Trasferire le password in un gestore di password
Modulo 7: Collaborazione, app e sicurezza · Tempo di lettura: 10 minuti
Obiettivo della lezione: Dopo questa lezione sarà in grado di trasferire in sicurezza le password dal Suo browser, da foglietti e fogli di calcolo a un gestore di password adatto alla Sua nuova configurazione, incluse le casseforti condivise per il team.
Concetti chiave: gestore di password, cassaforte, password principale, chiave di ripristino, password nel browser (Google, Edge, Apple), esportazione come csv, cassaforte o collezione condivisa, auto-hosting, open source, cifratura sul proprio dispositivo (zero-knowledge), conservazione delle passkey
L'elemento dimenticato
In quasi ogni inventario mancano le password. Non si trovano in un servizio cloud che Lei sta disdicendo, quindi nessuno ci pensa. Eppure spesso sono proprio al centro di tutto. Presso Bakkerij De Korrel, dopo un giro di controllo, emerge quanto segue:
- la maggior parte delle password si trova in Chrome, salvata nell'account Google della persona;
- le password della banca, del grossista e del negozio online si trovano in un foglio di calcolo
wachtwoorden.xlsxsu Google Drive; - la password del wifi e il codice dell'allarme sono appuntati su un foglietto;
- due colleghi usano ovunque la stessa password.
Se l'account Google scompare, scompaiono con esso anche le password in Chrome. E un foglio di calcolo con password nel cloud è una delle prime cose che un intruso cerca. Un passaggio è quindi il momento giusto per risolvere questo problema.
Cosa fa un gestore di password
Un gestore di password è una cassaforte cifrata per le password, con un'app su telefono e computer e un'estensione nel browser. Lei memorizza una sola password principale forte; il gestore crea per ogni sito una password lunga e univoca e la inserisce automaticamente.
È importante sapere dove avviene la cifratura. Nei gestori più noti la cassaforte viene cifrata sul Suo stesso dispositivo con una chiave derivata dalla Sua password principale. Il fornitore conserva solo la cassaforte cifrata e non può leggere le Sue password. Questo viene spesso chiamato "zero-knowledge". La conseguenza: se dimentica la password principale e non ha una chiave di ripristino, nemmeno il fornitore può aiutarLa.
Un buon gestore inserisce le credenziali solo sull'indirizzo reale. Un sito falso della Sua banca non riceverà quindi nulla, anche se è identico all'originale. Si tratta di una protezione aggiuntiva contro il phishing.
Quali tipi esistono?
| Tipo | Esempi | Dietro al software | Attenzione a |
|---|---|---|---|
| File locale, non un servizio | KeePassXC (e altri programmi KeePass) | Progetto open source della comunità | Conserva e sincronizza Lei stesso il file della cassaforte, ad esempio nel Suo nuovo cloud. Condividerlo in un team è più complicato |
| Servizio, open source, anche auto-ospitabile | Bitwarden | Bitwarden Inc., un'azienda statunitense. Offre anche una localizzazione dati nell'UE; il server può anche essere gestito in proprio | Con il servizio cloud il fornitore rimane statunitense, anche con archiviazione nell'UE (lezione 2.1). L'auto-hosting elimina questo aspetto |
| Servizio, open source, orientato ai team | Passbolt | Passbolt SA, Lussemburgo | Forte nella condivisione per gruppo; auto-ospitabile o come servizio |
| Servizio di un fornitore europeo attento alla privacy | Proton Pass | Proton AG, Svizzera (non UE, ma con decisione di adeguatezza) | Adatto se già si usano altri servizi Proton |
| Integrato nel browser o nel sistema operativo | Gestore password di Google, Edge, Password di Apple | Google, Microsoft, Apple (USA) | Pratico, ma legato a quell'account e a quell'ecosistema |
Non si tratta di una classifica. Per una ditta individuale, KeePassXC con il file della cassaforte nel proprio cloud può andare benissimo. Per un team di dodici persone, un gestore con casseforti condivise è più pratico. Usi anche qui le cinque domande della lezione 2.1 (sede, proprietario, data center, subresponsabili, chiave). Per un gestore di password l'ultima domanda pesa di più: chi ha la chiave? Se è solo Lei, conta meno dove si trovi la cassaforte cifrata rispetto ai file ordinari.
Trasferimento: esportazione, importazione ed eliminazione immediata
Quasi ogni browser e gestore può esportare le password come file csv. Si tratta di un normale file di testo con su ogni riga un sito, un nome utente e una password, non cifrati. Chiunque apra il file può leggere tutto. Perciò:
- Lo faccia su un computer di cui si fida, non su un computer condiviso del negozio.
- Esporti sul Suo computer, non in una cartella sincronizzata o nel cloud. Altrimenti il file non cifrato finisce nel giro di pochi secondi sul server, nelle versioni e nel cestino.
- Lo importi subito nel nuovo gestore.
- Controlli a campione se è corretto (accedendo a qualche sito).
- Elimini subito il file csv, e svuoti anche il cestino del computer.
- Disattivi poi il salvataggio delle password nel browser, così da non creare una seconda copia, ormai superata.
Il foglio di calcolo con le password lo trasferisce inserendo i dati a mano nel gestore (oppure importandoli come csv, con le stesse regole). Elimini poi il foglio di calcolo, anche dal cestino e dalla cronologia delle versioni del vecchio cloud. Modifichi le password principali che vi erano contenute, perché non sa chi abbia visto il file nel corso degli anni.
Faccia attenzione anche alle passkey (lezione 7.3). Una passkey salvata nel Suo account Google o Apple non sempre può essere esportata. Per i siti importanti, crei una nuova passkey nel nuovo gestore o si assicuri di conoscere la password e il secondo fattore, prima di chiudere il vecchio account.
Condivisione in un team
Alcune password appartengono all'organizzazione, non a una persona: la banca, il grossista, gli account dei social media, il wifi. Usi per queste una cassaforte condivisa o collezione nel gestore:
- Crei una cassaforte per gruppo: "Negozio", "Amministrazione", "Gestione". Non tutti devono vedere tutto.
- Non condivida mai una password via chat o email. Nemmeno "giusto per fare in fretta".
- Se qualcuno lascia l'organizzazione, lo rimuova dalle casseforti condivise e modifichi le password a cui aveva accesso e che potrebbe aver memorizzato o copiato.
La password principale e il giorno in cui le cose vanno male
La password principale è l'unica chiave. Scelga una frase lunga di quattro o sei parole casuali, che non usa da nessun'altra parte. Attivi l'autenticazione a due fattori (2FA) anche sul gestore stesso.
Organizzi il ripristino in anticipo:
- Conservi la chiave di ripristino o l'accesso di emergenza offerto dal Suo gestore su carta, in un luogo sicuro.
- Concordi per l'organizzazione chi riceverà l'accesso in caso di decesso o malattia prolungata del titolare. Molti gestori hanno una funzione apposita per l'accesso di emergenza.
- Anche i codici di backup dei Suoi account principali appartengono qui, oppure su carta (lezione 7.3). Non in una cassaforte a cui si accede solo con quegli stessi account.
Nella pratica: ecco come si presenta presso un fornitore
In un Nextcloud di WebOké non è presente un gestore di password separato; Lei usa un gestore di password a Sua scelta. Se usa KeePassXC, può mettere il file della cassaforte cifrato nel Suo Nextcloud, così da averlo tramite l'app desktop su tutti i Suoi computer e poterlo recuperare tramite le versioni. Il file è quindi cifrato con la Sua password principale prima di raggiungere il server. Anche la guida sulla sicurezza del Nextcloud di WebOké consiglia un gestore di password e lo indica come un buon posto per i Suoi codici di backup.
Presso altri servizi cloud europei funziona in modo analogo: il gestore di password è di solito un servizio o un'app separata rispetto al Suo cloud.
Riepilogo
- Le password nel browser del Suo vecchio account scompaiono insieme a esso quando chiude l'account. Le trasferisca in anticipo.
- Un gestore di password cifra sul Suo stesso dispositivo; la password principale è l'unica chiave.
- Un'esportazione csv non è cifrata: mai in una cartella sincronizzata, importare subito, eliminare subito.
- Usi casseforti condivise per gruppo per le password dell'organizzazione e le modifichi quando qualcuno se ne va.
- Organizzi in anticipo il ripristino e l'accesso di emergenza, su carta.
Quiz
Esercizio
Esercizio E7.4: Mappatura delle password e piano di migrazione. Scopra dove si trovano ora le password nella Sua organizzazione (browser per persona, fogli di calcolo, foglietti, account condivisi), scelga un gestore di password usando le cinque domande della lezione 2.1, e scriva il piano di trasferimento: chi esporta cosa, su quale computer, quando il file csv viene eliminato, e quali casseforti condivise verranno create.
Esercizio E7.4: Mappatura delle password e piano di migrazione
Cerchi tutti i luoghi in cui sono conservate le password e le trasferisca in modo sicuro in un unico gestore di password. Non incolli mai le password qui.
Le Sue spunte e note restano solo in questo browser; non le inviamo da nessuna parte. Se ha effettuato l'accesso, conserviamo in I miei corsi solo il fatto che ha svolto l'esercizio.
Per approfondire
I passaggi descritti in questi articoli valgono per i servizi di WebOké; presso altri fornitori funziona in modo analogo.
- Guida a Nextcloud 3.1: In che modo WebOké protegge il Suo Nextcloud?
- Guida a Nextcloud 3.3: Configurare un'applicazione di autenticazione e salvare i codici di backup
- NCSC (il centro nazionale olandese per la cybersicurezza), Iniziare con la cybersicurezza: https://www.ncsc.nl/beginnen-met-cybersecurity
- KeePassXC: https://keepassxc.org/