Password, abbiamo sbagliato tutto: usare numeri, maiuscole e caratteri speciali non serve

Anzi, è dannoso. Lo confessa l'uomo che inventato queste regole.



[ZEUS News - www.zeusnews.it - 08-08-2017]

password

Se siete fedeli lettori di Zeus News, probabilmente sapete da tempo che, quando si sceglie una password, è importante fare in modo che essa sia robusta.

Quando si parla di password robuste, generalmente s'intende che detta password non deve essere composta soltanto da lettere minuscole, ma alternare maiuscole e minuscole, inserire numeri e aggiungere caratteri speciali. Fin qui, sono informazioni ben note.

Quello che forse non sapete è che queste linee guida sono state formalizzate nel 2003 da Bill Burr, a suo tempo dirigente dello statunitense National Institute for Standards and Technology, e che oggi il settantaduenne Burr si dice pentito di quanto consigliava 14 anni fa.

In un'intervista al Wall Street Journal, Burr ha confessato di essersi reso conto di come quelle indicazioni, unite alla proverbiale pigrizia degli utenti, abbiano finito con il consigliare la generazione di password insicure.

Non si tratta dei tanto abusati 123 o password, ma di parole che sembrano sicure e invece non lo sono.

Tutti - o quasi - per inserire numeri e caratteri speciali nelle loro password si affidano sempre alle medesime sostituzioni: la a diventa una @ o un 4, la e un 3, la o uno 0, e spesso alla fine c'è un ! o un ?.

In questo modo le sostituzioni sono diventate prevedibili, ed è come se non ci fossero: ormai ogni algoritmo di decriptazione è scritto tenendo conto di queste radicate abitudini, come già nel 2011 segnalava Randall Munroe, l'autore di xkcd, in una vignetta.

«Dopo vent'anni di sforzi» - scriveva Munroe, in quella che è una sintesi perfetta delle odierne confessioni di Burr - «siamo riusciti a insegnare a tutti a usare password che gli umani fanno fatica a ricordare e i computer indovinano facilmente».

Un altro punto su cui Burr si tormenta è l'invito a modificare la password ogni 90 giorni (o anche più spesso), invito fatto rapidamente proprio da governi, istituzioni, banche, aziende e via di seguito.

Sondaggio
Un sito Internet richiede che la password sia più complicata. Cosa fai per ricordarla?
La scrivo su un foglio di carta
Faccio di tutto per memorizzarla
La salvo sul browser e utilizzo il Completamento automatico
La salvo sullo smartphone
La salvo come nota sul computer
Impiego una utility specifica per l'immagazzinamento password

Mostra i risultati (2061 voti)
Leggi i commenti (11)

Una tale frequenza ha spinto gli utenti, che necessitano di ricordare la loro password, ad adottare password facilmente memorizzabili e quindi anche indovinabili.

In realtà, il sistema a suo tempo ideato da Burr non era sbagliato nella concezione, ma ha finito con l'essere usato in maniera errata.

«Alla fine» - commenta Burr - «era forse troppo complicato e molti non l'hanno capito bene. La verità è che eravamo fuori strada».

Così, il Nist ha pubblicato dei nuovi standard, elaborati dal consulente Paul Grassi, il quale ha deciso di ripartire da zero.

Grassi, però, ritiene che Burr sia troppo duro con sé stesso: «Ha scritto un documento che è durato 10 o 15 anni. Spero di riuscire a far durarare il mio documento altrettanto».

password strength
(Fai clic sull'immagine per visualizzarla ingrandita)

Le nuove linee guida fanno piazza pulita dell'invito a cambiare spesso la password, proprio perché i cambi frequenti hanno dimostrato di essere causa di pessime conseguenze sulla sicurezza.

Inoltre non consigliano più di mescolare in maniera casuale caratteri diversi (maiuscole, minuscole, simboli, numeri), sempre per lo stesso motivo.

Invece è più utile usare password composte da diverse parole di uso comune ma slegate tra loro quanto al significato, in modo da avere una password lunga, difficile da indovinare per un algoritmo, ma comunque facilmente memorizzabile. Proprio come consiglia Munroe nella vignetta che abbiamo citato.

Un ulteriore consiglio è verificare che la password che si sta per scegliere non sia in una lista di password compromesse, o usate di frequente: ciò mette al sicuro dagli attacchi basati su dizionario.

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) sotto o segnalare un refuso.
© RIPRODUZIONE RISERVATA

Approfondimenti
Il cyberattacco attraverso la macchinetta del caffè
Le IP Cam con password incorporata e che non si può cambiare
La perdita dei dati è causata dall'atteggiamento degli utenti
Facebook compra le password dagli hacker del deep web
Cambiare le password troppo spesso fa male alla sicurezza
Scelta della password
Se la stazione rivela la password in diretta TV

Commenti all'articolo (ultimi 5 di 15)

Quoto! La debolezza delle linee guida di Blurr è la successiva ideazione di un codice crittografico semplificato per rendere le password complesse più facilmente memorizzabili. Ovviamente un codice mnemonico può essere trasformato in un algoritmo di decrittazione, se vogliamo, le criticità delle regole di Blurr sono insite nella loro... Leggi tutto
16-8-2017 15:49

su quale sia il miglior modo di blocco tentativi ci sarebbe da scrivere un poema, il punto è che la password "Robusta" serve solo a dimenticarla più di frequente. perchè potete fare tutti i giochetti mnemonici che volete ci sarà sempre il caso in cui vi chiedono un numero all'inizio e alla fine, il cavolo di carattere speciale... Leggi tutto
11-8-2017 13:20

Per curiosità, tu quando fai login in un qualsiasi sito quante volte sbagli la password? A me capita, molto raramente, di sbagliarla al massimo una volta In ogni caso può succedere che la password venga dimenticata anche se non è previsto il blocco dell'account dopo n tentativi errati, ed i sistemi per recuperarla ci sono tutt'ora senza... Leggi tutto
11-8-2017 09:46

Secondo me: il problema di blocco del sito dopo tre tentativi è che dopo devo contattare il gestore per farmelo sbloccare. E queste comunicazioni aggiuntive rendono "debole" la protezione. Su SIM telefoniche e bancomat il sistema funziona perché "ho in mano" l'oggetto: se arrivo al blocco si suppone che sia un ladro.... Leggi tutto
11-8-2017 00:25

Ho capito bene se dico che questa nuova onda di pensiero è che, ad esempio, le parole sabbia, fastidiosa, mutande sarebbero tre password semplici, mentre ad unirle in "sabbiafastidiosamutande" generebbero una password molto complicata da scoprire per un algoritmo?
10-8-2017 16:20

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News (P.Iva 06584100967). Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
Completa la frase con quella che ritieni più opportuna, oppure aggiungi una risposta nei commenti. Secondo te, il networking online attraverso i siti social...
Serve a costruirsi un'efficiente rete professionale.
E' particolarmente utile per cercare opportunità di lavoro.
Serve a comunicare la qualità di saper lavorare in team.
E' un'opportunità che sfruttano soprattutto i più giovani.
Elimina le barriere geografiche.
Accorcia le distanze tra amici e famigliari.
Serve a tenersi sempre aggiornati.
Permette di stabilire relazioni rilevanti.
E' lo strumento per eccellenza per creare solide relazioni professionali.
Consente di comunicare i propri successi lavorativi.
E' utile per chiedere una raccomandazione.

Mostra i risultati (698 voti)
Agosto 2017
Accesso a reti Wi-Fi
I sospetti della FDA sull'hamburger vegano
Password, abbiamo sbagliato tutto: usare numeri, maiuscole e caratteri speciali non serve
Arrestato l'hacker che fermò WannaCry
Il file sharing monouso di Mozilla
Antibufala: ''robot di Facebook'' che parlano fra loro una lingua sconosciuta
Video: perché questo uccellino sta a mezz'aria con le ali ferme?
Fondatore di Tor: il Dark Web non esiste
Luglio 2017
Windows 10, Creators Update per tutti
L'antivirus gratuito di Kaspersky
Adobe annuncia la morte di Flash
In arrivo Play Protect, ''antivirus'' di Google per Android
Come violare Facebook con un vecchio numero di telefono
La Camera approva data retention a 6 anni, infilato in emendamento su sicurezza ascensori
Antibufala: il video delle ''scie chimiche'' giganti
Tutti gli Arretrati


web metrics