Microsoft Entra ID passkey sincronizzate: meno attrito MFA

Introduzione: perché è importante

L’adozione della MFA continua a crescere, ma molte organizzazioni faticano ancora con l’attrito per gli utenti, l’onere della formazione e i costi dell’helpdesk—soprattutto quando gli utenti perdono l’accesso ai propri metodi di autenticazione. A Ignite 2025, Microsoft ha introdotto synced passkeys e high-assurance account recovery per Entra ID, ora disponibili in public preview, con l’obiettivo di rendere l’autenticazione forte più semplice da implementare e più facile per gli utenti finali.

Novità

1) Synced passkeys (public preview)

Le synced passkeys eliminano completamente le password e consentono agli utenti di accedere usando biometria o un PIN del dispositivo, con passkey che si sincronizzano tra i dispositivi tramite piattaforme come iCloud Keychain e Google Password Manager.

Principali vantaggi evidenziati da Microsoft:

• Maggiore successo di accesso rispetto ai metodi legacy (dati consumer Microsoft citati: 95% vs 30%).
• Accesso più rapido rispetto a password + MFA basata su codice (citato: 14x più veloce).
• Autenticazione phishing-resistant, che riduce l’esposizione a furto di credenziali e intercettazione di OTP.
• Ampio supporto nativo del sistema operativo sulle principali piattaforme.

2) Passkey profiles per un controllo amministrativo granulare

Per affrontare le comuni preoccupazioni di rollout (attrito di enrollment, UX incoerente, ticket all’helpdesk), Entra ID introduce una configurazione basata su gruppi per l’autenticazione tramite passkey.

Gli admin possono definire requisiti per gruppo, come:

• Requisiti di attestation
• Tipo di passkey (device-bound vs synced)
• Controlli sul provider di passkey specifico

Questo sposta le passkey da un singolo toggle a livello di tenant a un modello di implementazione guidato da policy, allineato a personas reali e profili di rischio.

3) High-assurance account recovery con ID + biometria (public preview)

Quando gli utenti perdono l’accesso ai normali metodi di accesso (incluse le passkey), il ripristino diventa l’anello debole—e un bersaglio per impersonificazione e social engineering. Il nuovo flusso di ripristino di Microsoft usa verifica dell’identità tramite documento governativo più una corrispondenza biometrica basata su AI.

Come funziona:

• Gli utenti selezionano “Recover my account” nell’esperienza di accesso Entra.
• Completano la remote document verification (ad es. patente, passaporto).
• Eseguono un Face Check (liveness + selfie confrontato con la foto sul documento) usando Microsoft Entra Verified ID Face Check basato su servizi Azure AI.
• Entra ID confronta gli attributi verificati (ad es. nome/indirizzo) con la directory dell’organizzazione/sistema HR.
• Dopo il ripristino, agli utenti viene richiesto di registrare una synced passkey per ridurre futuri lockout.

Le organizzazioni possono scegliere i provider di verifica ID tramite Microsoft Security Store: Idemia, LexisNexis e AU10TIX, con copertura in 192 paesi.

Impatto per IT admin e utenti finali

• Minore volume e costo dell’helpdesk grazie alla riduzione di reset password e metodi di ripristino fragili.
• Miglioramento della postura di sicurezza favorendo auth phishing-resistant e controlli di ripristino più robusti.
• Deployment più prevedibili grazie ai passkey profiles con ambito di gruppo e abilitazione graduale.
• Migliore esperienza utente con meno codici, meno errori e un percorso di ripristino guidato.

Azioni / prossimi passi

1. Eseguire un pilot delle synced passkeys con un gruppo di utenti controllato; validare la prontezza di dispositivi/piattaforme e le comunicazioni agli utenti.
2. Creare passkey profiles per persona (ad es. frontline, contractor, privileged admins) e definire requisiti di provider/attestation.
3. Valutare i requisiti di account recovery (privacy, compliance, matching degli attributi HR) ed eseguire simulazioni prima dell’abilitazione in produzione.
4. Selezionare un provider IDV in Microsoft Security Store e pianificare il supporto operativo per gli scenari di ripristino.

Note sulle licenze

• Passkeys: incluse per tutti i clienti Microsoft Entra ID
• Account recovery: incluso con Microsoft Entra ID P1
• Face Check: componente aggiuntivo per verifica o incluso con Microsoft Entra Suite
• Government ID check: pagamento per verifica tramite Microsoft Security Store