L'autenticazione crittografica è un metodo di accesso che dimostra l'identità con la crittografia a chiave pubblica invece di un segreto condiviso riutilizzabile come una password. Un dispositivo mantiene nascosta una chiave privata, mentre un server memorizza la chiave pubblica corrispondente. Durante l'accesso, il servizio invia una sfida a cui il dispositivo può rispondere solo usando la chiave privata, che non lascia mai il dispositivo. Ciò significa che non c'è nulla di utile che un attaccante possa rubare direttamente dallo scambio di accesso.
Questo è importante perché riduce notevolmente attacchi comuni come phishing, riutilizzo delle password, attacchi replay e credential stuffing. Nelle difese reali, compare in passkey, chiavi di sicurezza hardware e altri sistemi di accesso a chiave pubblica. Negli attacchi, i criminali spesso cercano di aggirarla prendendo il controllo del dispositivo, inducendo un utente ad approvare un prompt o abusando di flussi di recupero deboli. Per i team di sicurezza, l'autenticazione crittografica migliora la protezione degli account solo quando la chiave privata è ben protetta e le opzioni di recupero sono più difficili da indovinare di un semplice PIN o di una password.