Passkey Singpass: come funzionano e chi può usarle

L’utente deve comunque dimostrare localmente di avere il controllo del dispositivo, di solito tramite dati biometrici o passcode. Tuttavia, il sito non riceve né i dati biometrici né la chiave privata: riceve una risposta crittografica verificabile, ma non riutilizzabile come una password.

La coppia di chiavi pubblica e privata, spiegata semplicemente

Durante la registrazione, l’iPhone genera una coppia di chiavi unica:

• la chiave privata resta sul dispositivo registrato e serve a creare una firma digitale;
• la chiave pubblica corrispondente viene registrata da Singpass e serve a verificare quella firma;
• al momento del login, Singpass invia una nuova richiesta crittografica, detta challenge;
• il telefono firma la richiesta solo dopo l’autorizzazione dell’utente con Face ID, Touch ID, impronta digitale o passcode dell’app Singpass;
• Singpass verifica la risposta usando la chiave pubblica conservata nei propri sistemi.

Tecnicamente, non si tratta semplicemente di uno “scambio di chiavi di cifratura”, ma di un’autenticazione basata sulla crittografia a chiave pubblica. La chiave privata non viene inviata a Singpass e la sola chiave pubblica non permette di impersonare l’utente.

Le credenziali seguono inoltre il modello FIDO di autenticazione legata all’origine: la passkey è associata al dominio legittimo del servizio. Un sito che imita la pagina di accesso di Singpass può assomigliare all’originale, ma non può ottenere una risposta valida per il vero servizio.

È questo il motivo per cui una pagina Singpass contraffatta diventa molto meno utile per un truffatore. Non c’è una password, un OTP o un’approvazione QR riutilizzabile da sottrarre e riproporre.

Chi può usare le passkey Singpass al lancio?

Il lancio iniziale è limitato a una parte degli utenti:

• iPhone e iOS: supportati dal 1° luglio 2026 tramite browser mobili;
• Android: previsto in una fase successiva;
• computer portatili e desktop: il login dai browser per computer è stato rinviato a una fase successiva.

In pratica, un utente iPhone può registrare e usare una passkey durante un accesso compatibile da browser mobile. Non bisogna però presumere che l’opzione sia già disponibile per ogni servizio Singpass o su qualsiasi dispositivo.

Come registrare una passkey Singpass su iPhone

Per la fase iniziale, la registrazione si effettua dall’app mobile Singpass:

1. aggiornare l’app all’ultima versione;
2. aprire l’app e selezionare il banner dedicato alle passkey nella schermata iniziale;
3. seguire le istruzioni visualizzate per completare la creazione.

Dopo la registrazione, l’accesso viene autorizzato localmente con Face ID, Touch ID o impronta digitale, oppure con il passcode di sei cifre dell’app, a seconda del dispositivo e delle impostazioni disponibili. L’utente non deve quindi digitare una password Singpass nel sito a cui sta accedendo.

A cosa serve il controllo Bluetooth di prossimità

Il rischio cambia quando l’accesso viene avviato su un dispositivo diverso da quello che conserva la passkey, per esempio quando si usa il telefono per entrare in un portale aperto su un computer. In questi casi, Singpass può attivare un controllo Bluetooth a corto raggio per verificare che il telefono registrato si trovi fisicamente vicino al dispositivo che sta richiedendo l’accesso.

Il controllo di prossimità non sostituisce la verifica della coppia di chiavi: aggiunge un’ulteriore prova della vicinanza del telefono autorizzato. In questo modo diventa più difficile organizzare da remoto una falsa approvazione, ad esempio inviando alla vittima un QR code e guidandola passo dopo passo mentre il truffatore opera da un altro luogo.

Perché i vecchi metodi restano disponibili

Le passkey sono un’opzione aggiuntiva durante la beta, non una sostituzione immediata e universale. Le modalità esistenti rimangono necessarie per chi non possiede un iPhone compatibile, non ha ancora registrato una passkey o utilizza servizi e dispositivi non inclusi nella prima fase del rollout.

Password, OTP e QR restano importanti anche per garantire accessibilità e copertura. Tuttavia, la loro sicurezza dipende maggiormente dal comportamento dell’utente: una persona può essere manipolata e indotta a comunicare una password o un codice, scansionare un QR fraudolento o approvare una richiesta inattesa. La polizia di Singapore continua a raccomandare di non condividere mai password Singpass o dati della 2FA con persone sconosciute.

Le passkey riducono la quantità di materiale che può essere sottratto con il phishing, ma non cancellano ogni possibile truffa. Un criminale può ancora fingersi un’organizzazione, fare pressione sulla vittima per ottenere dati personali o tentare di sfruttare le procedure di recupero dell’account e di acquisizione illecita del controllo.

Il legame con gli standard FIDO e WebAuthn

Il progetto Singpass segue il modello a chiave pubblica e legato all’origine associato agli standard FIDO e WebAuthn. FIDO2, acronimo di Fast IDentity Online 2, è uno standard aperto per l’autenticazione che punta a sostituire i segreti riutilizzabili con credenziali crittografiche resistenti al phishing.

L’approccio basato su standard aperti è rilevante perché rende le passkey interoperabili con un ecosistema più ampio, invece di vincolarle a un formato proprietario. La FIDO Alliance le descrive come credenziali associate a un account su un sito o in un’app e utilizzabili con telefono, computer o chiave di sicurezza hardware, in base al supporto offerto da ciascun servizio.

Per Singpass, il vantaggio pratico è il vincolo al dominio: l’autenticatore dovrebbe rispondere al servizio legittimo, non a un sito di phishing graficamente simile.

I numeri del phishing a Singapore

Nel 2025 Singapore ha registrato 37.308 casi di truffa e perdite per circa 913,1 milioni di dollari di Singapore. Si tratta dei dati complessivi sulle truffe, non del solo phishing.

Le statistiche annuali ufficiali riportano separatamente 6.264 casi di phishing e 39,9 milioni di S$ sottratti attraverso questo tipo di frode nel 2025. Il phishing rappresenta quindi una componente rilevante del problema, ma questi numeri non dimostrano che tutte le perdite complessive siano state causate dal furto di credenziali Singpass.

La scelta di introdurre le passkey è mirata: rendere molto meno efficace la fase di raccolta delle credenziali durante un attacco di phishing. Anche con questa protezione, gli utenti devono continuare a controllare i siti visitati, rifiutare richieste di accesso inattese e non condividere mai i propri dati Singpass, soprattutto finché i metodi di autenticazione precedenti resteranno disponibili.