Come costruire una password che regga davvero
La maggior parte di noi ha imparato la lezione sbagliata sulle password. Ci hanno detto di sostituire la "a" con una "@", di aggiungere un punto esclamativo in fondo e di mettere la prima lettera in maiuscolo, e di considerare il tutto sicuro. Il problema è che anche gli attaccanti hanno imparato questi trucchi. Una password come "P@ssw0rd!" sembra complicata a un essere umano e banale a un programma di cracking. Ciò che protegge davvero un account non è l'astuzia. Sono la lunghezza, la casualità e la semplice disciplina di non riutilizzare mai la stessa password.
Questa pagina genera password direttamente nel tuo browser. Scegli la lunghezza e i tipi di caratteri da includere, e lo strumento produce al volo una stringa casuale. Niente di ciò che generi viene inviato altrove, registrato o memorizzato. Di seguito trovi le ragioni per cui le impostazioni predefinite sono quelle che sono, e come sfruttarle al meglio.
Lunghezza ed entropia battono le regole di complessità
Ogni password ha una misura di imprevedibilità che gli esperti di sicurezza chiamano entropia. Maggiore è l'entropia, più tentativi deve fare un attaccante prima di indovinare la tua. Due fattori aumentano l'entropia: quanti caratteri possibili si usano e quanti se ne concatenano. La lunghezza fa il lavoro pesante. Aggiungere un carattere in più moltiplica il numero di combinazioni possibili, mentre aggiungere un tipo di simbolo in più lo incrementa appena.
Ecco perché una password casuale di 16 caratteri composta da lettere minuscole e numeri è molto più robusta di una da 8 caratteri piena di simboli. Le indicazioni moderne di organismi come CISA e la National Cybersecurity Alliance convergono sempre sullo stesso numero: punta ad almeno 16 caratteri. Più è lunga, meglio è. Se un sito ti consente di arrivare a 20 o più per gli account importanti, fallo. Quei pochi secondi in più per digitarla ti valgono anni di resistenza alla forza bruta.
Le regole di complessità, quelle che richiedono "una maiuscola, un numero, un simbolo", esistono principalmente per evitare che le persone scelgano "password123". Non rendono significativamente più sicura una stringa veramente casuale. Una password davvero casuale supera già quelle regole senza sforzo. Abilita quindi alcuni tipi di caratteri per compatibilità con i form più esigenti, poi lascia che sia la lunghezza a fare il lavoro.
Passphrase: lunghe, casuali e memorabili
C'è un caso in cui hai davvero bisogno di ricordare una password: la password principale del tuo gestore di password, o il login al computer. Per questi casi, una passphrase funziona alla perfezione. Scegli da quattro a sei parole non correlate a caso, più sono assurde meglio è, e concatenale: qualcosa come "rame-lanterna-pioggerella-noce". È lunga, ha molta entropia e il tuo cervello riesce davvero a tenerla a mente.
La parola chiave è casuale. "Correct horse battery staple" è famosa proprio perché le parole non hanno nessun collegamento logico. Una frase tratta da un testo di una canzone o da una citazione non è casuale, perché gli attaccanti inseriscono esattamente quelle fonti nei loro strumenti di indovinamento. Per tutto il resto, gli account a cui accedi qualche volta l'anno, non dovresti memorizzare nulla. Questo è compito del software.
Perché riutilizzare le password è il vero pericolo
Ecco la statistica che dovrebbe cambiare il tuo modo di pensare: una grande quota di violazioni di dati è riconducibile a credenziali riutilizzate o deboli. Il meccanismo è brutalmente semplice. Un sito su cui ti sei registrato anni fa subisce una violazione e divulga il suo database di password. Gli attaccanti prendono quelle coppie email-password e le provano su banche, provider di posta e siti di shopping, automaticamente, a milioni. Questo si chiama credential stuffing, e funziona perché moltissime persone usano una sola password ovunque.
La soluzione è una password unica per ogni singolo account. Facendo così, una violazione su un servizio rimane confinata a quel servizio. Il problema, ovviamente, è che nessuno può ricordare cento stringhe casuali diverse. Ed è esattamente il problema che i gestori di password risolvono.
Gestori di password e un secondo lucchetto
Un gestore di password genera e memorizza una password casuale univoca per ciascuno dei tuoi account, la compila per te e ti chiede di ricordare solo una password principale. Strumenti come Bitwarden, 1Password, Proton Pass e altri cifrano il tuo vault in modo che nemmeno l'azienda che lo gestisce possa leggere i tuoi accessi. Ottieni la sicurezza delle password lunghe e casuali senza il peso della memorizzazione. Per la maggior parte delle persone, adottarne uno è il singolo miglioramento più grande che possano apportare alla propria sicurezza online.
Abbinalo all'autenticazione a due fattori, spesso indicata come 2FA, su ogni account che la supporta. Con la 2FA attiva, una password rubata da sola non basta per entrare, perché l'attaccante ha bisogno anche di un codice dal tuo telefono o da una chiave hardware. I codici generati da app e le chiavi di sicurezza fisiche sono più robusti dei codici via SMS, ma qualsiasi secondo fattore è meglio di nessuno. Password più 2FA è una combinazione genuinamente difficile da sconfiggere.
Perché generare nel browser mantiene tutto privato
Quando questo strumento crea una password, funziona interamente sul tuo dispositivo usando il generatore di numeri casuali crittograficamente sicuro integrato nel browser, lo stesso tipo di sorgente sicura che i sistemi operativi usano per le chiavi. Il risultato non lascia mai il tuo computer. Non c'è nessuna chiamata a un server, nessun ping di analisi che porta il valore altrove, niente scritto in un log. Puoi verificarlo aprendo la pagina, disattivando la rete e continuando a generare. Funziona lo stesso, perché tutto avviene in locale.
Questo è importante perché una password che devi affidare a un server remoto per la sua creazione è una password che è esistita brevemente in un posto che non controlli. Generare in locale elimina completamente questo passaggio. Copia la tua nuova password direttamente nel tuo gestore di password e il gioco è fatto. Mentre sei qui, dai un'occhiata alla nostra collezione di tutti i generatori, o preleva un identificatore casuale dal generatore UUID se ne hai bisogno per lavori di sviluppo.
Domande frequenti
Quanto deve essere lunga la mia password?
Punta ad almeno 16 caratteri, e allungala ancora per gli account importanti come email e banca. La lunghezza aggiunge più sicurezza di qualsiasi combinazione di simboli, quindi in caso di dubbio rendila più lunga piuttosto che più complicata.
Le password generate da questo strumento sono davvero casuali?
Sì. Vengono costruite usando il generatore di numeri casuali crittograficamente sicuro del browser, la stessa fonte su cui i sistemi operativi si affidano per le chiavi. Ogni clic produce un risultato fresco e indipendente senza pattern prevedibili.
È sicuro generare password in un browser web?
Lo è, purché la generazione avvenga in locale. Questo strumento funziona interamente sul tuo dispositivo e non invia mai la password a un server. Puoi disconnetterti da Internet e funziona lo stesso, il che dimostra che non viene trasmesso nulla.
Dovrei usare una passphrase o una password casuale?
Usa una password casuale lunga per gli account che memorizzi in un gestore di password, poiché non hai bisogno di memorizzarli. Usa una passphrase memorabile di diverse parole casuali non correlate per i pochi accessi che devi digitare a memoria, come la password principale.
Perché riutilizzare la stessa password è così rischioso?
Se un sito viene violato, gli attaccanti prendono la password trapelata e la provano automaticamente sui tuoi altri account. Una password unica per account impedisce che una singola violazione si propaghi. Questo è il motivo principale per cui esistono i gestori di password.
Ho ancora bisogno dell'autenticazione a due fattori?
Sì. Una password unica e robusta protegge da indovinamenti e credential stuffing, ma la 2FA aggiunge un secondo lucchetto in modo che una password rubata da sola non possa aprire il tuo account. Attivala ovunque sia offerta, preferibilmente con un'app o una chiave hardware piuttosto che con SMS.