Un mondo di password: un rapporto difficile da gestire

Chi le segna nel portafoglio, chi attacca biglietti sullo schermo, chi le scrive sotto la tastiera del computer o chi ha una sorta di libro nero su cui le annota…stiamo parlando naturalmente di password. Semplici o complesse, scontate o elaborate, eterne, salvate direttamente sul PC e cambiate raramente, ognuno ha la propria metodologia per ricordare la miriade di lettere e numeri che ogni giorno siamo costretti ad utilizzare per accedere ai servizi digitali.

Una password complessa è una sequenza difficile da indovinare o decifrare attraverso attacchi di forza bruta ossia utilizzando software appositi che generano migliaia di password al secondo tentando di comporre diverse combinazioni di caratteri fino a quando non viene trovata la password corretta. Una password debole, come “123456”, può essere facilmente individuata, permettendo agli hacker di accedere ad un account.

Attualmente, oltre l’80% delle violazioni legate all’hacking è causato da password rubate o deboli. Ciò dimostra che le password deboli rappresentano un rischio significativo per la sicurezza e possono portare a violazioni dei dati. Le password complesse sono importanti perché aiutano a prevenire l’accesso non autorizzato alle informazioni personali e agli account. Guardate nello schema seguente come variano i tempi di individuazione di una password rispetto alla complessità utilizzata utilizzando un software di media potenza. 

È sufficiente cambiare le password con frequenza?

Ora che abbiamo stabilito l’importanza delle password complesse, esploriamo come crearle. Ecco alcuni suggerimenti per creare una password sicura.

Come ormai è risaputo una password sicura deve includere una combinazione di lettere maiuscole e minuscole, numeri e simboli. Ciò rende più difficile per gli hacker indovinare le password tramite attacchi di forza bruta. Nonostante questo, ogni anno, quando vengono stilati, da alcune società specializzate gli elenchi delle peggiori password “123456” e “password” continuano ad essere ai primi posti. Ciò evidenzia il fatto che molte persone usano ancora password facilmente indovinabili. Sono altresì da evitare informazioni come il proprio nome o la data di nascita. Queste informazioni possono essere facilmente ottenute attraverso i profili dei social media.

Come è possibile appurare dallo schema sopra riportato la lunghezza è importante: più lunga è la password, più forte è. L’ente americano della tecnologia (NIST) consiglia di utilizzare una password di almeno 8 caratteri, ma idealmente le password dovrebbero essere lunghe 12 o più caratteri.

Altro consiglio importante è quello di non riutilizzare le password ossia evitare di riutilizzare la stessa per account diversi. Sempre per il NIST l’aggiornamento regolare delle password è invece una metodologia leggermente superata proprio per i motivi legati alla debolezza delle stesse quindi sicuramente è meglio optare per password sicure che possono mettere in profonda difficoltà gli attaccanti piuttosto che il cambio frequente di password “deboli”. Bene invece per differenti misure di sicurezza come l’autenticazione a più fattori che possono migliorare ulteriormente la sicurezza.

Un aiuto importante: le passphrase?

Tra i metodi utilizzati per poter creare password complesse ma facili da ricordare è possibile utilizzare una metodologia assodata che prende il nome di passphrase.

Una passphrase è una stringa di parole simile a una frase usata per l’autenticazione che è più lunga di una password tradizionale, facile da ricordare e difficile da decifrare. Le password tipiche variano, in media, da otto a 16 caratteri, mentre le passphrase possono raggiungere anche decine di caratteri.

L’utilizzo di una passphrase lunga invece di una password breve è uno dei molti modi con cui gli utenti possono rafforzare la sicurezza dei propri dati, dispositivi e account. Più lunga è una passphrase, più è probabile che un utente incorpori fattori che la rendono meno prevedibile per un potenziale utente malintenzionato. Poiché sempre più siti Web, applicazioni e servizi aumentano i requisiti di sicurezza degli utenti, una passphrase è un modo rapido e semplice per soddisfare questi criteri.

Confronto di una password con una passphrase

Ci sono molte differenze tra una password e una passphrase, come mostrato sotto.

Pa$$w0rd!

Sicuramente difficile da ricordare ma molto facile da attaccare per un hacker

Sole Pizza Snoopy!

Con tre parole molto semplici da ricordare abbiamo creato una password di ben 18 caratteri, praticamente inattaccabile

Sebbene le password e le passphrase siano progettate per raggiungere lo stesso obiettivo, esistono differenze nette tra le due, tra cui le seguenti:

1. Le passphrase generalmente sono più facili da ricordare rispetto alle password. Le persone trovano più facile ricordare da quattro a otto parole casuali che sono più di 30 caratteri rispetto a una password che è in genere solo da 8 a 16 caratteri.
2. Le passphrase sono più sicure delle password. Le passphrase possono contenere più di cento caratteri, comprese lettere maiuscole e punteggiatura. Pertanto, una passphrase scritta correttamente può essere molto più difficile da intercettare rispetto ad una password.
3. È possibile creare passphrase quasi impossibili da decifrare. Sebbene i criminali informatici dispongano di un arsenale di strumenti per decifrare le password, anche gli strumenti più avanzati non sono in grado di applicare la forza bruta a una passphrase che utilizza parole casuali ed è di lunghezza significativa. Lo stesso non si può dire per password molto più brevi.
4. Le applicazioni e i sistemi operativi supportano le passphrase. La maggior parte dei sistemi operativi, delle applicazioni e dei servizi moderni accetta password con addirittura più di cento caratteri.

Come usare una passphrase

Il modo migliore per creare una passphrase è combinare un gruppo di parole in una frase che abbia senso per l’utente e sia facilmente ricordabile ma non abbia senso per nessun altro. Pertanto, non si dovrebbero utilizzare frasi comuni o citazioni famose, poiché possono essere indovinate o decifrate molto più facilmente. Usare quindi elementi che solo l’utente sia in grado di capire è la chiave per creare una password forte.

Le regole da contemplare durante la creazione di passphrase complesse includono ad esempio:

• un gruppo di quattro-otto parole facile da ricordare ma non di uso comune;
• aggiungere spazi all’interno e tra le parole;
• usare lettere maiuscole oppure intere parole in maiuscolo;
• aggiungere punteggiatura e caratteri speciali che abbiano senso per l’utente ma per nessun altro;
• usare ortografie insolite o abbreviate delle parole;
• trasforma alcune lettere in numeri (es. Sn00py) con gli “zeri” al posto delle “o”.

Alcuni modi poi per sviluppare una passphrase possono includere una storia personale o un ricordo specifico dell’utente. Le parole chiave possono essere usate per raccontare questa storia, che a tutti gli altri sembreranno del tutto casuali.

Insomma, chi l’avrebbe detto che, per aumentare alla sicurezza informatica dei nostri dispositivi avremmo dovuto ricorrere alla fantasia?

TORNA AL BLOG DI ALBERTO STEFANI