Scegliere e utilizzare un gestore di password

Modulo 2: Password e accesso · Tempo di lettura: 9 minuti

Obiettivo di apprendimento: Dopo questa lezione saprà scegliere e configurare un gestore di password, proteggere la password principale e condividere le password in modo sicuro all'interno di un team.

Concetti chiave: gestore di password, password principale, cassaforte (vault), crittografia end-to-end, cassaforte condivisa, accesso di emergenza, gestore di password del browser

Che cosa fa un gestore di password

Nella lezione 2.1 ha visto che ogni account ha bisogno di una propria password, lunga e casuale. Nessuno ne ricorda a memoria ottanta. Un gestore di password è un software che fa questo lavoro al Suo posto. Esso:

• crea per ogni servizio una password forte e casuale;
• conserva tutte le password in modo cifrato in una cassaforte (vault);
• le inserisce automaticamente sul sito web corretto, e solo lì;
• spesso segnala password deboli, duplicate o compromesse in una fuga di dati;
• in molti prodotti può anche conservare i codici per l'autenticazione a due fattori (2FA) e salvare le passkey (lezione 2.3 e 2.4).

Lei dovrà ricordare solo una password: la password principale con cui apre la cassaforte. L'NCSC olandese raccomanda un gestore di password come base fissa, anche per le piccole organizzazioni, con accordi chiari su quale gestore utilizzare e per quali account sia obbligatorio.

Tipi di gestori di password

Non esiste un unico tipo migliore in assoluto. L'NCSC olandese distingue tra il gestore integrato nel browser, l'app a sé stante, e la soluzione online (cloud) rispetto a quella offline (locale). Nella pratica incontrerà queste forme:

Esempi noti di gestori a sé stanti sono Bitwarden, 1Password, KeePassXC e Proton Pass, oltre ai gestori integrati nei browser e nei sistemi operativi. Questa non è una raccomandazione: scelga in base alle domande qui sotto.

Domande da porsi nella scelta

• Funziona su tutti i Suoi dispositivi e browser, anche quelli dei colleghi?
• Può condividere casseforti con diritti per cartella, e rimuovere di nuovo qualcuno da una cassaforte?
• La cassaforte è cifrata end-to-end, e cosa rimane cifrato e cosa no (ad esempio gli indirizzi dei siti web)?
• Può proteggere la cassaforte con l'autenticazione a due fattori (2FA) o una passkey?
• Esiste un accesso di emergenza o una procedura di recupero, e come funziona esattamente?
• Può esportare i Suoi dati se desidera cambiare servizio?
• Per le versioni gratuite: qual è il modello di guadagno?

Crittografia end-to-end: cosa succede se il fornitore viene violato?

In un buon gestore cloud, la Sua cassaforte viene cifrata sul Suo dispositivo con una chiave derivata dalla Sua password principale. Il fornitore riceve solo il pacchetto cifrato. Questo si chiama crittografia end-to-end (a volte "zero knowledge"). Il fornitore non può leggere le Sue password, e quindi non può nemmeno recuperare la Sua password principale al Suo posto.

Se il fornitore viene violato, un aggressore può rubare le casseforti cifrate. Potrà quindi provare a decifrarle offline, come visto nella lezione 2.1. In quel momento la Sua password principale è la Sua unica protezione. Per questo:

• La password principale è lunga e unica: una passphrase di almeno cinque, meglio sei parole casuali.
• Non la utilizza da nessun'altra parte.
• Dopo una fuga di dati presso il fornitore, cambi la Sua password principale e le password dei Suoi account più importanti. La vecchia cassaforte rubata è infatti cifrata con la vecchia password principale.

L'autenticazione a due fattori sulla cassaforte aiuta contro chi possiede la Sua password principale e vuole accedere tramite il sito web. Non aiuta contro la decifrazione di un file cassaforte rubato. Lo dice anche l'NCSC olandese: la 2FA sul gestore non è un motivo per usare una password principale debole.

Proteggere la password principale

Dimenticare la password principale in un buon gestore è spesso definitivo: il fornitore non può recuperarla. Si organizzi quindi in anticipo:

• Scriva la password principale su carta e la conservi a casa in un luogo sicuro. L'NCSC olandese ritiene questa pratica accettabile, purché non scriva accanto a cosa serve.
• Crei il kit di recupero o il codice di emergenza offerto dal Suo gestore, lo stampi e lo conservi insieme al foglio di carta.
• Digiti la password principale solo nell'app o nell'estensione del gestore stesso, mai su un sito web che la richiede.
• Attivi il blocco automatico dopo qualche minuto di inattività.

Perché il riempimento automatico aiuta contro il phishing

Un gestore di password collega ogni password all'indirizzo del sito web. Su https://mijnbank.example inserisce la Sua password. Su un sito simile come https://rnijnbank.example (rn al posto di m) o https://mijnbank-veilig.example non fa nulla, perché quegli indirizzi non sono associati alla voce salvata.

Una persona spesso non nota la differenza tra rn e m. Il gestore confronta i caratteri e non si stanca né si affretta mai. Questa è una protezione reale, ma solo se Lei lo lascia lavorare:

Il Suo gestore all'improvviso non inserisce nulla su un sito dove lo faceva sempre? Non aggiri il problema copiando la password a mano. Guardi prima molto attentamente l'indirizzo. Questo è esattamente il momento in cui il gestore La sta avvisando.

A volte esiste anche un buon motivo per cui non viene inserita: un servizio che è stato trasferito a un nuovo indirizzo. In tal caso lo verifichi tramite un'altra via, ad esempio digitando Lei stesso l'indirizzo che già conosceva.

Condividere in un team

In una piccola azienda ci sono sempre account utilizzati insieme: il negozio online su webwinkelplatform.example, l'account presso koeriersdienst.example, i social media dell'attività. La soluzione migliore è che ognuno abbia un proprio account (modulo 7). Se non è possibile, utilizzi una cassaforte condivisa:

• Crei casseforti o cartelle per argomento ("Negozio online", "Finanze", "Social media") e conceda l'accesso solo a chi ne ha bisogno.
• Non condivida mai tramite e-mail, chat o un foglio di calcolo. Chi ha accesso alla cassaforte condivisa, vede la password lì.
• Qualcuno lascia l'azienda? Lo rimuova dalla cassaforte e cambi le password che poteva vedere. Rimuoverlo soltanto dalla cassaforte non basta: potrebbe averle ricopiate o salvate altrove.
• Organizzi l'accesso di emergenza: cosa succede se Lei, il titolare, si ammala o viene a mancare? Molti gestori offrono una funzione che permette a una persona di fiducia di ottenere l'accesso dopo un periodo di attesa. Oppure conservi i dati di recupero in una busta sigillata presso una seconda persona.

Nella pratica: cambiare gestore in un pomeriggio

1. Scelga un gestore e lo installi su computer e telefono, con l'estensione del browser.
2. Crei una password principale (passphrase), la scriva, conservi il kit di recupero.
3. Attivi l'autenticazione a due fattori sulla cassaforte.
4. Importi le password già salvate dal Suo browser. Un'esportazione è spesso un file non cifrato: lo elimini subito dopo l'importazione, anche dal cestino.
5. Inizi dagli account più importanti e assegni a ciascuno una nuova password casuale e unica: la Sua casella di posta (info@example.com), il Suo hosting e la registrazione del dominio, la Sua banca e la Sua contabilità (ad esempio su boekhoudpakket.example).
6. Aggiorni il resto man mano che effettua l'accesso. Gli avvisi per le password duplicate La aiuteranno.

Utilizza un servizio nell'ambiente WebOké, come una casella di posta o Nextcloud, con app sul telefono? Per questi casi a volte si crea una password per app separata (vedere Centro assistenza 436). Anche questa la conservi nel gestore, nella voce corretta. Presso altri fornitori funziona in modo simile.

Riepilogo

• Un gestore di password crea, conserva e inserisce password uniche; Lei deve ricordare solo la password principale.
• Tipi: integrato nel browser o nel sistema, app a sé stante con cloud, locale, open source o autoospitato. Scelga in base a dispositivi, condivisione, cifratura e recupero.
• Con la crittografia end-to-end, la Sua password principale è l'ultima difesa se il fornitore viene violato.
• Se il gestore non inserisce la password, guardi l'indirizzo invece di copiarla.
• Condivida tramite una cassaforte condivisa e cambi le password quando qualcuno lascia l'azienda.

Quiz

Esercizio

Esercizio D2.2: Configurare il Suo gestore di password. Scelga un gestore di password, crei una password principale e un kit di recupero, attivi l'autenticazione a due fattori sulla cassaforte e assegni ai Suoi cinque account più importanti una nuova password unica. Spunti la checklist e risponda alle domande di riflessione. Non inserisca da nessuna parte una password reale.

Per saperne di più

I passaggi descritti negli articoli WebOké si riferiscono all'ambiente di WebOké; presso altri fornitori il funzionamento è simile.

• Guida DirectAdmin 3.7: Password sicure e cosa fare in caso di password trapelata
• Creare una password per le app (necessaria per collegare app e dispositivi)
• Guida a Nextcloud 3.5: Password di applicazione: quando e come
• NCSC olandese, Come scelgo un gestore di password?: https://www.ncsc.nl/multifactor-authenticatie/hoe-kies-ik-een-wachtwoordmanager
• NCSC olandese, Quattro passi per rendere più sicure le Sue password: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken