Password manager: una rassegna delle migliori soluzioni

Non è così facile generare una password sicura: i criminali in­for­ma­ti­ci possono servirsi di avan­za­tis­si­mi software che ri­co­no­sco­no lo schema e decifrano la password, così nel giro di qualche secondo hanno accesso a dati sensibili. La soluzione è ricorrere a password complesse composte da una com­bi­na­zio­ne casuale di lettere, cifre e caratteri speciali, che risultano difficili da decifrare anche per i ma­lin­ten­zio­na­ti provvisti dei migliori software e hardware. Tuttavia, simili sequenze in­de­ci­fra­bi­li risultano al­tret­tan­to difficili da ricordare, anche per gli stessi utenti che le hanno scelte. Nello specifico, chi necessita di una mol­ti­tu­di­ne di dif­fe­ren­ti accessi privati per le proprie attività al computer, può ap­pro­fit­ta­re delle op­por­tu­ni­tà offerte da un password manager.

Quale password manager scegliere? Dif­fe­ren­ze e criteri di va­lu­ta­zio­ne

I password manager o gestori di password fanno parte degli strumenti che possono rendere più sicure le tue attività quo­ti­dia­ne sul World Wide Web. Se utilizzi molte ap­pli­ca­zio­ni che hanno bisogno di un login e lavori con in­for­ma­zio­ni riservate e sensibili, non solo potrai be­ne­fi­cia­re della pro­te­zio­ne offerta dai pratici programmi di sicurezza, ma anche della sem­pli­fi­ca­zio­ne dei processi di accesso. Tuttavia, prima di creare un sistema di password per­so­na­liz­za­to, è ne­ces­sa­rio trovare il giusto password manager. Ov­via­men­te è più facile a dirsi che a farsi, vista l’ampia scelta di soluzioni, sia pro­prie­ta­rie che open source.

Per trovare lo strumento giusto, è ne­ces­sa­rio con­si­de­ra­re i requisiti che il software deve sod­di­sfa­re. Un fattore im­por­tan­te è se il software de­si­de­ra­to viene eseguito esclu­si­va­men­te sul computer locale o se si desidera eseguirlo anche su un di­spo­si­ti­vo esterno tramite un supporto di me­mo­riz­za­zio­ne mobile (ad esempio, una chiavetta USB).

È inoltre fon­da­men­ta­le ve­ri­fi­ca­re se il programma includa o meno una funzione di ge­ne­ra­zio­ne. I singoli strumenti di gestione delle password dif­fe­ri­sco­no anche in termini di algoritmi. Na­tu­ral­men­te, giocano un ruolo im­por­tan­te anche le tue pre­fe­ren­ze personali: as­si­cu­ra­ti di uti­liz­za­re un metodo di crit­to­gra­fia ag­gior­na­to quando prendi una decisione su quale password manager usare.

Infine, è un im­por­tan­te criterio di va­lu­ta­zio­ne dove viene salvato il database delle password: alcuni programmi me­mo­riz­za­no au­to­ma­ti­ca­men­te le password nel cloud del pro­dut­to­re, con­sen­ten­do una di­spo­ni­bi­li­tà costante. Tuttavia, hai il massimo controllo sulle tue password solo se opti per quelle soluzioni che con­sen­to­no di salvarle in locale sul tuo sistema.

I migliori password manager a confronto

I criteri di va­lu­ta­zio­ne citati sopra sot­to­li­nea­no ul­te­rior­men­te l’im­por­tan­za di in­for­mar­ti pre­li­mi­nar­men­te sui password manager che po­treb­be­ro fare al caso tuo. Se, ad esempio, compi una scelta af­fret­ta­ta e acquisti un programma pro­prie­ta­rio perché promette metodi di crit­to­gra­fia avan­za­tis­si­mi per poi scoprire che l’ar­chi­via­zio­ne cloud non è la soluzione che pre­fe­ri­sci, allora avrai investito soldi inu­til­men­te in uno strumento che risulterà inu­ti­liz­za­bi­le per te. D’altra parte, anche andare alla cieca e optare per un prodotto open source può co­sti­tui­re un rischio: se il fornitore è poco serio, la sicurezza delle tue password potrebbe essere com­pro­mes­sa.

Per darti supporto nella ricerca del giusto gestore di password, a seguire ti pre­sen­tia­mo alcuni programmi in­te­res­san­ti ap­pro­fon­den­do so­prat­tut­to gli aspetti relativi ai costi, tipi di licenza, alla fles­si­bi­li­tà e alle funzioni ag­giun­ti­ve.

KeePass

Un password manager da con­si­glia­re è la soluzione open source pub­bli­ca­ta da Dominik Reichl nel 2003, KeePass. Da allora il programma con licenza GPL è stato con­ti­nua­men­te svi­lup­pa­to, in parte anche grazie a una community molto attiva. Per questo motivo, nel frattempo, esistono più di 45 diversi pacchetti lin­gui­sti­ci e mol­te­pli­ci plugin, con i quali è possibile ampliare le funzioni di base di KeePass. In aggiunta alle versioni ufficiali per Windows, macOS e Linux, ci sono varie por­ta­bi­li­tà per sistemi operativi mobili come Windows Phone (ad esempio WinPass, WinKee, 7Pass), iOS (ad esempio iKeePass, Mi­ni­Kee­Pass, MyKeePass) e Android (ad esempio Kee­Pas­sDroid, KeePass2Android, KeepShare). Per poter uti­liz­za­re lo strumento di gestione delle password devi in­stal­lar­lo sul sistema de­si­de­ra­to o, in al­ter­na­ti­va, salvarlo su una chiavetta USB sotto forma di ap­pli­ca­zio­ne portabile.

KeePass è un ottimo password manager, che a dif­fe­ren­za di altre soluzioni consente anche l’au­ten­ti­ca­zio­ne a due fattori e la crit­to­gra­fia dell’intero database di password. A questo scopo sono messi a di­spo­si­zio­ne gli algoritmi AES o Twofish, mentre per la pro­te­zio­ne delle singole password entra in gioco l’algoritmo hash SHA-256.

Gli utenti hanno a di­spo­si­zio­ne tre diverse opzioni per accedere al database: una classica password master, l’utilizzo di un account di Windows oppure la variante con la chiave. Quest’ultima è con­si­de­ra­ta dallo svi­lup­pa­to­re come la soluzione più sicura; tuttavia, devi avere la chiave sempre con te, magari su una chiavetta USB o su un CD. È possibile anche una com­bi­na­zio­ne di password prin­ci­pa­le e chiave. Ulteriori funzioni del password manager sono le seguenti:

• Diversi formati di espor­ta­zio­ne, come TXT, HTML, XML o CSV
• Oltre 35 formati di im­por­ta­zio­ne
• Ca­te­go­riz­za­zio­ne delle password
• In­di­ca­zio­ne dell’ora e della data di creazione, dell’ultima modifica, dell’ultimo accesso e del termine di scadenza delle password
• Funzione di ricerca e di filtro
• Framework di plugin per­so­na­liz­za­to

KeePass non convince solamente per le sue ampie funzioni di database, ma anche per il suo ge­ne­ra­to­re di password integrato, grazie al quale puoi creare ve­lo­ce­men­te password sicure per i tuoi login. Nelle im­po­sta­zio­ni sta­bi­li­sci la lunghezza della password e la sequenza di caratteri alla base (maiuscole, minuscole, cifre, caratteri speciali e così via). Di base puoi anche scegliere un modello proposto oppure un algoritmo per­so­na­liz­za­to.

Password Safe (MATESO)

Il software Password Safe, pub­bli­ca­to nel 1998, è di­spo­ni­bi­le in diverse edizioni a pagamento, anche se l’offerta si rivolge prin­ci­pal­men­te a PMI e grandi aziende. MATESO fa ora parte dell’azienda sta­tu­ni­ten­se di sicurezza in­for­ma­ti­ca Netwrix, per cui sono di­spo­ni­bi­li vari pacchetti, compresi quelli più piccoli per i privati. È possibile ri­chie­de­re una versione demo. Di seguito rie­pi­lo­ghia­mo i pacchetti offerti:

• Netwrix Auditor for Active Directory: l’edizione base “Starter” fornisce fun­zio­na­li­tà di base per il mo­ni­to­rag­gio delle attività di Active Directory e può essere ampliata con le edizioni “Standard” ed “En­ter­pri­se” per includere alcune fun­zio­na­li­tà come il mo­ni­to­rag­gio in tempo reale, la con­for­mi­tà e l’analisi delle attività di AD.
• Netwrix Auditor per Azure AD: come per Active Directory, Netwrix offre diverse edizioni per il mo­ni­to­rag­gio di Azure AD, per­so­na­liz­za­te in base alle esigenze delle diverse aziende.
• Altri pacchetti come Netwrix Auditor for Office 365, Netwrix Data Clas­si­fi­ca­tion o Netwrix Data Access Go­ver­nan­ce offrono funzioni per il mo­ni­to­rag­gio e la sicurezza delle ap­pli­ca­zio­ni Office 365, per la clas­si­fi­ca­zio­ne e l’eti­chet­ta­tu­ra dei dati o per il mo­ni­to­rag­gio e la gestione dell’accesso ai dati al fine di ridurre al minimo i rischi per la sicurezza.

Secondo le di­chia­ra­zio­ni del pro­dut­to­re, in tutto il mondo più di 10.000 aziende usano questo efficace password manager. Il programma funziona su tutti i sistemi operativi Microsoft (a partire da Windows 7) e, in più, è di­spo­ni­bi­le anche come app per iOS, Windows Phone e Android. In tutti i pacchetti a pagamento è possibile uti­liz­za­re Password Safe come versione da in­stal­la­re oppure su chiavetta USB.

Password Safe si basa su un chiaro sistema di cartelle così da per­met­ter­ti di tenere sotto controllo tutti gli in­se­ri­men­ti nel database del password manager.

Che Password Safe sia un software destinato alle aziende si scorge so­prat­tut­to dalle numerose funzioni mul­tiu­ten­te di­spo­ni­bi­li in tutte le edizioni pro­fes­sio­na­li. Si tratta inoltre di un database di gruppo cen­tra­liz­za­to, sul quale puoi fa­cil­men­te impostare un controllo degli accessi basato sui ruoli. È anche possibile con­sen­ti­re l’utilizzo di una password solo a fronte di un valido motivo. La crit­to­gra­fia AES-256, PBKDF2 e RSA-4096 (per chiavi a lungo termine) ga­ran­ti­sco­no la sicurezza del database e delle password.

Puoi stabilire la con­nes­sio­ne con il database tramite in­se­ri­men­to di una password master oppure con l’aiuto di una chiave. A seconda del pacchetto puoi anche combinare tra loro i due metodi per aumentare ul­te­rior­men­te il grado di sicurezza. Altre funzioni ag­giun­ti­ve del password manager sono:

• Pronto all’uso con il cloud tramite crit­to­gra­fia end-to-end
• Firewall per il database in alcune versioni
• Dashboard re­go­la­bi­le
• Funzioni in­tel­li­gen­ti di ricerca e di filtro
• Tastiera virtuale per la pro­te­zio­ne da keylogger
• Backup in tempo reale au­to­ma­ti­ci

LastPass

Dal 2008 è di­spo­ni­bi­le lo strumento per la gestione di password LastPass, ora di proprietà della società sta­tu­ni­ten­se di software LogMeIn. Il software è pro­get­ta­to per me­mo­riz­za­re e gestire tutte le password di cui hai bisogno per le tue attività online quo­ti­dia­ne. A tal fine lo strumento può essere uti­liz­za­to sui browser standard come Google Chrome, Firefox, Safari, Opera e Microsoft Edge oppure integrato nelle barre dei menu degli stessi at­tra­ver­so un’esten­sio­ne.

Ci sono anche varianti per browser mobili e ap­pli­ca­zio­ni per Windows Phone, Android e iOS. L’utilizzo dell’ap­pli­ca­zio­ne web è gratuito; in cambio di un piccolo con­tri­bu­to mensile è possibile ac­qui­sta­re il pacchetto Premium per scopi privati e due pacchetti Business con fun­zio­na­li­tà ag­giun­ti­ve.

Il database delle password, chiamato da LastPass “cas­sa­for­te”, è ac­ces­si­bi­le in qualsiasi momento e su qualsiasi di­spo­si­ti­vo tramite il pulsante sulla barra del browser o tramite l’ap­pli­ca­zio­ne web. Le password sono protette da crit­to­gra­fia AES a 256 bit e 600.000 cicli di hashing PBKDF2-SHA-256 con salting.

La crit­to­gra­fia avviene sempre a livello di di­spo­si­ti­vo, in modo che la password master e le chiavi per la codifica o la de­co­di­fi­ca siano sempre me­mo­riz­za­te in locale e non vengano inviate ai server LastPass. È inoltre possibile scegliere tra una varietà di soluzioni di au­ten­ti­ca­zio­ne mul­ti­li­vel­lo, come un codice SMS o un com­po­nen­te hardware ag­giun­ti­vo. Il software si con­trad­di­stin­gue anche per le seguenti ca­rat­te­ri­sti­che:

• In­se­ri­men­to au­to­ma­ti­co delle password
• Supporto per l’accesso tramite impronte digitali
• Con­di­vi­sio­ne sicura delle password
• Database delle password che si sin­cro­niz­za au­to­ma­ti­ca­men­te con tutti i di­spo­si­ti­vi
• Ge­ne­ra­to­re di password integrato
• 1 GB di spazio di ar­chi­via­zio­ne crit­to­gra­fa­to (a partire dall’edizione Premium)

Nei pacchetti Business per le aziende, LastPass è uti­liz­za­bi­le anche da diversi utenti. Da un lato, ottieni ulteriori strumenti di am­mi­ni­stra­zio­ne cen­tra­liz­za­ta per la gestione degli accessi dei di­pen­den­ti; dall’altro, ogni di­pen­den­te riceve la propria password di sicurezza che gestisce au­to­no­ma­men­te. L’ab­bo­na­men­to En­ter­pri­se è destinato alle grandi aziende e include anche l’as­si­sten­za clienti. È inoltre possibile con­fi­gu­ra­re le proprie policy di sicurezza e accedere alle API del password manager.

1Password

Dopo che nel 2006 è stata creata AgileBits con l’in­ten­zio­ne di svi­lup­pa­re prodotti web in­no­va­ti­vi destinati alle aziende, i re­spon­sa­bi­li hanno presto ri­co­no­sciu­to che il loro strumento interno per la gestione di password e in­for­ma­zio­ni di contatto per programmi e siti web client era una soluzione ideale da con­di­vi­de­re anche al di fuori delle mura aziendali. Da allora milioni di utenti sod­di­sfat­ti hanno sfruttato il password manager dell’azienda, chiamato 1Password.

L’ap­pli­ca­zio­ne a pagamento è di­spo­ni­bi­le per i sistemi operativi macOS e Windows e quelli mobili Android e iOS. Grazie alle esten­sio­ni per browser per Google Chrome, Opera, Firefox e Safari puoi uti­liz­za­re 1Password anche su altre piat­ta­for­me.

1Password punta alla crit­to­gra­fia end-to-end (AES-256): tutte le in­for­ma­zio­ni di contatto e le password che importi nel programma, saranno co­di­fi­ca­te prima che lascino i tuoi di­spo­si­ti­vi. Le chiavi uti­liz­za­te nella procedura godono di una pro­te­zio­ne costante tramite la password master, raf­for­za­ta da una chiave di sicurezza a128 bit salvata in locale.

Ottieni questa chiave di accesso al server del provider au­to­ma­ti­ca­men­te dopo aver ef­fet­tua­to il login sul password manager. Anche se programmi malevoli dovessero riuscire ad accedere a questo server, che, come la stessa ap­pli­ca­zio­ne web, vengono ospitati su Amazon Web Services (AWS), tutti i tuoi dati rimangono cifrati. Oltre a ciò, 1Password riesce a con­vin­ce­re grazie alle seguenti fun­zio­na­li­tà:

• Accesso offline
• Sin­cro­niz­za­zio­ne au­to­ma­ti­ca con tutti i di­spo­si­ti­vi uti­liz­za­ti
• Analisi au­to­ma­ti­ca del grado di sicurezza di tutte le password
• In­te­gra­zio­ne facile dei login esistenti
• Tasti di scelta rapida per­so­na­liz­za­bi­li per il login au­to­ma­ti­co
• Rag­grup­pa­men­to di parole chiave (sistema di cartelle o di tag)

Lo strumento di gestione delle password offre un proprio ge­ne­ra­to­re con cui creare parole chiave sicure. A questo proposito è possibile con­fi­gu­ra­re le im­po­sta­zio­ni re­la­ti­va­men­te a lunghezza, pro­nun­cia­bi­li­tà, cifre e simboli de­si­de­ra­ti. Il ge­ne­ra­to­re può essere uti­liz­za­to per rea­liz­za­re nuove password per gli account già esistenti.

Per uti­liz­za­re 1Password hai a di­spo­si­zio­ne diverse licenze: gli utenti privati possono stare tran­quil­li con la versione di base (per una persona) oppure con il pacchetto famiglia (per cinque persone). Le agenzie e le aziende, invece, possono scegliere fra due piani business: uno per team piccoli fino a 10 membri e uno per PMI e grandi aziende, entrambi am­plia­bi­li con ulteriori funzioni come la console da am­mi­ni­stra­to­re, il controllo degli accessi avanzato oppure una gestione degli account personale.

Dashlane

Nel 2012 l’azienda sta­tu­ni­ten­se Dashlane ha pub­bli­ca­to il suo strumento omonimo e pro­prie­ta­rio di gestione delle password, che ancora oggi fa parte delle soluzioni di maggior successo presenti sul mercato. Dopo un periodo di prova puoi uti­liz­za­re il password manager nella sua versione a pagamento. Inoltre, sono di­spo­ni­bi­li ri­spet­ti­va­men­te due versioni per privati (“Premium” e “Friends and Family”) e per le aziende. Le versioni aziendali con­ten­go­no tutte le funzioni relative all’utilizzo comune come una console di controllo cen­tra­liz­za­ta e un’opzione per l’at­ti­va­zio­ne di password. In aggiunta alle versioni desktop per Windows e macOS e alle app per iOS e Android, esistono anche dei plugin per Chrome, Firefox, Safari, Opera ed Edge, che integrano Dashlane sui ri­spet­ti­vi browser.

L’in­ter­fac­cia utente di Dashlane è suddivisa in tre aree: alla voce “Password Manager” trovi le password inserite (cifrate con AES-256), anche se il software im­ple­men­ta au­to­ma­ti­ca­men­te i dati di accesso già indicati. Una pe­cu­lia­ri­tà è il Password Changer, il quale consente modifiche au­to­ma­ti­che a una password per tutti i siti web sup­por­ta­ti: in questo caso Dashlane accede in autonomia al progetto web de­si­de­ra­to e si fa carico dello scambio. Inoltre, a partire da questa sezione puoi aprire la dashboard di sicurezza per scrivere appunti personali e protetti da password.

Al punto “Wallet” (por­ta­fo­glio) puoi salvare le tue in­for­ma­zio­ni personali di contatto, ricevute di pagamento o fotocopie e scansioni (ad esempio di un documento di identità o della patente). Infine, l’area “Contacts” (contatti) contiene tutte le funzioni di cui hai bisogno per l’utilizzo condiviso del password manager. Tra le altre funzioni sono incluse:

• Il com­ple­ta­men­to au­to­ma­ti­co di formulari e login
• Avvisi di sicurezza in caso di password non sicure
• Ca­te­go­riz­za­zio­ne delle password
• Diverse in­ter­fac­ce per l’im­por­ta­zio­ne di password (da browser tra cui Chrome e Firefox, ma anche da strumenti come KeePass, LastPass e 1Password)
• Espor­ta­zio­ne dei dati (in formato Excel, CSV e nel formato pro­prie­ta­rio del programma, Dash)
• Cro­no­lo­gia delle password

Come molti altri gestori di password, Dashlane ha un ge­ne­ra­to­re integrato che crea password lunghe fino a 28 caratteri. È possibile scegliere se uti­liz­za­re lettere, numeri, simboli, maiuscole o minuscole.

Inoltre, tutti gli utenti dell’edizione a pagamento possono sin­cro­niz­za­re tutti i dati inseriti e le password su tutti i tipi di di­spo­si­ti­vi, in modo da avere le in­for­ma­zio­ni di­spo­ni­bi­li ovunque e in qualsiasi momento. Infine, Dashlane offre anche l’au­ten­ti­ca­zio­ne a due fattori: in questo caso la password master pre­de­fi­ni­ta è combinata con un token di sicurezza U2F, situato su un supporto di me­mo­riz­za­zio­ne esterno.

Il rischio residuo dei password manager

I password manager sono utili per generare o gestire password complesse e sicure. Tuttavia, il fatto che tutte le password siano gestite da un software rap­pre­sen­ta anche il grande svan­tag­gio di questi programmi. Infatti, se perdi o di­men­ti­chi la password master, tutte le ap­pli­ca­zio­ni saranno inac­ces­si­bi­li.

Inoltre, dipendi sempre dal database che hai creato: per quanto riguarda le in­stal­la­zio­ni locali, puoi usufruire dello strumento solo a partire dal tuo PC di casa. Se però opti per una soluzione mobile o cloud, aumenti il rischio per la sicurezza. Dopotutto nessuna soluzione ga­ran­ti­sce una pro­te­zio­ne al 100%.

Un’al­ter­na­ti­va sicura? Svi­lup­pa­re un proprio sistema di password

Se non vuoi dipendere da un database e da programmi, devi affidarti alla tua memoria. Un’opzione sensata è quindi un sistema di password, in cui si modifica una password master sicura secondo uno schema pre­de­fi­ni­to che cambia a seconda del portale web che si desidera uti­liz­za­re. Infine, basta ricorrere a semplici tecniche di me­mo­riz­za­zio­ne e sarai in grado di ricordare la password master.

Per saperne di più, consulta la nostra guida “Pro­te­zio­ne ottimale della password: come scegliere una password sicura”.