Sicurezza password

Sulle password circola più sapere superato che su quasi ogni altro tema informatico. La regola del carattere speciale, della maiuscola e della cifra viene da un'epoca in cui gli attaccanti indovinavano ancora a mano. Oggi è considerata superata proprio dall'ente che l'aveva formulata: la lunghezza batte la complessità, perché ogni carattere in più moltiplica lo sforzo, mentre un punto esclamativo aggiunto lo aumenta appena.

Il motivo sta in come si indovina. Gli attacchi automatizzati non procedono carattere per carattere: lavorano con liste di parole di lingue reali, nomi e password trapelate — comprese le sostituzioni che vengono in mente a chiunque. «P@ssw0rd!» è difficile da ricordare per una persona e banale per un programma; quattro parole casuali sono l'opposto di entrambe le cose.

Il tema diventa pratico solo con la seconda domanda: dove si conservano? Un'unica buona password usata ovunque smette di essere buona nel momento in cui un solo servizio viene compromesso. Un gestore di password risolve la cosa abolendo la memorizzazione — e sposta la domanda su un'unica password principale, che a quel punto deve essere davvero lunga.

Resta la misura singola più efficace: un secondo fattore. Interviene esattamente quando la password è già persa — il caso in cui nient'altro serve più. Gli articoli di questa sezione spiegano anche che cosa succede dall'altra parte: perché un servizio non dovrebbe mai conservare la tua password in chiaro e da che cosa capisci che non lo fa.