La verifica dell'utente è un passaggio di approvazione locale che dimostra che una persona reale è presente prima che un autenticatore rilasci una credenziale. I metodi comuni includono un PIN, un'impronta digitale o un controllo del volto. Nei sistemi passkey, la verifica dell'utente aiuta a garantire che il possesso di un dispositivo da solo non sia sufficiente; l'utente deve anche sbloccare la chiave privata con un gesto locale o un segreto.
Questo è importante perché gli attaccanti informatici spesso cercano di aggirare l'ultimo tratto dell'autenticazione. Se un malware compromette un endpoint Windows, può abusare della catena di fiducia locale, acquisire una sessione già sbloccata o attivare flussi di verifica sulla macchina della vittima. I difensori considerano la verifica dell'utente come un livello, non un controllo completo: per mantenere significativo il passaggio di verifica servono una solida sicurezza del dispositivo, autenticatori basati su hardware, il principio del privilegio minimo e una rapida rimozione del malware.