Perché la password è ancora importante
Nonostante l'avvento di sistemi di autenticazione avanzati (biometria, passkey), la password rimane il metodo di autenticazione più diffuso nel web. Ogni anno miliardi di credenziali vengono trafugate da data breach e messe in vendita nel dark web. Una password debole o riutilizzata su più servizi è la porta d'accesso preferita degli attaccanti.
Caratteristiche di una password robusta
- Lunghezza: almeno 16 caratteri (meglio 20+)
- Complessità: maiuscole, minuscole, numeri e simboli speciali (!@#$%)
- Unicità: una password diversa per ogni account (mai riutilizzare)
- Imprevedibilità: nessuna parola di dizionario, nome, data o pattern ovvi
- Nessuna informazione personale: mai nome, cognome, compleanno o nome del gatto
I principali metodi di attacco
Gli attaccanti usano diversi metodi per compromettere le password:
- Brute force: prova tutte le combinazioni possibili; inefficace su password lunghe
- Dictionary attack: prova parole di dizionario e varianti comuni (P@ssword1, ecc.)
- Credential stuffing: usa liste di credenziali trafugate in altri data breach
- Phishing: induce l'utente a inserire le credenziali su un sito falso
- Keylogger: malware che registra i tasti premuti
I password manager: la soluzione pratica
Memorizzare una password unica e robusta per ogni servizio è umanamente impossibile. I password manager (Bitwarden, 1Password, KeePassXC) generano e conservano password casuali per ogni sito, richiedendo di memorizzare solo una master password robusta. Sono la soluzione consigliata da tutti i ricercatori di sicurezza.
L'autenticazione a due fattori (2FA)
Anche la migliore password può essere compromessa. L'autenticazione a due fattori aggiunge un secondo strato di sicurezza: anche se qualcuno conosce la tua password, non può accedere senza il secondo fattore (codice OTP da app come Authy o Google Authenticator, chiave hardware FIDO2/WebAuthn).
Evita il 2FA via SMS ove possibile: gli attacchi SIM swapping permettono di intercettare i messaggi SMS. Preferisci sempre le app TOTP o le chiavi hardware.