Scegliere e usare un gestore di password

Modulo 2: Password e accesso · Tempo di lettura: 9 minuti

Obiettivo della lezione: Dopo questa lezione sarà in grado di scegliere e configurare un gestore di password, proteggere la password principale e condividere le password in modo sicuro in un team.

Concetti chiave: gestore di password, password principale, cassaforte (vault), crittografia end-to-end, cassaforte condivisa, accesso di emergenza, gestore di password del browser

Che cosa fa un gestore di password

Nella lezione 2.1 ha visto che ogni account necessita di una propria password lunga e casuale. Nessuno ne ricorda ottanta. Un gestore di password è un software che lo fa al Suo posto. Esso:

• crea per ogni servizio una password forte e casuale;
• conserva tutte le password cifrate in una cassaforte (vault);
• le inserisce automaticamente sul sito giusto, e solo lì;
• spesso avvisa in caso di password deboli, duplicate o compromesse;
• in molti prodotti può anche conservare i codici per l'autenticazione a due fattori (2FA) e salvare le passkey (lezioni 2.3 e 2.4).

Lei ne ricorda soltanto una: la password principale con cui apre la cassaforte. L'ACN raccomanda l'uso di un gestore di password come base fissa, anche per le piccole organizzazioni, con accordi chiari su quale gestore utilizzare e per quali account sia obbligatorio.

Tipi di gestori di password

Non esiste un unico tipo migliore. L'ACN distingue il gestore integrato nel browser, l'app separata, e online (cloud) rispetto a offline (locale). Nella pratica incontrerà queste forme:

Esempi noti di gestori separati sono Bitwarden, 1Password, KeePassXC e Proton Pass, oltre ai gestori integrati nei browser e nei sistemi operativi. Questa non è una raccomandazione: scelga in base alle domande riportate di seguito.

Domande da porsi nella scelta

• Funziona su tutti i Suoi dispositivi e browser, anche quelli dei colleghi?
• È possibile condividere le casseforti con permessi per cartella, e togliere nuovamente l'accesso a qualcuno da una cassaforte?
• La cassaforte è cifrata end-to-end, e che cosa rimane cifrato e che cosa no (ad esempio gli indirizzi dei siti web)?
• È possibile proteggere la cassaforte con autenticazione a due fattori (2FA) o una passkey?
• Esiste un accesso di emergenza o una procedura di recupero, e come funziona esattamente?
• È possibile esportare i propri dati in caso di passaggio ad un altro servizio?
• Per le versioni gratuite: qual è il modello di guadagno?

Crittografia end-to-end: cosa succede se il fornitore viene violato?

In un buon gestore cloud, la Sua cassaforte viene cifrata sul Suo dispositivo con una chiave derivata dalla Sua password principale. Il fornitore riceve solo il pacchetto cifrato. Questo si chiama crittografia end-to-end (a volte "zero knowledge"). Il fornitore non può leggere le Sue password, e quindi non può nemmeno ripristinare la Sua password principale per Lei.

Se il fornitore viene violato, un aggressore può rubare le casseforti cifrate. Può quindi provare a decifrarle offline, come visto nella lezione 2.1. In quel momento, la Sua password principale è la Sua unica protezione. Perciò:

• La password principale è lunga e unica: una passphrase di almeno cinque, preferibilmente sei parole casuali.
• Non la utilizza da nessun'altra parte.
• Dopo una violazione presso il fornitore, cambi la Sua password principale e le password dei Suoi account più importanti. La vecchia cassaforte rubata è infatti cifrata con la vecchia password principale.

L'autenticazione a due fattori (2FA) sulla cassaforte aiuta contro chi possiede la Sua password principale e vuole accedere tramite il sito web. Non aiuta contro la decifrazione di un file di cassaforte rubato. Lo dice anche l'ACN: la 2FA sul gestore non è un motivo per usare una password principale debole.

Proteggere la password principale

Dimenticare la password principale è spesso definitivo in un buon gestore: il fornitore non può recuperarla. Si organizzi quindi in anticipo:

• Scriva la password principale su carta e la conservi a casa in un luogo sicuro. L'ACN ritiene questo accettabile, purché non scriva accanto a cosa serve.
• Crei il kit di ripristino o il codice di emergenza offerto dal Suo gestore, lo stampi e lo conservi insieme al foglio di carta.
• Digiti la password principale solo nell'app o nell'estensione del gestore stesso, mai su un sito web che la richiede.
• Attivi il blocco automatico dopo qualche minuto di inattività.

Perché il riempimento automatico aiuta contro il phishing

Un gestore di password collega ogni password all'indirizzo del sito web. Su https://mijnbank.example inserisce la Sua password. Su un sito simile come https://rnijnbank.example (rn al posto di m) o https://mijnbank-veilig.example non fa nulla, perché quegli indirizzi non sono associati alla voce.

Una persona spesso non vede la differenza tra rn e m. Il gestore confronta i caratteri e non si stanca né ha fretta. Questa è una protezione reale, ma solo se Lei lo lascia lavorare:

Il Suo gestore improvvisamente non inserisce nulla su un sito dove lo faceva sempre? Non lo aggiri copiando la password a mano. Guardi prima con molta attenzione l'indirizzo. Questo è esattamente il momento in cui il gestore La sta avvisando.

A volte esiste anche un buon motivo per il mancato riempimento automatico: un servizio che è stato trasferito a un nuovo indirizzo. In quel caso lo verifichi attraverso un'altra via, ad esempio digitando Lei stesso l'indirizzo che già conosceva.

Condividere in un team

In una piccola impresa ci sono sempre account usati in comune: il negozio online su webwinkelplatform.example, l'account presso koeriersdienst.example, i social media dell'attività. La soluzione migliore è che ognuno abbia un proprio account (modulo 7). Se ciò non è possibile, utilizzi una cassaforte condivisa:

• Crei casseforti o cartelle per argomento ("Negozio online", "Finanze", "Social media") e conceda l'accesso solo a chi ne ha bisogno.
• Non condivida mai tramite e-mail, chat o un foglio di calcolo. Chi ha accesso alla cassaforte condivisa vede la password lì.
• Qualcuno lascia l'azienda? Lo rimuova dalla cassaforte e cambi le password che poteva vedere. Rimuoverlo soltanto dalla cassaforte non basta: potrebbe averle trascritte o salvate.
• Organizzi un accesso di emergenza: cosa succede se Lei, il titolare, è malato o non è disponibile? Molti gestori hanno una funzione che permette a una persona di fiducia di ottenere l'accesso dopo un periodo di attesa. Oppure conservi i dati di ripristino in una busta sigillata presso una seconda persona.

Nella pratica: passare a un nuovo gestore in un pomeriggio

1. Scelga un gestore e lo installi su computer e telefono, con l'estensione del browser.
2. Crei una password principale (passphrase), la scriva su carta, conservi il kit di ripristino.
3. Attivi l'autenticazione a due fattori (2FA) sulla cassaforte.
4. Importi le password già salvate dal Suo browser. Un'esportazione è spesso un file non cifrato: lo elimini subito dopo l'importazione, anche dal cestino.
5. Inizi con gli account più importanti e assegni a ciascuno una password nuova e casuale: la Sua casella di posta (info@example.com), il Suo hosting e la registrazione del dominio, la Sua banca e la Sua contabilità (ad esempio su boekhoudpakket.example).
6. Aggiorni il resto man mano che accede agli account. Gli avvisi per le password duplicate La aiuteranno.

Utilizza un servizio nell'ambiente WebOké, come una casella di posta o Nextcloud, con app sul telefono? Per questi a volte crea una password per app separata (vedere Base di conoscenza 436). Anche questa la conserva nel gestore, alla voce corretta. Presso altri fornitori funziona in modo simile.

Riepilogo

• Un gestore di password crea, conserva e inserisce password uniche; Lei ricorda soltanto la password principale.
• Tipi: integrato nel browser o nel sistema, app separata con cloud, locale, open source o autogestito. Scelga in base a dispositivi, condivisione, crittografia e ripristino.
• Con la crittografia end-to-end, la Sua password principale è l'ultima difesa in caso di violazione presso il fornitore.
• Se il gestore non inserisce la password, guardi l'indirizzo invece di copiarla.
• Condivida tramite una cassaforte condivisa e cambi le password quando qualcuno lascia l'azienda.

Quiz

Esercizio

Esercizio D2.2: Configurare il Suo gestore di password. Scelga un gestore di password, crei una password principale e un kit di ripristino, attivi l'autenticazione a due fattori sulla cassaforte e assegni ai Suoi cinque account più importanti una password nuova e unica. Spunti la checklist e risponda alle domande di riflessione. Non inserisca alcuna password da nessuna parte.

Per saperne di più

I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori funziona in modo simile.

• Guida DirectAdmin 3.7: Password sicure e cosa fare in caso di password trapelata
• Creare una password per le app (necessaria per collegare app e dispositivi)
• Guida a Nextcloud 3.5: Password di applicazione: quando e come
• ACN, risorse sull'autenticazione e sulla gestione delle password: https://www.acn.gov.it/
• ACN, risorse per la sicurezza informatica: https://www.acn.gov.it/