Titanium Passkey è un provider di credenziali offline per iPhone, iPad e Mac. Le chiavi private vivono nel Secure Enclave, protette da Face ID o Touch ID. Niente cloud. Niente sync. Niente account. Solo firme che non lasciano mai il dispositivo.
Ogni passkey è una coppia di chiavi P-256 generata dentro il coprocessore di sicurezza dedicato di Apple. La metà privata non può mai essere esportata — non da noi, non da iOS, non da te.
Ogni accesso è convalidato da Face ID o Touch ID — nessun fallback al codice. SecAccessControl lo impone a livello hardware, non come casella in software.
Chiavi EC P-256 create con kSecAttrTokenIDSecureEnclave. Le firme avvengono sul chip. Il materiale di chiave privata non tocca mai la RAM accessibile a iOS.
Nessun backend. Nessuna telemetria. Nessuna analytics. L'estensione Credential Provider — il processo che tocca ogni passkey — è consegnata senza permesso di rete. Nulla da esfiltrare, anche se volessimo.
ES256 standard (COSE alg -7) su WebAuthn. Funziona con ogni sito compatibile con passkey — GitHub, Google, la tua banca, la tua app self-hosted.
Si registra come Credential Provider via AuthenticationServices. I fogli di accesso appaiono nativamente in Safari e in ogni app iOS che parla WebAuthn.
Elimina l'app e le chiavi se ne vanno con lei — esattamente come dovrebbe essere. Niente da disdire, nessun backup da distruggere, nessun account da chiudere.
La maggior parte degli authenticator implementa le operazioni di base create e get e si ferma lì. Titanium Passkey va oltre — perché i siti che tengono alla UX moderna delle passkey possano usarlo.
Quando una sola passkey corrisponde alla richiesta, salta il selettore. Face ID o Touch ID si attiva immediatamente — un'occhiata e sei dentro. Disattivabile se preferisci conferma esplicita.
I siti che chiedono passkey tramite il flusso conditional UI ricevono una credenziale corrispondente inline, senza interrompere il campo password. Supporto nativo, senza bricolage.
Promuove un accesso con password a passkey in background mentre l'utente accede. Il flag iOS SupportsConditionalPasskeyRegistration è attivo — i siti che aderiscono ottengono upgrade fluidi.
L'estensione prf (hmac-secret di WebAuthn) è pienamente supportata. Le web app che legano dati cifrati a una passkey — es. app di documenti E2EE — ottengono segreti deterministici, per-sito, derivati nel Secure Enclave.
Il livello predefinito è ancorato al silicio, singolo dispositivo. Se vuoi che una credenziale specifica si sincronizzi via portachiavi iCloud, attivalo per singola passkey. Il compromesso è spiegato nell'app, non nascosto nelle impostazioni.
Accedi da qualsiasi computer — Windows, macOS, Linux, Chromebook — senza un gestore di passkey installato lì. Nel prompt passkey del browser scegli «Usa un dispositivo nelle vicinanze» / «Altre opzioni», scansiona il QR code e approva con Face ID o Touch ID sull’iPhone. Via Bluetooth, come la specifica Apple prevede.
iOS instrada le richieste WebAuthn all'estensione Credential Provider. Titanium Passkey risponde — o si fa da parte.
Un sito o un'app emette una sfida WebAuthn. iOS mostra i provider registrati.
Seleziona Titanium Passkey dal foglio AutoFill. L'estensione si sveglia in-process.
Face ID o Touch ID sblocca la chiave privata dentro il Secure Enclave. Un'occhiata.
La firma è prodotta sul chip e restituita a iOS. Sei dentro. Nessun round-trip.
Ci sono tre grandi scuole di conservazione delle passkey. Ognuna rinuncia a qualcosa. Titanium Passkey è costruito per il modello di minaccia che le altre due non coprono del tutto — il furto del dispositivo stesso.
iCloud Keychain · Google · Microsoft
YubiKey · Titan · SoloKey
Secure Enclave · protetto da biometria
YubiKey Bio e modelli simili aggiungono verifica di impronta on-device — più vicini a ciò che facciamo, ma il sensore è minuscolo, solo impronta e recente. Face ID aggiunge profondità e rilevamento vitalità che una superficie capacitiva su un token USB non può eguagliare. Titanium Passkey poggia su hardware con un decennio di lavoro antispoof.
La maggior parte dei gestori di password è costruita attorno alla sync.
Noi abbiamo costruito questo attorno all'idea opposta.
kSecAttrAccessibleAfterFirstUnlockThisDeviceOnly.
Per gli ingegneri.
ES256 (COSE -7)
kSecClassKey + metadati
biometryCurrentSet + privateKeyUsage
AuthenticationServices
none — rispetta la privacy
Titanium Passkey è in sviluppo. Segui il rilascio sull'App Store.