Cosa significa davvero una password forte

Modulo 2: Password e accesso · Tempo di lettura: 9 minuti

Obiettivo della lezione: dopo questa lezione sarà in grado di spiegare perché la lunghezza e l'unicità sono più importanti dei caratteri strani, e cosa dice l'attuale linea guida NIST sulle password.

Concetti chiave: lunghezza, entropia, passphrase, attacco a dizionario, brute force, riutilizzo, cambio obbligatorio

Come viene violata una password

Quando si parla di "violare una password", molti pensano a qualcuno che prova a indovinarla sulla Sua pagina di accesso. Succede davvero, ma non è la minaccia principale. Una buona pagina di accesso rallenta dopo un certo numero di tentativi falliti o blocca temporaneamente l'accesso. Indovinare dalla "porta d'ingresso" è quindi lento.

Molto più pericoloso è il cracking offline. Un sito web non conserva (se fatto correttamente) la Sua password in chiaro, ma un hash: una sorta di impronta digitale dalla quale non è possibile risalire direttamente alla password. Se il database di un negozio online viene violato, l'aggressore ottiene quelle impronte digitali sui propri computer. Lì non c'è alcun freno. Prova tutte le password che la sua attrezzatura riesce a gestire e confronta ogni risultato con l'impronta digitale trafugata.

Per farlo utilizza due metodi:

• Attacco a dizionario: prima tutto ciò che le persone scelgono più spesso. Elenchi con milioni di password reali provenienti da fughe di dati precedenti, parole da dizionari, nomi, luoghi, anni. Con regole fisse applicate: lettera maiuscola all'inizio, anno alla fine, punto esclamativo in fondo, a diventa @, o diventa 0.
• Brute force: successivamente tutte le combinazioni possibili di caratteri, dalla più corta alla più lunga.

Una password come Zomer2026! sembra forte: maiuscola, numeri, carattere speciale, dieci caratteri. Ma è esattamente lo schema contenuto in quelle regole: una parola, un anno, un carattere. Una password del genere cade nel primo round, molto prima che inizi il brute force.

La lunghezza batte i caratteri strani

La forza di una password dipende da quante possibilità un aggressore deve provare. Questo numero si calcola così: numero di caratteri possibili elevato alla potenza della lunghezza.

Su una tastiera normale ci sono 95 caratteri digitabili (lettere maiuscole e minuscole, numeri, segni di punteggiatura e lo spazio). Una password casuale di 8 caratteri ha quindi 95 elevato alla potenza 8 possibilità: circa 6,63 × 10^15. Sembra tanto, ma con attrezzature veloci e un metodo di conservazione debole viene esplorato interamente in pochi giorni.

Ogni carattere in più moltiplica il numero per 95. Un tipo di carattere in più (per esempio aggiungere segni di punteggiatura a sole lettere) moltiplica la base solo di poco. Per questo la lunghezza rende molto di più della complessità.

Quest'ultima colonna è l'entropia: una misura di quanto qualcosa sia imprevedibile, espressa in bit. In parole semplici: ogni bit in più raddoppia il lavoro dell'aggressore. Una password di 65 bit costa quindi non un po', ma circa 4.000 volte più lavoro di una da 53 bit.

Importante: questi numeri valgono solo se la password è stata scelta in modo davvero casuale. Una password inventata da Lei non è quasi mai casuale. Bakkerij2026! ha tredici caratteri, ma per schema rientra in ogni elenco di cracking.

La passphrase

Una passphrase è una password composta da alcune parole separate, per esempio cinque o sei. Il vantaggio: è lunga, eppure facile da ricordare e da digitare. L'NCSC olandese consiglia di scegliere da quattro a sei parole che non abbiano alcun legame tra loro, e afferma che una frase lunga composta solo da lettere minuscole è più sicura di una password corta con tutti i tipi di caratteri.

Una passphrase è forte solo se le parole sono scelte in modo casuale:

• Corretto: un generatore (nel Suo gestore di password) o dadi abbinati a un elenco di parole. Il noto metodo con cinque dadi utilizza un elenco di 7.776 parole, poiché 6 elevato alla potenza 5 è esattamente 7.776. I creatori di un simile elenco consigliano sei parole per la maggior parte degli utilizzi.
• Sbagliato: una frase nota, il testo di una canzone, un proverbio o qualcosa che La riguarda. ikhouvanmijnhondbobby è lunga, ma le parole sono collegate tra loro e sono indovinabili da chi La conosce o legge i Suoi social media.

Una passphrase resta comunque una password. La usa in un solo posto e non la condivide.

L'unicità conta più della complessità

La password più forte non serve a nulla se la usa in venti posti diversi. Nella lezione 1.4 ha visto il credential stuffing: un indirizzo e-mail trafugato insieme alla password viene provato automaticamente su posta, contabilità, negozi online e social media. Se la password trapela presso il più debole di quei venti servizi, sono tutti e venti vulnerabili.

Il riutilizzo è quindi la debolezza più grande nella pratica. E "qualche piccola variante" non conta come unicità. Example!Mail e Example!Shop sono indovinabili in pochi tentativi da un aggressore che possieda una sola password trafugata.

La soluzione non è ricordare, ma conservare: un gestore di password crea per ogni servizio una password lunga e casuale e la ricorda al posto Suo. Questo è l'argomento della lezione 2.2. Dovrà quindi ricordare solo poche cose: la password principale del gestore ed eventualmente la password del Suo computer.

Cosa dice la linea guida NIST

L'ente statunitense NIST (National Institute of Standards and Technology) pubblica la linea guida più nota sull'accesso: SP 800-63B. La quarta versione è diventata definitiva il 31 luglio 2025. Molte organizzazioni in tutto il mondo la seguono. I punti principali riguardo alle password:

• Se la password è l'unico metodo di accesso, allora almeno 15 caratteri. Se fa parte dell'autenticazione a due fattori (2FA), allora almeno 8.
• Un servizio deve consentire password di almeno 64 caratteri.
• Nessuna regola di composizione: un servizio non può imporre "almeno una maiuscola, un numero e un carattere speciale".
• Non far cambiare periodicamente. Cambiare solo se c'è un'indicazione che la password sia trapelata.
• Verificare le nuove password rispetto a un elenco di password comuni e trafugate.
• Consentire l'incolla e i gestori di password.
• Nessuna domanda di sicurezza ("nome del Suo primo animale domestico") e nessun suggerimento per la password.

Perché il cambio obbligatorio non è più consigliato

Per anni, sul lavoro, si doveva scegliere una nuova password ogni tre mesi. L'idea era: una password rubata funziona così solo per poco tempo. Nella pratica le persone fanno così: Zomer2026! diventa Herfst2026!, poi Winter2026!. Un aggressore in possesso della vecchia password indovina la nuova in pochi tentativi. E chi deve continuamente inventare una nuova password ne sceglie di più corte e le scrive su un foglietto.

Il cambio obbligatorio rende quindi le password più prevedibili. Tuttavia conviene cambiarla subito quando c'è un motivo: una notifica di fuga di dati, un accesso sospetto, un collega che se ne va e conosceva la password, oppure se l'ha inserita per sbaglio da qualche parte.

Nella pratica: una politica sulle password in un'unica pagina

Per una piccola impresa come Bakkerij Example basta una politica semplice:

1. Ogni account ha una propria password personale. Nessun accesso condiviso per info@example.com di cui cinque persone conoscono la password.
2. Le password le crea il gestore di password: casuali, di almeno 15 caratteri, oppure una passphrase di almeno cinque parole casuali che deve digitare.
3. Mai la stessa password in due posti diversi.
4. Autenticazione a due fattori (2FA) attiva su posta, contabilità, banca, hosting e registrazione del dominio (lezione 2.3).
5. Cambiare solo se c'è un motivo, e in quel caso subito.
6. Mai condividere le password via e-mail, chat o su un foglietto attaccato allo schermo.

Anche il Suo pannello di hosting segue questa logica. Nell'ambiente WebOké, per esempio, può far generare una password casuale per la password DA e per le caselle di posta; in altri pannelli quel pulsante si chiama spesso "Genera" o "Generate". Faccia sempre generare almeno 15 caratteri; spesso può scegliere Lei stesso la lunghezza.

Riepilogo

• Gli aggressori violano soprattutto offline, dopo una fuga di dati, con elenchi e regole. Gli schemi prevedibili cadono subito.
• La lunghezza e la vera casualità rendono molto di più dei caratteri strani. Ogni bit di entropia raddoppia il lavoro.
• Una passphrase composta da parole scelte casualmente è lunga ma comunque facile da ricordare.
• L'unicità conta più della complessità: il riutilizzo trasforma una singola fuga di dati in venti fughe di dati.
• NIST SP 800-63B-4: almeno 15 caratteri come unico fattore, nessuna regola di composizione, nessun cambio periodico, ma verifica rispetto a password trafugate.

Quiz

Esercizio

Esercizio A2.1: Calcolare e valutare. Non dovrà inserire nessuna Sua password. Parte 1: calcoli quante possibilità hanno una passphrase e una password casuale (riceverà i numeri di parole e caratteri), quale delle due sia più forte e di quante volte. Parte 2: valuti sei esempi di password inventate: prevedibile, troppo corta, riutilizzata o forte. Il programma verifica le risposte e fornisce una spiegazione per ciascuna.

Per approfondire

I passaggi negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori funziona in modo simile.

• Guida DirectAdmin 3.7: Password sicure e cosa fare in caso di password trapelata
• Come modifico la password o i limiti del mio indirizzo e-mail?
• NCSC olandese, consigli per ideare una password forte: https://www.ncsc.nl/multifactor-authenticatie/tips-voor-het-bedenken-van-een-sterk-wachtwoord
• NCSC olandese, quattro passi per rendere più sicure le Sue password: https://www.ncsc.nl/multifactor-authenticatie/vier-stappen-om-je-wachtwoorden-veiliger-te-maken
• NIST SP 800-63B-4, Authentication and Authenticator Management (in inglese): https://pages.nist.gov/800-63-4/sp800-63b.html
• EFF, Dice-Generated Passphrases (in inglese, l'elenco di parole con i dadi): https://www.eff.org/dice