La password resta lo strumento pi\u00f9 diffuso per dimostrare di essere chi si dichiara di essere. Proprio perch\u00e9 \u00e8 ovunque, \u00e8 anche il punto debole pi\u00f9 sfruttato: una password indovinata, rubata o riutilizzata apre l’accesso a un account senza bisogno di alcun attacco sofisticato. Capire cosa rende una password davvero solida, e come i siti la conservano dietro le quinte, aiuta a proteggere i propri account in modo concreto.<\/p>\n
Conviene chiarire subito un punto controintuitivo: la sicurezza di una password non dipende tanto dalla presenza di simboli strani o di lettere maiuscole, quanto dalla sua lunghezza e dall’imprevedibilit\u00e0. Le regole tradizionali che impongono un carattere speciale e un numero hanno prodotto, paradossalmente, password corte e difficili da ricordare ma facili da indovinare per un computer.<\/p>\n
La forza di una password si misura in termini di quante combinazioni un attaccante deve provare per indovinarla. Questo valore, chiamato entropia, cresce molto pi\u00f9 rapidamente aggiungendo caratteri che aggiungendo tipi di carattere.<\/p>\n
Un esempio rende l’idea. Una password di otto caratteri che mescola maiuscole, minuscole, numeri e simboli pu\u00f2 sembrare solida, ma per un sistema di calcolo moderno lo spazio delle possibilit\u00e0 \u00e8 comunque limitato e attaccabile. Una frase di quattro o cinque parole comuni scelte a caso, anche se fatta di sole lettere minuscole, \u00e8 molto pi\u00f9 lunga e genera un numero di combinazioni enormemente superiore, restando al tempo stesso facile da ricordare.<\/p>\n
\u00c8 il principio delle passphrase: invece di “P@ss1!”, che \u00e8 corta e segue schemi prevedibili, conviene qualcosa come una sequenza di parole non collegate tra loro. La condizione fondamentale \u00e8 che le parole siano scelte in modo realmente casuale, non tratte da una citazione famosa o legate tra loro da un senso logico, perch\u00e9 in quel caso la prevedibilit\u00e0 annulla il vantaggio della lunghezza.<\/p>\n
Le linee guida pi\u00f9 aggiornate riflettono questo cambio di prospettiva: privilegiano la lunghezza minima, scoraggiano l’obbligo di simboli imposti per forza e raccomandano di bloccare le password gi\u00e0 comparse in violazioni note, perch\u00e9 sono le prime che un attaccante prova.<\/p>\n
Capire come le password vengono violate aiuta a scegliere difese efficaci.<\/p>\n
Il riempimento di credenziali (credential stuffing) sfrutta password riutilizzate: chi ottiene un elenco di coppie email e password da una violazione le prova automaticamente su molti altri servizi. \u00c8 il motivo per cui riutilizzare la stessa password ovunque \u00e8 cos\u00ec pericoloso, come spiega l’articolo sulle violazioni di dati<\/a>.<\/p>\n L’attacco a dizionario prova parole comuni, varianti prevedibili e password note. L’attacco a forza bruta prova invece tutte le combinazioni possibili, partendo dalle pi\u00f9 corte: ecco perch\u00e9 ogni carattere aggiunto rende il compito esponenzialmente pi\u00f9 oneroso. Esiste infine il furto diretto della password, ad esempio tramite phishing, dove la vittima la digita su un sito falso.<\/p>\n Un sito gestito correttamente non conserva mai la password cos\u00ec com’\u00e8. Se lo facesse, chiunque violasse il database, o anche solo vi avesse accesso dall’interno, leggerebbe immediatamente tutte le credenziali. Al loro posto viene conservata un’impronta crittografica della password, prodotta da una funzione hash.<\/p>\n Una funzione hash trasforma un input di qualsiasi lunghezza in una stringa di lunghezza fissa, in modo deterministico ma non reversibile: dallo stesso input si ottiene sempre la stessa impronta, ma dall’impronta non si pu\u00f2 tornare all’input. Quando l’utente accede, il sito calcola l’impronta della password digitata e la confronta con quella memorizzata. Se coincidono, l’accesso \u00e8 concesso, senza che la password in chiaro sia mai stata conservata. Il funzionamento di queste primitive \u00e8 descritto nella sezione dedicata alla crittografia<\/a>.<\/p>\n C’\u00e8 per\u00f2 un’insidia. Se due utenti scelgono la stessa password, otterrebbero la stessa impronta, e un attaccante potrebbe precalcolare le impronte delle password pi\u00f9 comuni e confrontarle (le cosiddette tabelle precompilate). Per impedirlo si usa il salt: una stringa casuale, diversa per ogni utente, che viene aggiunta alla password prima di calcolarne l’impronta. Cos\u00ec la stessa password produce impronte diverse per utenti diversi, e le tabelle precalcolate diventano inutili.<\/p>\n A questo si aggiunge un ultimo accorgimento. Le funzioni hash generiche sono progettate per essere veloci, ma per le password questo \u00e8 un difetto, perch\u00e9 permette di provare miliardi di tentativi al secondo. Per questo motivo si usano funzioni di derivazione pensate apposta, deliberatamente lente e costose in termini di memoria, che rallentano enormemente gli attacchi pur restando istantanee per una singola verifica legittima. Conoscere questo meccanismo spiega perch\u00e9, dopo una violazione, le password protette in questo modo restano molto difficili da recuperare, mentre quelle conservate in chiaro o con algoritmi obsoleti sono immediatamente esposte.<\/p>\n Se ogni account deve avere una password lunga, casuale e diversa dalle altre, \u00e8 semplicemente impossibile ricordarle tutte. La soluzione pratica \u00e8 il gestore di password (password manager), un’applicazione che genera password forti, le conserva in un archivio cifrato e le inserisce automaticamente nei siti corretti.<\/p>\n Il funzionamento \u00e8 semplice da usare ma solido nei principi. L’utente ricorda una sola password principale, che protegge l’intero archivio. Tutte le altre vengono generate dal gestore, sono uniche per ogni servizio e l’utente non ha bisogno di conoscerle. L’archivio \u00e8 cifrato, quindi anche se il file finisse nelle mani sbagliate non sarebbe leggibile senza la password principale.<\/p>\n I vantaggi sono notevoli. Si elimina il riutilizzo delle password, che \u00e8 la causa principale dei danni a catena dopo una violazione. Si usano password lunghe e casuali ovunque, senza sforzo di memoria. E poich\u00e9 il gestore inserisce le credenziali solo sul sito corretto, offre anche una protezione indiretta contro il phishing: se il dominio non corrisponde, le credenziali non vengono compilate, e questo \u00e8 un segnale d’allarme prezioso. La sola accortezza \u00e8 proteggere bene la password principale e, dove possibile, abbinarla a un secondo fattore.<\/p>\n Per quanto sia forte, una password resta un singolo segreto: se viene rubata, l’account \u00e8 esposto. L’autenticazione a due fattori (2FA) aggiunge un secondo elemento indipendente, in modo che la sola password non basti pi\u00f9.<\/p>\n I fattori si dividono per natura: qualcosa che si conosce (la password), qualcosa che si possiede (il telefono, una chiave fisica) e qualcosa che si \u00e8 (un’impronta digitale, il volto). Combinarne due appartenenti a categorie diverse aumenta molto la sicurezza, perch\u00e9 un attaccante dovrebbe procurarseli entrambi.<\/p>\n Le forme pi\u00f9 comuni hanno livelli di solidit\u00e0 diversi. Il codice via SMS \u00e8 meglio di niente, ma \u00e8 il pi\u00f9 debole, perch\u00e9 esposto a tecniche di dirottamento del numero. I codici temporanei generati da un’app dedicata sono pi\u00f9 sicuri, perch\u00e9 non transitano su una rete intercettabile. Le chiavi di sicurezza fisiche offrono la protezione migliore, in particolare contro il phishing, perch\u00e9 verificano crittograficamente l’identit\u00e0 del sito e non possono essere ingannate da una pagina falsa.<\/p>\n L’impatto pratico \u00e8 notevole. Anche se la password viene rubata in una violazione o consegnata per errore su un sito falso, senza il secondo fattore l’accesso resta bloccato. Attivare la 2FA almeno sugli account critici, a cominciare dalla posta elettronica e dai servizi finanziari, \u00e8 una delle misure a pi\u00f9 alto rendimento in assoluto.<\/p>\n Una buona strategia per le password si regge su pochi principi chiari. Preferire la lunghezza e l’imprevedibilit\u00e0 alla complessit\u00e0 forzata. Usare una password diversa per ogni servizio e affidarne la gestione a un gestore di password. Attivare l’autenticazione a due fattori sugli account importanti. E sapere che, dal lato dei siti, la conservazione corretta avviene tramite impronte calcolate con salt e funzioni di derivazione lente, non in chiaro. Messe insieme, queste abitudini rendono i propri account un bersaglio molto pi\u00f9 difficile e i danni di un’eventuale violazione molto pi\u00f9 contenuti.<\/p>\nCome i siti conservano le password: hashing e salt<\/h2>\n
Il gestore di password<\/h2>\n
L’autenticazione a due fattori<\/h2>\n
In sintesi<\/h2>\n