Venerdi 16 Ottobre 2026 12:50:45 GMT+02:00

Netcrook

HomeManifesto
News
Corporate Security IncidentsCloud, SaaS & Identity SecurityIndustrial Cybersecurity & Critical InfrastructureCyber Intelligence, TrendsAI Security & Agentic SystemsCyber Intelligence & Threat TrendsCyber WarfareCyber Warfare & Nation-State OperationsCyber CriminalityBreaches & Data LeaksCybercrimeMalware & BotnetsRansomware & ExtortionSecurity Awareness & Social EngineeringLegal PolicyLegal, Policy & Government CybersecurityPrivacy, Regulation & ComplianceTechnology, InnovationTechnology, Innovation & Digital InfrastructureVulnerabilities Patch ManagementResearch, Exploits & Offensive SecurityVulnerabilities & Patch Management
Techcrook
Tutte le tecnologieIdentita e accessoFirewall e reteBackup e archiviazioneEnergia e continuitaPrivacy e sicurezza fisicaLaboratorio e prototipazioneStampa e tracciabilitaTecnologia quotidiana
Geocrook
AfricaAsiaEuropeMiddle EastNorth AmericaOceaniaSouth America
WikicrookTeamAppContatti
ItalianoEnglish
TECHCROOK

Chiavi di sicurezza hardware

Una chiave di sicurezza hardware è un piccolo autenticatore fisico che aiuta a dimostrare che è davvero l’utente a eseguire l’accesso, usando risposte crittografiche invece di codici riutilizzabili o sole password.

Cosa fa il dispositivo

Le chiavi di sicurezza hardware sono progettate per i flussi di accesso e approvazione. Si collegano tramite USB, NFC o Bluetooth e rispondono a una sfida di accesso proveniente da un sito web, un’app o un sistema operativo. L’aspetto importante è che la chiave non invia un codice statico che può essere copiato e riutilizzato. Invece, utilizza la crittografia a chiave pubblica per rispondere a una sfida legata al sito o al servizio specifico che richiede l’autenticazione.

Questo rende la categoria utile per l’autenticazione multifattore resistente al phishing. Se un utente viene indotto a visitare una falsa pagina di accesso, in genere la chiave non completerà l’autenticazione per il dominio sbagliato. Questo vincolo al dominio è uno dei suoi principali vantaggi tecnici rispetto ai codici monouso inviati via SMS o generati in un’app.

Come funziona tecnicamente

La maggior parte delle chiavi moderne supporta standard come FIDO2 e WebAuthn. Durante la registrazione, la chiave crea una coppia di credenziali univoca: una chiave privata memorizzata sul dispositivo e una chiave pubblica salvata dal servizio. Durante l’accesso, il servizio invia una sfida e la chiave firma quella sfida dopo che l’utente tocca il dispositivo o inserisce un PIN locale.

  • La chiave privata resta sul dispositivo: il segreto non deve mai lasciare la chiave.
  • Credenziali per singolo sito: servizi diversi ottengono credenziali diverse, riducendo tracciamento e riutilizzo.
  • Presenza o verifica dell’utente: un tocco, la pressione di un pulsante o un PIN aiutano a confermare che l’utente è fisicamente presente.

Alcune chiavi supportano anche l’accesso in stile smart card, le passkey o i flussi di certificati aziendali. L’esatto insieme di funzionalità conta più dell’etichetta, perché le organizzazioni potrebbero aver bisogno di compatibilità con browser, sistemi operativi, VPN o provider di identità.

Quali specifiche contano

Quando si valuta questa famiglia di prodotti, i dettagli pratici sono la compatibilità, il tipo di connettore e il supporto delle credenziali. USB-A e USB-C sono comuni per i computer, mentre l’NFC aiuta sui dispositivi mobili. Il Bluetooth è disponibile su alcuni modelli, ma introduce considerazioni su associazione e batteria. Per molte implementazioni, USB più NFC è più semplice e affidabile.

Altre specifiche utili includono:

  • Supporto FIDO2/WebAuthn: importante per l’accesso web moderno.
  • Supporto PIN: aggiunge verifica locale per gli account a rischio più elevato.
  • Archiviazione di credenziali di backup: utile se il servizio consente più chiavi per account.
  • Durabilità e involucro: i dispositivi piccoli sono facili da perdere, quindi la struttura fisica conta.

Configurazione e manutenzione

Una buona implementazione inizia registrando almeno due chiavi per ogni account critico: una principale e una di backup conservata separatamente. Gli utenti dovrebbero testare l’accesso prima di affidarsi al dispositivo, soprattutto per account amministrativi, email, accesso remoto e console cloud. Se un’organizzazione usa il single sign-on, il provider di identità dovrebbe essere configurato per primo, in modo che la chiave funzioni in modo coerente tra i servizi.

La manutenzione è leggera, ma non nulla. Le organizzazioni dovrebbero censire le chiavi assegnate, definire procedure per i dispositivi smarriti e rivedere quali account si affidano ancora a fattori più deboli. Gli utenti dovrebbero anche sapere come recuperare l’accesso senza creare un collo di bottiglia nel reset della password o una scorciatoia dell’help desk più facile da abusare della chiave stessa.

Limiti ed errori da evitare

Le chiavi di sicurezza hardware rafforzano l’autenticazione, ma non risolvono password deboli, servizi esposti, patching insufficiente o abitudini amministrative insicure. Inoltre non impediscono a un criminale di usare una sessione valida dopo l’accesso, quindi timeout della sessione, regole di attendibilità del dispositivo e monitoraggio restano importanti.

Tra gli errori comuni ci sono registrare una sola chiave, tenere una chiave di backup nella stessa borsa di quella principale, ignorare la pianificazione del recupero dell’account e assumere che ogni applicazione legacy possa usare lo stesso metodo di accesso. Prima della distribuzione, verifica dove la chiave è supportata e dove sono ancora necessari controlli alternativi.

105 articoli citano questa tecnologia in TECHCROOK.

  1. Quando un prompt Linux diventa una trappola per password
  2. Quando un appliance di supporto diventa il bersaglio: lo zero-day di BeyondTrust che gli attaccanti cercavano
  3. La richiesta di estorsione getta un’ombra sui file di un produttore di dispositivi medici, ma le verifiche sono ancora insufficienti
  4. L’ondata di patch per n8n mette in luce una dura verità: gli strumenti di automazione possono diventare motori di rischio silenziosi
  5. Dentro il firewall: un impianto solo in memoria rende FortiGate più difficile da ispezionare
  6. Ricercatori individuano un modello di spionaggio di lunga durata rivolto ai governi dell’Asia centrale, ma il collegamento con il Kazakistan resta non provato
  7. Pressione prima del payload: l’estorsione arriva nella casella di posta dei dipendenti
  8. RCE autenticata in Langflow: 1.423 sonde nei sistemi honeypot
  9. Il punto debole silenzioso di Microsoft 365: le impostazioni che tutti dimenticano
  10. Distretto scolastico parzialmente oscurato citato nell’elenco delle vittime di Nightspire, ma la violazione non è provata
  11. Firewall, memoria e il costo nascosto della fiducia centralizzata
  12. Le richieste di estorsione mettono nel mirino i dati marittimi, ma il quadro della violazione resta poco chiaro
  13. Una segnalazione ransomware approda su un'etichetta vittima poco chiara mentre incombe la minaccia di esposizione
  14. La pressione del ransomware si sta spostando verso identità e intimidazione
  15. La ondata di patch di MarkLogic mette sotto la lente i confini dei privilegi NoSQL
  16. Obiettivi bancari, agenti AI e la nuova velocità dell'intrusione
  17. Il gate di identità di IBM riceve un pesante carico di patch
  18. Una voce di leak mette l'MSP Chibitek sulla bacheca dell'estorsione
  19. Accesso legittimo, fiducia infranta: l’incidente del registro in Danimarca mostra come un abuso silenzioso possa scalare rapidamente
  20. Il rischio nascosto nel rip-and-replace: quando la modernizzazione diventa l'evento di inattività
  21. Cookie del browser, non firewall: la via silenziosa verso gli account cloud
  22. Un post di leak mette nel mirino un'agenzia di reclutamento, ma la storia tecnica resta scarna
  23. Quando un agente AI arriva nella sala di controllo, il vero rischio è l’autorizzazione
  24. Il reset della cybersicurezza sanitaria a Washington: un disegno di legge che potrebbe trasformare le basi di sicurezza in legge
  25. Migliaia conteggiate, prove mancanti: la rivendicazione cyber elettorale che richiede verifica
  26. Quando l'IA entra nel percorso di cura, la sicurezza smette di essere opzionale
  27. Una richiesta di estorsione mette nel mirino i sistemi interni di una società di credito privato
  28. Scadenza pubblicata, pressione applicata: le operazioni di supporto finiscono sotto una nuova luce estorsiva
  29. La rivendicazione di intrusione elettorale arriva in una finestra ad alto rischio
  30. Bypass dell'autenticazione in LiteLLM sotto esame per l'accesso agli strumenti MCP
  31. La silenziosa presa di potere dentro Active Directory
  32. Come un flusso di patch è diventato un percorso di intrusione dentro Gitea
  33. Il mercato della postura cloud si sta dividendo in due campi: prima la visibilità, prima il budget
  34. Un post di una vittima, un obiettivo logistico e un quadro dell'impatto ancora poco chiaro
  35. La sola elencazione della vittima non è una prova, ma alza comunque la posta in gioco
  36. Il divario CISO sta trasformando la sicurezza delle PMI in un servizio intermediato
  37. Perché il Zero Trust sta vincendo il dibattito, eppure le VPN tengono ancora aperta la porta
  38. Quando il browser diventa il guardiano: perché i browser enterprise stanno attirando i team di sicurezza
  39. La lista di Clop mette HARLEY-DAVIDSON.COM sotto i riflettori
  40. Il nuovo problema di intrusione in America Latina: l'IA che accelera le vecchie tattiche
  41. L'inserimento di Storm mette Flexmaster nel mirino, ma la storia della violazione resta ancora da dimostrare
  42. L’ultima ondata di patch di Ivanti mette a nudo il rischio nascosto nel control plane
  43. Lightcast compare in una voce di vittima di Direwolf mentre restano aperte le domande
  44. Citrix NetScaler nel mirino: perché un avviso critico conta al bordo della rete
  45. L'elenco Panzer porta un ente di supporto universitario sotto i riflettori del ransomware
  46. Incransom segnala Trucka in una nuova rivendicazione di ransomware
  47. Citrix NetScaler sotto pressione mentre le finestre di patching federali si riducono
  48. WhatsApp rafforza la protezione degli account e delle chiamate truffa
  49. Quando Active Directory cade, il SOC diventa l'ultima linea di difesa
  50. Quando l'identità diventa la superficie d'attacco: il raid agli account governativi che correva a velocità agentica
  51. Quando l'AI ha bisogno di prove, non di promesse: il problema della fiducia in Europa diventa reale
  52. La proliferazione degli agent AI sta costringendo i CIO a trattare ogni workflow come un perimetro di sicurezza
  53. Quando una finestra di chat diventa la prima porta: il modello di intrusione Windows di SynkLoader
  54. Eclipse indica Crystal Pharmatech in una nuova lista di vittime
  55. L’ultima segnalazione di una vittima da parte di Storm mette sotto i riflettori un appaltatore del Kentucky
  56. Un solo tag di vittima, pressione reale: Metaencryptor mette nel mirino una società di trasporti
  57. Thegentlemen nomina una società di trasporti, ma il quadro dell'intrusione resta poco chiaro
  58. Cinque nuovi nomi RAT, un obiettivo familiare: controllo silenzioso all'interno delle reti governative dell'Asia centrale
  59. Il mid-market diventa il silenzioso punto di pressione del ransomware
  60. Una falla in Mattermost fa suonare un allarme sommesso nella sala di controllo
  61. Il segnale più silenzioso del ransomware: un appaltatore della difesa finisce nel mirino di Storm
  62. La rivendicazione di Qilin getta un'ombra su Double-H-Equipment
  63. L'ultimo listing delle vittime di Panzer mette Alpine Electronics Europe sotto i riflettori
  64. L’elenco delle vittime mette uno studio legale sotto i riflettori del ransomware
  65. I mercati criminali prezzano l'accesso, non le password
  66. L’economia delle violazioni AI sta cambiando rapidamente e i team di sicurezza stanno pagando il prezzo
  67. La rivendicazione bancaria di Storm si regge su una sottile traccia di prove
  68. Il conto alla rovescia a divulgazione graduale trasforma un elenco di vittime in un segnale di pressione
  69. La mano nascosta di un plugin: i siti WordPress affrontano uno shock nella catena di fiducia
  70. La silenziosa presa di potere all'interno delle piattaforme AI aziendali
  71. La fiducia nel fornitore, non solo i dati, è il vero obiettivo nella rivendicazione di estorsione EY
  72. La rivendicazione di ShinyHunters mette in primo piano la violazione di EY, ma il percorso resta non dimostrato
  73. Il post estorsivo mette Host & Protect al centro di una nuova rivendicazione di fuga di dati
  74. Le sessioni del browser rubate stanno spingendo il ransomware oltre MFA
  75. Quando il software di identità diventa il bersaglio: il ciclo di patch a sei allerta di Apache Syncope
  76. La nuova spinta di OpenAI sugli agenti solleva una domanda più difficile dei posti di lavoro: chi controlla le mani?
  77. La scommessa di Roma sullo stack proprietario solleva una domanda più grande: chi controlla il livello di controllo?
  78. Perché un piccolo incremento di finanziamento può contare per una piattaforma di sicurezza
  79. Perché una nuova pratica Azure per gli acquirenti della PA è in realtà un problema di controllo
  80. Il punto cieco dell'AI: il piano di controllo che nessuno vuole debuggare
  81. Il problema dei dati sulla disoccupazione in Italia: quando l'AI sa leggere le competenze meglio delle istituzioni
  82. L'IA agentica si arena al cancello della fabbrica: perché la produzione è la parte difficile
  83. Post di estorsione prende di mira il gigante energetico colombiano, ma l'affermazione richiede ancora prove
  84. La rivendicazione di Qilin getta un'ombra sulla presenza web pubblica di Famesa
  85. La presenza su un leak site mette Mopas sotto i riflettori, ma la questione della violazione resta aperta
  86. Una rivendicazione di ShinyHunters approda nel territorio delle telecomunicazioni, ma mancano ancora le prove
  87. Quando una richiesta di riscatto prende di mira la reception dell'hotel, il vero danno inizia dietro il login
  88. Un nome su un sito di leak non è una prova: l’affermazione di Qilin su WNS-Lowery
  89. Stoccarda in una lista di leak site: quando una rivendicazione ransomware diventa un segnale di sicurezza
  90. Dentro la nuova corsa agli armamenti ERP: perché l’AI agentica cambia l’equazione della sicurezza
  91. Gremlin Stealer e l’abuso silenzioso dei file di risorse .NET
  92. I riflettori del leak site si posano sulla rete del Tesoro del Senegal
  93. Una rivendicazione, un hash e un bersaglio: The Gentlemen mette un istituto linguistico olandese nel mirino del ransomware
  94. Un hash, una rivendicazione e una cooperativa rurale: leggere con attenzione il segnale ransomware
  95. Il conto alla rovescia del leak site inizia per i registri privati di una cooperativa
  96. L’ultima rivendicazione di fuga di notizie di Akira mette nel mirino i registri di un micro-prestatore
  97. Quando un post su un leak site prende di mira un laboratorio di genetica, il vero rischio è ciò che accade dopo
  98. Canvas, dati e supervisione: la violazione SaaS che ha messo sotto processo la sicurezza dell'istruzione
  99. Una sola affermazione, un bersaglio pesante: perché conta un post estorsivo su uno studio legale
  100. Presunto attacco ransomware a SETCAR riporta le reti industriali nel mirino
  101. L’inserimento in un leak site trascina un fornitore di bioprocessi modulari sotto i riflettori del ransomware
  102. Quando i file assicurativi diventano carburante per l’estorsione
  103. Account gratuiti, rischio reale: come un flusso di lavoro Canvas è diventato l’anello debole
  104. Il punto debole silenzioso del cloud gaming: un partner regionale di GeForce NOW affronta un incidente di esposizione dei dati
  105. Una segnalazione su un leak site mette un MSP del Maine sotto una nube di sospetto

Back