Un fornitore di credenziali è la funzionalità del dispositivo o il servizio che archivia, gestisce e presenta credenziali di accesso come password, passkey o chiavi di recupero. Invece di costringere l'utente a digitare un segreto in ogni app o sito web, può sbloccare e rilasciare la credenziale corretta dopo un'approvazione locale, come un'impronta digitale, Face ID o il PIN del dispositivo. Con le passkey, la chiave privata spesso rimane sul dispositivo o in un fornitore di credenziali sincronizzato, mentre l'app riceve solo una prova crittografica dell'identità.
Questo è importante perché i fornitori di credenziali cambiano il modo in cui gli aggressori cercano di rubare l'accesso. Una falsa pagina di accesso non può semplicemente acquisire una passkey come può fare con una password, ma il fornitore diventa parte della catena di fiducia. Se il dispositivo viene compromesso, il percorso di recupero dell'account è debole o la sincronizzazione delle credenziali viene abusata, gli aggressori possono comunque ottenere l'accesso. I difensori si affidano a una forte sicurezza del dispositivo, a un'autenticazione resistente al phishing e a controlli di recupero attenti per evitare che il fornitore diventi un singolo punto di guasto.