Cosa significa davvero una password robusta

Modulo 2: Password e accesso · Tempo di lettura: 9 minuti

Obiettivo della lezione: Al termine di questa lezione saprà spiegare perché la lunghezza e l'unicità sono più importanti dei caratteri strani, e cosa afferma l'attuale linea guida NIST sulle password.

Concetti chiave: lunghezza, entropia, passphrase, attacco a dizionario, brute force, riutilizzo, cambio obbligatorio

Come viene violata una password

Quando si parla di "violare una password", molti pensano a qualcuno che prova a indovinarla sulla Sua pagina di accesso. Succede, ma non è la minaccia principale. Una buona pagina di accesso rallenta dopo alcuni tentativi falliti o blocca temporaneamente l'accesso. Indovinare passando dalla "porta principale" è quindi lento.

Più pericoloso è il cracking offline. Un sito web non conserva (se tutto è configurato correttamente) la Sua password in chiaro, ma un hash: una sorta di impronta digitale dalla quale non si può risalire direttamente alla password. Se il database di un negozio online viene violato, l'aggressore ottiene quelle impronte digitali sui propri computer. Lì non c'è alcun freno. Prova tutte le password che la sua attrezzatura riesce a gestire e confronta ogni risultato con l'impronta trapelata.

A questo scopo utilizza due metodi:

• Attacco a dizionario: prima tutto ciò che le persone scelgono spesso. Elenchi con milioni di password reali provenienti da fughe di dati precedenti, parole da dizionari, nomi, luoghi, anni. Con regole fisse aggiunte: maiuscola all'inizio, anno alla fine, punto esclamativo in fondo, a diventa @, o diventa 0.
• Brute force: poi tutte le combinazioni possibili di caratteri, dalle più corte alle più lunghe.

Una password come Estate2026! sembra robusta: maiuscola, numeri, un segno di punteggiatura, dieci caratteri. Ma è esattamente lo schema contenuto in quelle regole: una parola, un anno, un simbolo. Una password del genere cade già nel primo round, ben prima che inizi il brute force.

La lunghezza batte i caratteri strani

Quanto è robusta una password dipende da quante possibilità un aggressore deve provare. Questo numero si calcola così: numero di caratteri possibili elevato alla potenza della lunghezza.

Su una normale tastiera ci sono 95 caratteri digitabili (lettere maiuscole e minuscole, numeri, segni di punteggiatura e lo spazio). Una password casuale di 8 caratteri ha quindi 95 elevato alla potenza 8 possibilità: circa 6,63 × 10^15. Sembra tanto, ma con attrezzature veloci e un metodo di archiviazione debole viene esplorato interamente in pochi giorni.

Ogni carattere in più moltiplica il numero per 95. Un tipo di carattere in più (per esempio aggiungere segni di punteggiatura solo a delle lettere) moltiplica la base solo di poco. Per questo la lunghezza rende molto di più della complessità.

Quest'ultima colonna rappresenta l'entropia: una misura di quanto qualcosa sia imprevedibile, espressa in bit. In parole semplici: ogni bit in più raddoppia il lavoro dell'aggressore. Una password di 65 bit costa quindi non un po' di più, ma circa 4.000 volte più lavoro di una di 53 bit.

Importante: questi numeri valgono solo se la password è stata scelta davvero in modo casuale. Una password inventata da Lei non è quasi mai casuale. Panificio2026! ha tredici caratteri, ma dal punto di vista dello schema rientra in ogni lista di cracking.

La passphrase

Una passphrase è una password composta da diverse parole singole, ad esempio cinque o sei. Il vantaggio: lunga, eppure facile da ricordare e da digitare. L'ACN raccomanda di scegliere da quattro a sei parole che non hanno alcun legame tra loro, e afferma che una frase lunga con sole lettere minuscole è più sicura di una password corta con ogni tipo di carattere.

Una passphrase è robusta solo se le parole sono scelte in modo casuale:

• Bene: un generatore (nel Suo gestore di password) oppure dei dadi con un elenco di parole. Il noto metodo con cinque dadi utilizza un elenco di 7.776 parole, perché 6 elevato alla potenza 5 è esattamente 7.776. Gli autori di un elenco del genere raccomandano sei parole per la maggior parte degli usi.
• Sbagliato: una frase nota, il testo di una canzone, un proverbio o qualcosa che riguarda Lei. amoilmioganebobby è lunga, ma le parole sono collegate tra loro e sono prevedibili per chi La conosce o legge i Suoi social media.

Una passphrase resta pur sempre una password. La usa in un solo posto e non la condivide.

Unica è più importante che complicata

La password più robusta non serve a nulla se la usa in venti posti diversi. Nella lezione 1.4 ha visto il credential stuffing: un indirizzo e-mail trapelato insieme alla password viene provato automaticamente su mail, contabilità, negozi online e social media. Se trapela presso il più debole di quei venti servizi, sono tutti e venti vulnerabili.

Il riutilizzo è quindi il punto debole maggiore nella pratica. E "qualche piccola variante" non conta come unicità. Example!Mail e Example!Shop sono indovinabili in pochi tentativi da un aggressore che possiede già una password trapelata.

La soluzione non è ricordare, ma conservare: un gestore di password crea per ogni servizio una password lunga e casuale e la ricorda al posto Suo. Questo è l'argomento della lezione 2.2. Dovrà ricordare solo poche cose: la password principale del gestore ed eventualmente la password del Suo computer.

Cosa afferma la linea guida NIST

Il NIST statunitense (National Institute of Standards and Technology) pubblica la linea guida più nota per l'accesso: SP 800-63B. La quarta versione è diventata definitiva il 31 luglio 2025. Molte organizzazioni in tutto il mondo la seguono. I punti principali riguardo alle password:

• Se la password è l'unico metodo di accesso, almeno 15 caratteri. Se fa parte dell'autenticazione a due fattori (2FA), almeno 8.
• Un servizio deve consentire password di almeno 64 caratteri.
• Nessuna regola di composizione: un servizio non può obbligare ad "almeno una maiuscola, un numero e un segno di punteggiatura".
• Non far cambiare periodicamente. Cambiarla solo se c'è un indizio che la password sia trapelata.
• Verificare le nuove password rispetto a un elenco di password comuni e trapelate.
• Consentire di incollare la password e l'uso dei gestori di password.
• Niente domande di sicurezza ("nome del Suo primo animale domestico") e niente suggerimenti per la password.

Perché il cambio obbligatorio non è più consigliato

Per anni, sul posto di lavoro, era necessario scegliere una nuova password ogni tre mesi. L'idea era: una password rubata funziona così solo per poco tempo. Nella pratica le persone fanno così: Estate2026! diventa Autunno2026!, poi Inverno2026!. Un aggressore in possesso della vecchia password indovina la nuova in pochi tentativi. E chi deve continuamente inventare una nuova password ne sceglie di più corte e le scrive su un foglietto.

Il cambio obbligatorio rende quindi le password più prevedibili. Tuttavia, cambi subito la password quando c'è un motivo per farlo: una notifica di una fuga di dati, un accesso sospetto, un collega che se ne va e conosceva la password, oppure se l'ha inserita per sbaglio da qualche parte.

Nella pratica: una politica sulle password in un foglio A4

Per una piccola impresa come il Panificio Example è sufficiente una politica breve:

1. Ogni account ha una password propria e personale. Nessun accesso condiviso per info@example.com di cui cinque persone conoscono la password.
2. Le password vengono create dal gestore di password: casuali, di almeno 15 caratteri, oppure una passphrase di almeno cinque parole casuali da digitare.
3. Mai la stessa password in due posti diversi.
4. Autenticazione a due fattori (2FA) attiva su mail, contabilità, banca, hosting e registrazione del dominio (lezione 2.3).
5. Cambiarla solo quando c'è un motivo, e in quel caso subito.
6. Mai le password via mail, chat o su un foglietto attaccato allo schermo.

Anche il Suo pannello di hosting segue questa linea. Nell'ambiente WebOké, per esempio, può far generare una password casuale per la password DA e per le caselle di posta; in altri pannelli quel pulsante si chiama spesso "Genera" o "Generate". Faccia sempre generare almeno 15 caratteri; spesso può scegliere Lei stesso la lunghezza.

Riepilogo

• Gli aggressori violano le password soprattutto offline, dopo una fuga di dati, con elenchi e regole. Gli schemi prevedibili cadono subito.
• Lunghezza e vera casualità rendono molto di più dei caratteri strani. Ogni bit di entropia raddoppia il lavoro.
• Una passphrase composta da parole scelte casualmente è lunga ma comunque facile da ricordare.
• Unica è più importante che complicata: il riutilizzo trasforma una fuga di dati in venti fughe di dati.
• NIST SP 800-63B-4: almeno 15 caratteri come unico fattore, nessuna regola di composizione, nessun cambio periodico, sì al controllo rispetto a password trapelate.

Quiz

Esercizio

Esercizio A2.1: Calcolare e valutare. Non dovrà inserire nessuna password propria. Parte 1: calcoli quante possibilità hanno una passphrase e una password casuale (riceverà i numeri di parole e caratteri), quale delle due è più robusta e quante volte. Parte 2: valuti sei password di esempio inventate: prevedibili, troppo corte, riutilizzate oppure robuste. Il programma verifica e fornisce una spiegazione per ogni risposta.

Per approfondire

I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori il funzionamento è simile.

• Guida DirectAdmin 3.7: Password sicure e cosa fare in caso di password trapelata
• Come modifico la password o i limiti del mio indirizzo e-mail?
• ACN, risorse sulla sicurezza informatica: https://www.acn.gov.it/
• ACN, risorse sulla sicurezza informatica: https://www.acn.gov.it/
• NIST SP 800-63B-4, Authentication and Authenticator Management (in inglese): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (in inglese, l'elenco di parole con i dadi): https://www.eff.org/dice