«Sostituisci le a con @ e aggiungi un punto esclamativo»: quel vecchio consiglio non regge più agli strumenti di attacco di oggi. La robustezza di una password si può misurare e calcolare, e dipende meno dai trucchi di scrittura che da quanto è casuale e unica. Questa guida dà gli ordini di grandezza, le buone abitudini e i limiti di ogni verifica.
Misurare in bit di entropia
L'entropia, espressa in bit, misura la quantità di incertezza: ogni bit in più raddoppia il numero di tentativi necessari per trovare la password. Per una password davvero casuale equivale a lunghezza × log₂(dimensione dell'alfabeto).
| Password | Calcolo | Entropia | A 10¹² tentativi al secondo* |
|---|---|---|---|
| 8 lettere minuscole | 8 × log₂(26) | ≈ 37,6 bit | ≈ 0,2 secondi |
| 12 caratteri su 94 | 12 × log₂(94) | ≈ 78,7 bit | ≈ 15.000 anni |
| 16 caratteri su 94 | 16 × log₂(94) | ≈ 104,9 bit | Fuori portata |
| Frase di 6 parole (elenco di 1.000 parole) | 6 × log₂(1.000) | ≈ 59,8 bit | ≈ 12 giorni |
| Frase di 8 parole (elenco di 1.000 parole) | 8 × log₂(1.000) | ≈ 79,7 bit | ≈ 32.000 anni |
*Ipotesi estrema e teorica: un attaccante che dispone di un database di impronte veloci (vedi Hash MD5, SHA-256 e bcrypt: verificare un file, conservare una password) e di hardware potentissimo. In media un tentativo riesce dopo metà dello spazio. Le durate sono ordini di grandezza; illustrano soprattutto l'enorme divario tra 38 e 80 bit.
Generare una password con Generatore di password
- Scegli la lunghezza (da 8 a 128 caratteri) e gli insiemi di caratteri che vuoi: minuscole, maiuscole, cifre, simboli.
- Lo strumento estrae ogni carattere con il generatore casuale sicuro del tuo browser, scartando i valori che falserebbero la distribuzione: ogni carattere ha esattamente la stessa probabilità di uscire. È garantito almeno un carattere per ogni insieme spuntato.
- «Escludi caratteri simili» rimuove I, l, 1, O e 0, facili da confondere leggendo o dettando.
- Leggi l'entropia mostrata e punta ad almeno 80 bit per un account importante.
- Copia il risultato nel tuo gestore di password: nulla viene inviato o salvato, e sparisce quando lasci la pagina.
Una frase segreta (parole estratte a caso da un elenco di oltre 1.000 parole) è molto più facile da ricordare di una sequenza di simboli. Attenzione alla lunghezza: 6 parole danno solo 59,8 bit, sufficienti per un account su un sito che limita i tentativi, ma fragili contro un attacco veloce offline; conta su 8 parole (79,7 bit) per la password del tuo gestore o del tuo computer, che devi digitare a mano.
Regole pratiche
- Una password unica per account. Un'ottima password riutilizzata su dieci siti è esposta alla prima fuga di dati.
- Usa un gestore di password per ricordare un solo segreto robusto (una frase segreta) e lascia che il gestore produca il resto.
- Attiva l'autenticazione a due fattori ovunque possibile, meglio con un'app o una chiave fisica che via SMS.
- Non condividere mai una password per e-mail o messaggistica; cambiala se è stata esposta.
- Non imporre cambi periodici senza motivo: cambiare ogni trimestre spinge a scegliere password più deboli. Cambia in caso di violazione o dubbio.
Errori frequenti
- Fidarsi di un aspetto complicato («P@ssw0rd!»): gli attaccanti provano per prime queste sostituzioni.
- Usare una data di nascita, un nome di battesimo, il nome di un animale o di una squadra.
- Variare la stessa password da un sito all'altro aggiungendo il nome del sito.
- Scegliere una password corta perché «il sito non è importante»: spesso è la porta verso la tua casella di posta.
- Dimenticare il codice di recupero del gestore di password.
Limiti sinceri
- Le durate di violazione dipendono da ipotesi sull'hardware dell'attaccante e su come il sito conserva le password: sono ordini di grandezza.
- Un'ottima password non protegge dal phishing né dallo spyware.
- La verifica delle violazioni richiede una connessione a internet e può essere limitata in frequenza dal servizio; lo strumento indica allora quanto attendere.
Domande frequenti
Che lunghezza scegliere?
Almeno 12 caratteri casuali, 16 per un account importante. Con una frase segreta estratta da un elenco di 1.000 parole, punta a 8 parole scelte a caso.
Le password generate vengono salvate?
No. Sono create nel tuo browser e spariscono quando lasci la pagina: copiale nel tuo gestore.
La mia password viene inviata per verificare una violazione?
No. Vengono trasmessi solo i primi cinque caratteri dell'impronta SHA-1; il confronto finale avviene sul tuo dispositivo.
Una frase segreta è più sicura di una password?
Per memorizzare sì, a pari entropia. Quanto alla robustezza, tutto dipende dal numero di parole e dalla loro casualità: una citazione famosa è debole.
Devo cambiare le password regolarmente?
Non senza motivo. Cambiale in caso di violazione, sospetto o condivisione accidentale, e mantienile uniche.