C’è una categoria di password che sembra immortale.
Mario1968!
Oppure:
Juventus123
Casa2026!
Alessandro01
Password1!
Sulla carta alcune sembrano anche “complesse”.
Hanno una maiuscola.
Un numero.
Magari pure un punto esclamativo.
Il problema è che spesso sono costruite con informazioni facilmente intuibili e, soprattutto, vengono riutilizzate ovunque.
Ed è qui che iniziano i guai.
La password da boomer non è una questione di età
Chiamiamola “password da boomer” per ridere, ma il problema non riguarda i cinquantenni.
Può farlo anche un ventenne.
Il comportamento tipico è questo:
- una sola password per quasi tutto;
- nome + anno di nascita;
- nome del cane;
- squadra del cuore;
- numero alla fine perché “il sito lo richiede”;
- punto esclamativo perché “serve un simbolo”.
Il risultato può sembrare complesso a una persona.
Per un attaccante è spesso estremamente prevedibile.
Il problema più grave non è che la password sia corta
Immaginiamo di usare:
LeoneRosso!1969
Potrebbe sembrare una buona password.
Ma se la utilizziamo contemporaneamente su:
- email;
- Facebook;
- Amazon;
- Booking;
- sito della palestra;
- vecchio forum;
abbiamo creato un unico punto di fallimento.
Non serve che qualcuno “buchi Gmail”.
Basta che uno dei servizi meno protetti subisca una violazione.
Se email e password finiscono in un database rubato, gli attaccanti possono provare automaticamente la stessa coppia di credenziali su altri servizi.
Questo attacco viene chiamato credential stuffing.
La password può anche essere abbastanza buona.
Il riutilizzo la rende pericolosa.
“Ma chi vuoi che venga a cercare proprio me?”
Questa è una delle obiezioni più comuni.
La risposta è: spesso nessuno sta cercando proprio te.
Molti attacchi sono automatizzati.
Un sistema può prendere migliaia o milioni di credenziali provenienti da vecchi data breach e provarle su altri servizi.
Non c’è necessariamente una persona davanti a un computer che pensa:
“Oggi voglio rubare l’account di Franco.”
C’è uno script che prova:
email + password
su migliaia di account.
Quando trova una combinazione che funziona, quello diventa il problema.
Nome, data di nascita e cane non sono segreti
Un’altra grande tradizione:
Luna1974!
Luna è il cane.
1974 è l’anno di nascita.
E magari entrambe le informazioni sono pubbliche su Facebook.
Le password non dovrebbero essere costruite con informazioni che una persona potrebbe ricavare facilmente da:
- profili social;
- foto;
- anniversari;
- nomi dei figli;
- nomi degli animali;
- squadre sportive;
- luoghi di nascita.
Una password non deve raccontare qualcosa di noi.
Il punto esclamativo non salva una password prevedibile
Molti siti hanno abituato gli utenti a pensare che una password diventi sicura semplicemente aggiungendo:
- una maiuscola;
- un numero;
- un simbolo.
Quindi:
password
diventa:
Password1!
Formalmente rispetta molte vecchie regole di complessità.
Praticamente rimane una password pessima.
Una password lunga e casuale è molto più interessante di una parola prevedibile modificata secondo uno schema che conoscono tutti.
Non devi ricordare venti password
Qui nasce il problema vero.
Se diciamo a una persona:
“Devi avere una password diversa, lunga e casuale per ogni sito.”
la risposta più sensata è:
“E come faccio a ricordarmele?”
Infatti non dovresti.
Questo è esattamente il motivo per cui esistono i password manager.
Un password manager genera e conserva password differenti per ogni account.
Invece di ricordare:
30 password
devi proteggere bene principalmente:
la password principale del password manager.
Una buona password principale può essere una passphrase
Per qualcosa che dobbiamo realmente ricordare può essere più utile una frase lunga che una sequenza apparentemente casuale ma corta.
Per esempio, il concetto potrebbe essere:
quattro o cinque parole non collegate tra loro
scelte in modo non prevedibile.
Non:
MiChiamoMarioESonoDel1968!
Perché contiene informazioni personali prevedibili.
La lunghezza aiuta molto, ma la frase deve comunque essere difficile da indovinare.
Non cambiare la password ogni mese solo per sport
Per anni molte aziende hanno imposto il cambio password ogni 30, 60 o 90 giorni.
Il risultato tipico?
Casa2025!
diventa:
Casa2026!
oppure:
Casa2026!!
Non abbiamo ottenuto una password realmente nuova.
Abbiamo soltanto modificato un dettaglio prevedibile.
Le linee guida moderne del NIST sconsigliano di obbligare gli utenti a cambiare periodicamente la password senza un motivo concreto.
Ha invece senso cambiarla quando:
- la password è stata compromessa;
- il servizio ha subito una violazione;
- l’abbiamo riutilizzata altrove;
- l’abbiamo condivisa;
- abbiamo motivo di credere che qualcuno la conosca.
La password da sola non basta più
Anche una password ottima può essere rubata.
Per esempio attraverso:
- phishing;
- malware;
- data breach;
- siti falsi;
- computer compromessi.
Per questo sugli account importanti dovrebbe essere attivata almeno una seconda forma di autenticazione.
È la famosa autenticazione a due fattori, o 2FA.
SMS, app, passkey: non sono tutte la stessa cosa
Dire “ho il 2FA” non racconta tutta la storia.
Esistono sistemi differenti.
Un codice ricevuto via SMS è generalmente meglio di avere soltanto una password.
Ma esistono forme più resistenti agli attacchi di phishing.
Le agenzie di sicurezza raccomandano sempre più spesso autenticazione basata su standard FIDO, come passkey e token di sicurezza, proprio perché progettata per resistere al phishing.
In ordine molto semplificato possiamo pensare a:
- solo password;
- password + SMS;
- password + app di autenticazione;
- passkey o chiave di sicurezza FIDO.
Qualunque forma di MFA rappresenta già un enorme miglioramento rispetto alla sola password.
Ma non tutte offrono lo stesso livello di protezione.
Cos’è una passkey, spiegata senza parlare come un manuale
La passkey elimina in molti casi la necessità di digitare una password tradizionale.
Possiamo accedere utilizzando:
- impronta digitale;
- riconoscimento del volto;
- PIN del dispositivo;
ma dietro non viene semplicemente inviato quel PIN al sito.
Il sistema utilizza crittografia a chiave pubblica.
Una parte della credenziale rimane sul nostro dispositivo, mentre il servizio conserva la parte pubblica necessaria per verificarla.
Questo rende le passkey particolarmente interessanti contro il phishing.
Se veniamo portati su un sito falso, non possiamo semplicemente “consegnare” la passkey come faremmo digitando una password.
Il volto non viene mandato a Google ogni volta che accediamo
Altro equivoco abbastanza comune.
Quando usiamo l’impronta o il riconoscimento del volto per sbloccare una passkey, il dato biometrico serve al dispositivo per verificare che siamo noi.
Google, per esempio, specifica che i dati biometrici utilizzati per sbloccare una passkey rimangono sul dispositivo e non vengono condivisi con Google.
Il sistema remoto riceve la prova crittografica necessaria all’autenticazione.
Non una fotografia del nostro dito.
La prima cosa da blindare è l’email
Se dobbiamo scegliere un singolo account da proteggere bene, spesso è l’email.
Perché?
Perché quasi tutti gli altri servizi utilizzano l’email per:
“Password dimenticata?”
Se qualcuno controlla la nostra casella di posta può tentare di reimpostare password di:
- social;
- e-commerce;
- servizi cloud;
- account professionali;
- molti altri servizi.
Quindi:
email con password unica + MFA/passkey.
Prima ancora di preoccuparsi dell’account del forum di cucina del 2011.
E subito dopo viene il password manager
Se il password manager contiene tutte le nostre credenziali, anche quello deve essere protetto molto bene.
Servono:
- password principale forte e unica;
- MFA;
- dispositivi aggiornati;
- metodo di recupero configurato correttamente.
La password principale non dovrebbe essere salvata dentro lo stesso password manager come unica copia disponibile.
I codici di recupero vanno salvati prima di averne bisogno
Quando attiviamo il 2FA molti servizi forniscono dei codici di recupero.
La maggior parte delle persone fa:
“Sì sì, dopo li salvo.”
Poi perde il telefono.
E comincia il panico.
I codici di recupero servono proprio per poter entrare nell’account quando il secondo fattore principale non è disponibile.
Vanno conservati in un posto sicuro.
Non nello screenshot chiamato:
CODICI-GMAIL-NON-CANCELLARE.jpg
lasciato nella galleria del telefono.
Le domande di sicurezza sono spesso password peggiori
“Come si chiamava il tuo primo animale?”
“Qual è il cognome da nubile di tua madre?”
“In quale città sei nato?”
Molte di queste risposte possono essere:
- pubbliche;
- intuibili;
- recuperabili dai social;
- conosciute da amici e familiari.
Se un servizio permette ancora di utilizzare domande di sicurezza, non è obbligatorio rispondere letteralmente.
Quelle risposte devono essere trattate come credenziali.
“Ti è scaduta la password, clicca qui”
Una password forte non serve a molto se la consegniamo volontariamente a un sito falso.
Il phishing funziona proprio così.
Riceviamo:
“Il tuo account Microsoft verrà sospeso entro 30 minuti.”
Clic.
Pagina praticamente identica a quella vera.
Inseriamo email.
Password.
Magari anche il codice 2FA.
Fine.
Per gli account importanti conviene evitare di entrare attraverso link ricevuti via mail o SMS quando c’è qualcosa di sospetto.
Meglio aprire direttamente l’app o digitare l’indirizzo del servizio.
Il codice OTP non è una password usa e getta da regalare
Se arriva una telefonata:
“Sono dell’assistenza, le è appena arrivato un codice. Me lo può leggere?”
quel codice spesso serve proprio per impedire a quella persona di entrare.
Nessun operatore legittimo dovrebbe aver bisogno che gli comunichiamo un codice utilizzato per autorizzare il nostro accesso.
Se qualcuno lo chiede, la conversazione dovrebbe fermarsi lì.
Una configurazione semplice per una persona normale
Non serve diventare esperti di cybersecurity.
Per una persona comune, una configurazione già molto buona può essere questa:
- installare un password manager affidabile;
- creare una password principale lunga e unica;
- generare password casuali differenti per ogni servizio;
- attivare MFA sugli account importanti;
- usare passkey quando disponibili;
- salvare correttamente i codici di recupero;
- proteggere soprattutto email e password manager;
- non comunicare mai OTP o codici di verifica;
- controllare periodicamente dispositivi collegati e sessioni aperte;
- cambiare immediatamente le credenziali se viene scoperta una compromissione.
Non richiede una laurea in informatica.
Richiede soprattutto di smettere di considerare la password come una frase da inventare ogni volta davanti alla schermata di registrazione.
La password perfetta è quella che non conosci
Suona strano, ma per la maggior parte degli account è proprio così.
Se il password manager genera una credenziale lunga, casuale e unica, non abbiamo bisogno di conoscerla.
Non dobbiamo ricordarla.
Non dobbiamo modificarla per renderla “più nostra”.
Non dobbiamo riutilizzarla.
La conserviamo nel gestore e lasciamo che sia lui a inserirla quando serve.
Il futuro probabilmente avrà sempre meno password
Passkey e autenticazione crittografica stanno cercando di eliminare proprio il punto più debole del sistema:
una persona che deve inventare, ricordare e digitare un segreto.
Google descrive le passkey come un’alternativa più resistente al phishing rispetto alle password tradizionali, perché non possono essere semplicemente copiate o comunicate a un attaccante nello stesso modo di una password.
Non significa che ogni problema di sicurezza sia risolto.
Ma significa che stiamo finalmente cercando di togliere all’utente una delle cose che gli esseri umani fanno peggio:
inventare password.
La checklist per smettere di usare password da boomer
- la stessa password su due siti? Cambiala;
- nome, cane o anno di nascita dentro la password? Cambiala;
- email senza MFA? Attivalo;
- passkey disponibile? Valuta di usarla;
- password scritte in un file Word chiamato PASSWORD? Password manager;
- codice OTP richiesto al telefono? Non comunicarlo;
- link strano ricevuto via SMS? Non autenticarti da lì;
- password cambiata ogni tre mesi solo aggiungendo un numero? Non è una strategia;
- codici di recupero mai salvati? Fallo prima di perdere il telefono.
La sicurezza migliore è quasi sempre noiosa
Il cybercriminale con il cappuccio davanti a dodici monitor è una bella immagine.
Ma una parte enorme della sicurezza personale si gioca su cose molto più banali.
Una password riutilizzata.
Un link cliccato troppo velocemente.
Un OTP comunicato al telefono.
Un account email senza secondo fattore.
Un codice di recupero mai salvato.
La buona notizia è che proprio per questo possiamo sistemare moltissime cose in meno di un’ora.
E forse possiamo finalmente mandare in pensione:
Mario1968!
Al-essi.it, partner creativo per idee audaci, che unisce strategia, design, codice e narrazione visiva.