Foto di Vova Kondriianenko.

Microsoft ha completato la rimozione della master password da Edge, sostituendo definitivamente la Custom Primary Password con l'autenticazione basata sul dispositivo tramite Windows Hello e meccanismi equivalenti su altri sistemi operativi. Dal 4 giugno l'accesso alle credenziali salvate nel browser richiede una verifica locale dell'identità, eliminando la possibilità di proteggere il password manager integrato con una password principale separata. La modifica è stata introdotta con Edge versione 145 e rappresenta un passaggio strutturale verso un modello di autenticazione privo di password. Gli utenti che avevano attivato la master password vengono ora reindirizzati automaticamente ai metodi di autenticazione del sistema operativo come PIN, impronta digitale o riconoscimento facciale. Microsoft ha spiegato che la decisione deriva dalla necessità di allineare Edge alle protezioni hardware già presenti nei dispositivi moderni.

La Custom Primary Password consentiva di impostare una password aggiuntiva per accedere alle credenziali salvate nel browser. Con la sua rimozione, Edge utilizza esclusivamente l'autenticazione locale, che si basa su componenti come il Trusted Platform Module e su dati biometrici memorizzati come modelli matematici, non come immagini. Questo approccio riduce la possibilità che un aggressore possa ottenere un'unica password riutilizzabile per accedere a tutte le credenziali archiviate. La dismissione della master password è iniziata già a marzo 2026, quando è stata impedita la creazione di nuove password principali. Gli utenti già attivi hanno ricevuto notifiche progressive fino alla disattivazione definitiva del 4 giugno: da quel momento, Edge richiede un prompt di autenticazione locale ogni volta che si tenta di visualizzare o compilare una password salvata.

Utilizzato come meccanismo principale su Windows, Windows Hello supporta PIN, impronta digitale e riconoscimento facciale. Quest'ultimo sistema presenta però una limitazione introdotta nel 2025: per funzionare richiede sia un sensore IR sia una webcam in grado di rilevare il volto dell'utente. In condizioni di scarsa illuminazione l'autenticazione può fallire, costringendo a utilizzare metodi alternativi come il PIN o il lettore di impronte. Su macOS Edge utilizza invece Touch ID o il login del sistema operativo. Su dispositivi privi di hardware biometrico, l'accesso alle password salvate avviene tramite la password del dispositivo o un prompt di autenticazione equivalente. In tutti i casi l'autenticazione è legata al dispositivo e non può essere trasferita o utilizzata su un altro sistema.

La scelta si inserisce nella strategia più ampia di Microsoft per ridurre l'uso di password tradizionali. Negli ultimi mesi la multinazionale ha annunciato la progressiva eliminazione dell'autenticazione via SMS per gli account personali e ha accelerato l'adozione delle passkey, che utilizzano crittografia a chiave pubblica e privata. In questo modello, il segreto crittografico rimane sul dispositivo e non viene mai trasmesso ai servizi online. La rimozione della master password comporta un cambiamento nel modello di rischio. Chi ottenesse accesso al dispositivo potrebbe superare più facilmente la barriera tra sistema operativo e browser, mentre in precedenza la master password costituiva un livello di separazione aggiuntivo. Tuttavia l'autenticazione basata su hardware riduce la possibilità di attacchi remoti, come phishing o furto di database di password.

Articoli raccomandati:

Microsoft abbandona gli SMS: passkey e biometria diventano lo standard

L'IA può estrarre le impronte digitali da foto ad alta definizione

Firefox ottiene 6 milioni di nuovi utenti in UE

Password in chiaro nella memoria di Edge

Microsoft sottolinea che i dati biometrici non vengono inviati al cloud e rimangono confinati all'interno dell'hardware di sicurezza del dispositivo. Questo riduce l'esposizione in caso di compromissione dei server remoti, ma rende più critico il funzionamento dell'hardware locale. Problemi con sensori biometrici o configurazioni aziendali restrittive possono influire sulla capacità di accedere alle credenziali salvate. Gli utenti che desiderano mantenere una separazione più netta tra il login del sistema operativo e il vault delle password del browser possono ricorrere a gestori di password di terze parti: questi strumenti utilizzano vault cifrati indipendenti dal dispositivo e possono essere protetti da una master password dedicata, mantenendo un livello di isolamento che Edge non offre più.

Spunti di approfondimento:

Windows 11, il CEO Nadella ammette gli errori

Debutta Samsung Browser per Windows

Bitlocker, Microsoft consegna all'FBI le chiavi per accedere ai PC di tre in...

La truffa del pedaggio fantasma: falsi SMS di Autostrade rubano dati e carte di ...