Password, abbiamo sbagliato tutto: usare numeri, maiuscole e caratteri speciali non serve

Anzi, è dannoso. Lo confessa l'uomo che inventato queste regole.



[ZEUS News - www.zeusnews.it - 08-08-2017]

password

Se siete fedeli lettori di Zeus News, probabilmente sapete da tempo che, quando si sceglie una password, è importante fare in modo che essa sia robusta.

Quando si parla di password robuste, generalmente s'intende che detta password non deve essere composta soltanto da lettere minuscole, ma alternare maiuscole e minuscole, inserire numeri e aggiungere caratteri speciali. Fin qui, sono informazioni ben note.

Quello che forse non sapete è che queste linee guida sono state formalizzate nel 2003 da Bill Burr, a suo tempo dirigente dello statunitense National Institute for Standards and Technology, e che oggi il settantaduenne Burr si dice pentito di quanto consigliava 14 anni fa.

In un'intervista al Wall Street Journal, Burr ha confessato di essersi reso conto di come quelle indicazioni, unite alla proverbiale pigrizia degli utenti, abbiano finito con il consigliare la generazione di password insicure.

Non si tratta dei tanto abusati 123 o password, ma di parole che sembrano sicure e invece non lo sono.

Tutti - o quasi - per inserire numeri e caratteri speciali nelle loro password si affidano sempre alle medesime sostituzioni: la a diventa una @ o un 4, la e un 3, la o uno 0, e spesso alla fine c'è un ! o un ?.

In questo modo le sostituzioni sono diventate prevedibili, ed è come se non ci fossero: ormai ogni algoritmo di decriptazione è scritto tenendo conto di queste radicate abitudini, come già nel 2011 segnalava Randall Munroe, l'autore di xkcd, in una vignetta.

«Dopo vent'anni di sforzi» - scriveva Munroe, in quella che è una sintesi perfetta delle odierne confessioni di Burr - «siamo riusciti a insegnare a tutti a usare password che gli umani fanno fatica a ricordare e i computer indovinano facilmente».

Un altro punto su cui Burr si tormenta è l'invito a modificare la password ogni 90 giorni (o anche più spesso), invito fatto rapidamente proprio da governi, istituzioni, banche, aziende e via di seguito.

Sondaggio
Un sito Internet richiede che la password sia più complicata. Cosa fai per ricordarla?
La scrivo su un foglio di carta
Faccio di tutto per memorizzarla
La salvo sul browser e utilizzo il Completamento automatico
La salvo sullo smartphone
La salvo come nota sul computer
Impiego una utility specifica per l'immagazzinamento password

Mostra i risultati (2758 voti)
Leggi i commenti (12)

Una tale frequenza ha spinto gli utenti, che necessitano di ricordare la loro password, ad adottare password facilmente memorizzabili e quindi anche indovinabili.

In realtà, il sistema a suo tempo ideato da Burr non era sbagliato nella concezione, ma ha finito con l'essere usato in maniera errata.

«Alla fine» - commenta Burr - «era forse troppo complicato e molti non l'hanno capito bene. La verità è che eravamo fuori strada».

Così, il Nist ha pubblicato dei nuovi standard, elaborati dal consulente Paul Grassi, il quale ha deciso di ripartire da zero.

Grassi, però, ritiene che Burr sia troppo duro con sé stesso: «Ha scritto un documento che è durato 10 o 15 anni. Spero di riuscire a far durarare il mio documento altrettanto».

password strength

Le nuove linee guida fanno piazza pulita dell'invito a cambiare spesso la password, proprio perché i cambi frequenti hanno dimostrato di essere causa di pessime conseguenze sulla sicurezza.

Inoltre non consigliano più di mescolare in maniera casuale caratteri diversi (maiuscole, minuscole, simboli, numeri), sempre per lo stesso motivo.

Invece è più utile usare password composte da diverse parole di uso comune ma slegate tra loro quanto al significato, in modo da avere una password lunga, difficile da indovinare per un algoritmo, ma comunque facilmente memorizzabile. Proprio come consiglia Munroe nella vignetta che abbiamo citato.

Un ulteriore consiglio è verificare che la password che si sta per scegliere non sia in una lista di password compromesse, o usate di frequente: ciò mette al sicuro dagli attacchi basati su dizionario.

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) o segnalare un refuso.
© RIPRODUZIONE RISERVATA

Approfondimenti
Il cyberattacco attraverso la macchinetta del caffè
Le IP Cam con password incorporata e che non si può cambiare
La perdita dei dati è causata dall'atteggiamento degli utenti
Facebook compra le password dagli hacker del deep web
Cambiare le password troppo spesso fa male alla sicurezza
Scelta della password
Se la stazione rivela la password in diretta TV

Commenti all'articolo (ultimi 5 di 19)

@ R16: Cioé tu sostieni che se io per esempio metto una password come quella ad una casella email, dove si hanno solo meno di 10 tentativi per beccare la password e poi il provider blocca la casella, un buon hacker riesce ad entrare nella mia casella in un paio d'ore? Io penso che che posso dormire sonni tranquilli per parecchi anni... ... Leggi tutto
7-9-2017 18:53

Roberto1960 ha scritto: Contento tu..... :roll: Sappi che per come hai scritto quella password, un buon hacker, te la demolisce in un paio di ore. E non sto scherzando. Leggi tutto
6-9-2017 17:57

Non lo so se hai capito bene. Di sicuro è la stessa cosa che faccio io. Uso password che sono piccole frasi, che per me hanno un senso ben preciso, ma che di fatto sono assolutamente inviolabili perché composte da varie parole. Sfido qualsiasi algoritmo a indovinare una password del tipo "nondigeriscoipeperoni"... Per me... Leggi tutto
6-9-2017 15:53

Mi è venuto in mente una cosa. Forse qualcuno di voi può dirmi la sua opinione. Se oltre ad una password ho anche una "posizione" precisa dove inserirla: una riga specifica di una tabella, o una pagina specifica. Un po' come chi ha la combinazione della cassaforte ma non sa dove essa sia. Secondo voi avrebbe senso? Oppure un... Leggi tutto
28-8-2017 16:45

Quoto! La debolezza delle linee guida di Blurr è la successiva ideazione di un codice crittografico semplificato per rendere le password complesse più facilmente memorizzabili. Ovviamente un codice mnemonico può essere trasformato in un algoritmo di decrittazione, se vogliamo, le criticità delle regole di Blurr sono insite nella loro... Leggi tutto
16-8-2017 15:49

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News. Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
E' buona l'acqua del rubinetto?
Sì. La bevo quasi sempre.
No. Di solito bevo acqua in bottiglia.
Sì, ma di solito bevo acqua in bottiglia.

Mostra i risultati (6035 voti)
Settembre 2020
Windows XP, il codice sorgente finisce in Rete
Vecchio televisore mette KO la connessione Adsl di un intero paese
Attacco ransomware mette in ginocchio Luxottica
Ransomware blocca ospedale, muore una paziente
Veicolo autonomo investe e uccide; guidatore accusato di omicidio colposo
Il bug più serio mai scoperto in Windows
Bug in Immuni vanifica l'efficacia dell'app
Facebook ti paga se disattivi l'account
Amazon cancella 20.000 recensioni fake
Samsung brevetta lo smartphone completamente trasparente
L'app che abilita il God Mode in Windows 10
Intel, i Core di undicesima generazione sorpassano Amd
Windows 10 e il bug che deframmenta di continuo gli Ssd
Agosto 2020
Windows 10 rimuoverà automaticamente le app meno utilizzate
Malware negli smartphone a basso costo ruba dati e denaro
Tutti gli Arretrati


web metrics