Gestore delle password e passkey: così gestisce il Suo accesso in modo sicuro
Ogni account necessita di una password lunga e unica. Se utilizza la stessa password in più luoghi, tutti questi account diventano vulnerabili non appena una password viene compromessa. Nessuno riesce a ricordare ottanta password diverse. Un gestore di password se ne occupa per Lei. Dove possibile, sostituisca la password con una passkey, che i siti falsi non possono sfruttare.
Cosa fa un gestore di password
- Crea per ogni servizio una password lunga e casuale: almeno 15 caratteri, oppure una passphrase di cinque o sei parole casuali.
- Conserva tutto in modo cifrato in una cassaforte.
- Inserisce la password sul sito web corretto, e solo lì.
- Spesso avvisa in caso di password duplicate o compromesse, e può anche conservare i codici per l'autenticazione a due fattori e le passkey.
Lei dovrà ricordare solo una password: la password principale della cassaforte.
Tipologie
| Tipologia | Vantaggio | Attenzione |
|---|---|---|
| Integrato nel browser o nel telefono | Già disponibile e semplice da usare | Spesso non prevede una password principale separata: chi accede al Suo computer, accede anche alle Sue password. Meno adatto per l'uso su più sistemi diversi e per la condivisione. |
| App separata con sincronizzazione tramite il fornitore | Funziona su tutti i Suoi dispositivi, con casseforti condivise per un team | Si basa sulla fiducia nel fornitore; la Sua password principale deve essere forte |
| File della cassaforte locale sul Suo computer | Tutto sotto il Suo controllo | Deve occuparsi personalmente del backup e della sincronizzazione; la condivisione è più complicata |
Esempi noti sono Bitwarden, 1Password, KeePassXC e Proton Pass, oltre ai gestori integrati nei browser e nei telefoni. Questo non costituisce un consiglio specifico. Nella scelta, verifichi se funziona su tutti i Suoi dispositivi, se può condividere le casseforti e revocare l'accesso a qualcuno, se può proteggere la cassaforte con l'autenticazione a due fattori, se è disponibile l'accesso di emergenza, e se può esportare i Suoi dati nel caso volesse cambiare fornitore.
La password principale
- Scelga una passphrase di cinque o sei parole casuali, generata dal generatore e non scelta da Lei stesso. Un testo di una canzone o un proverbio sono facili da indovinare.
- Non la utilizzi da nessun'altra parte e la digiti solo nell'app o nell'estensione del gestore stesso.
- Attivi l'autenticazione a due fattori sulla cassaforte. Questo non è un motivo per scegliere una password principale più corta: se il fornitore viene violato, la Sua password principale è l'unica protezione della Sua cassaforte rubata.
- Dimenticarla è spesso definitivo, perché il fornitore non può recuperarla. La scriva su carta, senza indicare a cosa si riferisce, e la conservi a casa in un luogo sicuro, insieme al codice di ripristino del Suo gestore.
- Attivi il blocco automatico dopo alcuni minuti di inattività.
rn e m. Consulti Riconoscere il phishing: come leggere un link e un mittente.Condivisione in un team e accesso di emergenza
- Preferibilmente, assegni a ciascuno un proprio account. Se deve comunque condividere un accesso, utilizzi una cassaforte condivisa per argomento e conceda l'accesso solo a chi ne ha bisogno. Non condivida mai le credenziali tramite e-mail, chat o un foglio di calcolo.
- Quando qualcuno lascia il team, lo rimuova dalla cassaforte e modifichi le password che poteva vedere.
- Predisponga un accesso di emergenza per il caso in cui Lei non fosse più disponibile: molti gestori consentono a una persona di fiducia di accedere dopo un periodo di attesa. In alternativa, conservi i dati di ripristino in una busta sigillata presso una seconda persona.
Passkey e chiavi di sicurezza
Una passkey sostituisce la password. Si tratta di una coppia di chiavi: la parte segreta rimane sul Suo dispositivo o nel Suo gestore di password, mentre il sito web conserva solo la parte pubblica. Sblocca la passkey con l'impronta digitale, il viso o il codice PIN; questo avviene sul Suo stesso dispositivo.
- Non funziona su un sito falso. Una passkey è associata al dominio reale, e questo viene verificato dal browser. Su un sito simile ma falso non esiste alcuna passkey, quindi non c'è nulla da inserire o approvare per errore.
- Niente da violare. Se il sito web subisce una violazione, l'aggressore ottiene solo le chiavi pubbliche.
- Una chiave di sicurezza è un piccolo dispositivo da collegare alla porta USB o da avvicinare al telefono, contenente passkey che non possono essere estratte. Registri sempre almeno due chiavi e conservi la chiave di riserva in un luogo diverso.
- Se la Sua passkey è memorizzata in un gestore di password o nell'account del Suo telefono, verrà sincronizzata anche sugli altri dispositivi. In tal caso, protegga quell'account in modo particolarmente accurato.
- Spesso la password continua comunque a funzionare. La mantenga quindi lunga e unica.
Presso WebOké
| Servizio | Cosa è possibile fare? |
|---|---|
| Nextcloud | È possibile accedere con una passkey o una chiave di sicurezza tramite Accesso senza password. La Sua password e gli altri metodi continuano a funzionare. Per le app crei una password per le app; la conservi anch'essa nel Suo gestore. Consulti Configurare un'app di autenticazione e conservare i codici di backup. |
| Mio WebOké | Nessuna passkey. Dopo la password, Mio WebOké richiede sempre un codice di accesso via e-mail (Il codice di accesso via e-mail), oppure un codice da un'app di autenticazione. Non sono previsti codici di ripristino: se perde l'app, ci contatti. |
| DirectAdmin | Autenticazione a due fattori con un'app di autenticazione e codici di backup, consulti Configurare l'autenticazione a due fattori. |
| Caselle di posta | Un programma di posta effettua l'accesso con la password. Assegni a ogni casella di posta una propria password lunga generata dal Suo gestore. |
Per saperne di più sulle password sicure, consulti Password sicure e cosa fare in caso di password compromessa, e presso l'NCSC in Come scelgo un gestore di password? e Come scegliere un metodo MFA?