, questo rende obbligatoria la presenza di un account su Gg, 
Ms, Apple, anche solo per potere cancellare le chiavi, e attraverso cui 
passa tutto il traffico dei siti importanti che richiedono la chiave.
 
E, diciamolo pure, alla lunga tutta la navigazione sul web su qualunque 
sito, passerà tutta e totalmente dai loro server (che faranno anche da 
DNS), e sarà tutto a pagamento.
 
Altro caso: per una situazione di grande urgenza devo entrare nel sito 
Xyz, ma non ho con me nessun altro dispositivo "autenticato" e devo 
usare il pc di un altro.
Non lo potro fare.
 
No, io sono sempre per la mia più completa autonomia, e i miei dati, 
password e/o meccanismi di autenticazione compresi, devono restare a 
casa mia.

 passa tutto il traffico dei siti importanti che richiedono la chiave.
 
non è così. 
non voglio insistere per cui ti lascio un po' di risorse per capire come 
funziona il processo. fintanto ti basi su nozioni errate arriverai sempre 
a conclusioni errate:
 
 
https://fidoalliance.org/passkeys/
 
https://www.youtube.com/watch?v=SWocv4BhCNg
 
 

 
https://www.youtube.com/watch?v=SWocv4BhCNg
 
 
Ti ringrazio dei link, ora leggo e mi dovumento meglio


Domanda: in tutto questo bel sistema, c'entra qualcosa il TPM dei PC più 
recenti? La chiave privata forse viene memorizzata lì e soltanto lì?