Pro­te­zio­ne ottimale della password: come scegliere una password sicura

Che sia un account di posta elet­tro­ni­ca, Dropbox o l’online banking, quasi dap­per­tut­to è ne­ces­sa­ria una password per ef­fet­tua­re il login e poter uti­liz­za­re i servizi online. Al momento di scegliere una password, molte persone ricorrono a com­bi­na­zio­ni classiche di nomi, date o luoghi di nascita facili da ricordare. A volte basta un piccolo errore per decifrare una password in pochi secondi. Crearne una veramente sicura è più com­pli­ca­to di quanto si pensi.

Creare una password sicura

Perché è im­por­tan­te scegliere una password sicura?

Nella maggior parte dei servizi online la password è l’unico mec­ca­ni­smo di pro­te­zio­ne per in­for­ma­zio­ni sensibili. Se durante la sua scelta si ricorre per comodità a com­bi­na­zio­ni troppo semplici, per i criminali diventa facile criptare la password e riuscire ad accedere per esempio a dati di pagamento o in­for­ma­zio­ni personali. Già un semplice attacco a di­zio­na­rio, a volte, basta per criptare molte delle password in uso.

Quali sono le ca­rat­te­ri­sti­che di una password sicura?

Con questo tipo di attacchi ci­ber­ne­ti­ci si provano su un programma numerose password, le quali si basano su stringhe di caratteri che danno come risultato parole sensate: viene quindi passato in rassegna una sorta di di­zio­na­rio. Una password efficace dovrebbe pertanto essere composta da almeno 8 caratteri al­fa­nu­me­ri­ci casuali e caratteri speciali. Un’im­por­tan­te password prin­ci­pa­le, per esempio una password di sicurezza, dovrebbe contenere almeno 12 caratteri.

Errori comuni nella scelta della password

Per scon­giu­ra­re che una password venga decifrata fa­cil­men­te, sono da evitare i seguenti errori:

Password troppo semplici

“123456”, “abcdefg” o “Password” sono le password più comuni in tutto il mondo e, di con­se­guen­za, anche quelle di gran lunga meno sicure. Un semplice attacco a di­zio­na­rio è in grado di leggere queste com­bi­na­zio­ni in pochi secondi. Vengono inoltre estra­po­la­te liste di numeri, quindi anche le date di nascita non sono sicure.

Password troppo brevi

Una password breve ha un unico vantaggio: è facile da ricordare, ma un espe­dien­te mnemonico può costare caro alla sicurezza. Una password sicura deve contenere almeno 8 caratteri, in quanto password troppo brevi possono essere fa­cil­men­te de­co­di­fi­ca­te in pochi secondi da un attacco di forza bruta (tentativo di possibili com­bi­na­zio­ni di caratteri). Inoltre, la password, oltre alle lettere minuscole, dovrebbe contenere maiuscole, numeri e caratteri speciali.

Uti­liz­za­re la stessa password per servizi diversi

Alcune pagine sono purtroppo molto facili da violare. Le in­for­ma­zio­ni me­mo­riz­za­te su questi siti non do­vreb­be­ro contenere dati sensibili; tuttavia, si utilizza la stessa password sia per questi portali a rischio sia per il proprio account di online banking o per l’accesso ad Amazon ed è così che i cy­ber­cri­mi­na­li entrano in possesso di dati im­por­tan­ti.

Per ve­ri­fi­ca­re quanto una password sia ef­fet­ti­va­men­te sicura, sono d’aiuto pratici strumenti come How Secure is My Password?.

Uti­liz­za­re ge­ne­ra­to­ri di password

Scegliere una password efficace non è facile, anche quando si evitano gli errori di cui si è parlato sopra e si sceglie una com­bi­na­zio­ne di caratteri suf­fi­cien­te­men­te lunga. Non appena si trova una com­bi­na­zio­ne ri­co­strui­bi­le in modo personale e fa­cil­men­te me­mo­riz­za­bi­le, la password diventa intuibile, almeno per i so­fi­sti­ca­ti programmi usati dagli hacker. È im­por­tan­te, perciò, uti­liz­za­re un ge­ne­ra­to­re di password. Questi strumenti esistono anche come app, come l’app open source Password Generator per Android o ge­ne­ra­to­re di password per iOS e iPhone, che si basa su un mec­ca­ni­smo di crit­to­gra­fia a 256 bit. In pochi clic è possibile creare una password sicura e senza costi ag­giun­ti­vi. Questi ge­ne­ra­to­ri di password si trovano anche come software gratuiti per il PC. Ad esempio, sono di­spo­ni­bi­li pagine online, come il ge­ne­ra­to­re di password casuali di Avast, che per­met­to­no di creare password sicure della lunghezza de­si­de­ra­ta.

Uti­liz­za­re un proprio sistema di password

Puoi uti­liz­za­re anche le seguenti strategie per trovare una password sicura e variabile per tutti gli accessi: alterna una password prin­ci­pa­le/master password quasi “in­de­ci­fra­bi­le” uti­liz­zan­do una com­bi­na­zio­ne di caratteri definita per i diversi portali web. Una pos­si­bi­li­tà consiste nel combinare la master password con il nome del servizio uti­liz­za­to, per esempio PayPal o Ebay.

Esempio di una strategia per la scelta di password

Na­tu­ral­men­te nella strategia proposta qui sopra non si crea una password del tipo “master password+Ebay”. Si prende, invece, per esempio la vocale o sempre la seconda o terza lettera del nome del servizio e la si colloca in posti precisi della master password, per esempio sempre in seconda, terza o ultima posizione.

Esempio: la master password è G5w.&$;(9b.B e si vorrebbe creare la password per Ebay. Si sceglie la prima o la terza lettera del servizio, cioè nel caso di Ebay la “e” e la “a”, si colloca la lettera all’ultimo o terz’ultimo posto della master password e si aggiunge all’inizio il numero di lettere di cui è composto il nome. Così si ottiene la password 4G5w.&$;(9bE.Ba. Se si procede secondo lo stesso principio per il servizio PayPal, la password diventa 6G5w.&$;(9bP.By.

Master password solo per siti af­fi­da­bi­li

Anche se si utilizza un sistema in­tel­li­gen­te un minimo di rischio c’è sempre. Non è mai da escludere che qualcuno scopra lo schema uti­liz­za­to e che da un account ne deduca la password dell’altro. È quindi im­por­tan­te che le com­bi­na­zio­ni con la master password vengano applicate solo a pagine af­fi­da­bi­li al cento per cento. Per pagine meno im­por­tan­ti e forse anche meno sicure si consiglia di uti­liz­za­re un’altra password. Per forum e community, che sono meno sicuri, rimane l’opzione di ricorrere alle password monouso che si uti­liz­za­no solo una volta e in nessun’altra va­ria­zio­ne.

Ricordare le password

Ricordare una password generale con più di 12 caratteri non è per niente facile. Un trucco più semplice è quello di usare la com­bi­na­zio­ne come password utente per il PC. In seguito, si imposta un timeout del blocco schermo dopo un in­ter­val­lo molto breve, ad esempio due minuti. In questo modo, dopo ogni piccola pausa al computer, sarà ne­ces­sa­rio inserire nuo­va­men­te la password, il che può essere seccante, ma porta con sé anche il vantaggio di far rimanere impressa la password nella mente.

Me­mo­riz­za­re la password: i migliori strumenti

Un’ultima regola d’oro per la sicurezza della password: mai con­ser­va­re la password sul PC in forma non criptata (in modo leggibile), per esempio an­no­tan­do­la su un file Excel. Potrebbe infatti essere spiata fa­cil­men­te da altri utenti o da un trojan. È meglio gestire password sensibili con l’aiuto di un password manager, come Password Safe o LastPass.

Cosa puoi fare se la tua password è stata violata?

Se sospetti o ti accorgi che un account o un sito web è stato violato, devi agire ra­pi­da­men­te ma man­te­nen­do la calma. Hai due opzioni: ri­pren­de­re il controllo del servizio au­to­no­ma­men­te o chiedere aiuto al provider. Per scoprirne di più, consulta le nostre guide “E-mail hackerata: come com­por­tar­si se succede” e “Sito web colpito da un attacco hacker? In­di­ca­to­ri e possibili soluzioni”.