Password, abbiamo sbagliato tutto: usare numeri, maiuscole e caratteri speciali non serve

Anzi, è dannoso. Lo confessa l'uomo che inventato queste regole.



[ZEUS News - www.zeusnews.it - 08-08-2017]

password

Se siete fedeli lettori di Zeus News, probabilmente sapete da tempo che, quando si sceglie una password, è importante fare in modo che essa sia robusta.

Quando si parla di password robuste, generalmente s'intende che detta password non deve essere composta soltanto da lettere minuscole, ma alternare maiuscole e minuscole, inserire numeri e aggiungere caratteri speciali. Fin qui, sono informazioni ben note.

Quello che forse non sapete è che queste linee guida sono state formalizzate nel 2003 da Bill Burr, a suo tempo dirigente dello statunitense National Institute for Standards and Technology, e che oggi il settantaduenne Burr si dice pentito di quanto consigliava 14 anni fa.

In un'intervista al Wall Street Journal, Burr ha confessato di essersi reso conto di come quelle indicazioni, unite alla proverbiale pigrizia degli utenti, abbiano finito con il consigliare la generazione di password insicure.

Non si tratta dei tanto abusati 123 o password, ma di parole che sembrano sicure e invece non lo sono.

Tutti - o quasi - per inserire numeri e caratteri speciali nelle loro password si affidano sempre alle medesime sostituzioni: la a diventa una @ o un 4, la e un 3, la o uno 0, e spesso alla fine c'è un ! o un ?.

In questo modo le sostituzioni sono diventate prevedibili, ed è come se non ci fossero: ormai ogni algoritmo di decriptazione è scritto tenendo conto di queste radicate abitudini, come già nel 2011 segnalava Randall Munroe, l'autore di xkcd, in una vignetta.

«Dopo vent'anni di sforzi» - scriveva Munroe, in quella che è una sintesi perfetta delle odierne confessioni di Burr - «siamo riusciti a insegnare a tutti a usare password che gli umani fanno fatica a ricordare e i computer indovinano facilmente».

Un altro punto su cui Burr si tormenta è l'invito a modificare la password ogni 90 giorni (o anche più spesso), invito fatto rapidamente proprio da governi, istituzioni, banche, aziende e via di seguito.

Sondaggio
Un sito Internet richiede che la password sia più complicata. Cosa fai per ricordarla?
La scrivo su un foglio di carta
Faccio di tutto per memorizzarla
La salvo sul browser e utilizzo il Completamento automatico
La salvo sullo smartphone
La salvo come nota sul computer
Impiego una utility specifica per l'immagazzinamento password

Mostra i risultati (2108 voti)
Leggi i commenti (11)

Una tale frequenza ha spinto gli utenti, che necessitano di ricordare la loro password, ad adottare password facilmente memorizzabili e quindi anche indovinabili.

In realtà, il sistema a suo tempo ideato da Burr non era sbagliato nella concezione, ma ha finito con l'essere usato in maniera errata.

«Alla fine» - commenta Burr - «era forse troppo complicato e molti non l'hanno capito bene. La verità è che eravamo fuori strada».

Così, il Nist ha pubblicato dei nuovi standard, elaborati dal consulente Paul Grassi, il quale ha deciso di ripartire da zero.

Grassi, però, ritiene che Burr sia troppo duro con sé stesso: «Ha scritto un documento che è durato 10 o 15 anni. Spero di riuscire a far durarare il mio documento altrettanto».

password strength
(Fai clic sull'immagine per visualizzarla ingrandita)

Le nuove linee guida fanno piazza pulita dell'invito a cambiare spesso la password, proprio perché i cambi frequenti hanno dimostrato di essere causa di pessime conseguenze sulla sicurezza.

Inoltre non consigliano più di mescolare in maniera casuale caratteri diversi (maiuscole, minuscole, simboli, numeri), sempre per lo stesso motivo.

Invece è più utile usare password composte da diverse parole di uso comune ma slegate tra loro quanto al significato, in modo da avere una password lunga, difficile da indovinare per un algoritmo, ma comunque facilmente memorizzabile. Proprio come consiglia Munroe nella vignetta che abbiamo citato.

Un ulteriore consiglio è verificare che la password che si sta per scegliere non sia in una lista di password compromesse, o usate di frequente: ciò mette al sicuro dagli attacchi basati su dizionario.

Se questo articolo ti è piaciuto e vuoi rimanere sempre informato con Zeus News ti consigliamo di iscriverti alla Newsletter gratuita. Inoltre puoi consigliare l'articolo utilizzando uno dei pulsanti qui sotto, inserire un commento (anche anonimo) sotto o segnalare un refuso.
© RIPRODUZIONE RISERVATA

Approfondimenti
Il cyberattacco attraverso la macchinetta del caffè
Le IP Cam con password incorporata e che non si può cambiare
La perdita dei dati è causata dall'atteggiamento degli utenti
Facebook compra le password dagli hacker del deep web
Cambiare le password troppo spesso fa male alla sicurezza
Scelta della password
Se la stazione rivela la password in diretta TV

Commenti all'articolo (ultimi 5 di 19)

@ R16: Cioé tu sostieni che se io per esempio metto una password come quella ad una casella email, dove si hanno solo meno di 10 tentativi per beccare la password e poi il provider blocca la casella, un buon hacker riesce ad entrare nella mia casella in un paio d'ore? Io penso che che posso dormire sonni tranquilli per parecchi anni... ... Leggi tutto
7-9-2017 18:53

Roberto1960 ha scritto: Contento tu..... :roll: Sappi che per come hai scritto quella password, un buon hacker, te la demolisce in un paio di ore. E non sto scherzando. Leggi tutto
6-9-2017 17:57

Non lo so se hai capito bene. Di sicuro è la stessa cosa che faccio io. Uso password che sono piccole frasi, che per me hanno un senso ben preciso, ma che di fatto sono assolutamente inviolabili perché composte da varie parole. Sfido qualsiasi algoritmo a indovinare una password del tipo "nondigeriscoipeperoni"... Per me... Leggi tutto
6-9-2017 15:53

Mi è venuto in mente una cosa. Forse qualcuno di voi può dirmi la sua opinione. Se oltre ad una password ho anche una "posizione" precisa dove inserirla: una riga specifica di una tabella, o una pagina specifica. Un po' come chi ha la combinazione della cassaforte ma non sa dove essa sia. Secondo voi avrebbe senso? Oppure un... Leggi tutto
28-8-2017 16:45

Quoto! La debolezza delle linee guida di Blurr è la successiva ideazione di un codice crittografico semplificato per rendere le password complesse più facilmente memorizzabili. Ovviamente un codice mnemonico può essere trasformato in un algoritmo di decrittazione, se vogliamo, le criticità delle regole di Blurr sono insite nella loro... Leggi tutto
16-8-2017 15:49

La liberta' di parola e' un diritto inviolabile, ma nei forum di Zeus News vige un regolamento che impone delle restrizioni e che l'utente e' tenuto a rispettare. I moderatori si riservano il diritto di cancellare o modificare i commenti inseriti dagli utenti, senza dover fornire giustificazione alcuna. Gli utenti non registrati al forum inoltre sono sottoposti a moderazione preventiva. La responsabilita' dei commenti ricade esclusivamente sui rispettivi autori. I principali consigli: rimani sempre in argomento; evita commenti offensivi, volgari, violenti o che inneggiano all'illegalita'; non inserire dati personali, link inutili o spam in generale.
E' VIETATA la riproduzione dei testi e delle immagini senza l'espressa autorizzazione scritta di Zeus News (P.Iva 06584100967). Tutti i marchi e i marchi registrati citati sono di proprietà delle rispettive società. Informativa sulla privacy. I tuoi suggerimenti sono di vitale importanza per Zeus News. Contatta la redazione e contribuisci anche tu a migliorare il sito: pubblicheremo sui forum le lettere piu' interessanti.
Sondaggio
Utilizzi le licenze Creative Commons per i tuoi lavori?
Sì: le Creative Commons mi aiutano a diffondere il mio lavoro gratuitamente e ottenendone il credito.
No: non ho motivo di utilizzarle perché esiste già una legge sul copyright.
Sì: le Creative Commons mi consentono di diffondere il mio lavoro e di ottenere dei guadagni.
No: necessito di ricavare dei soldi dal mio lavoro, e le Creative Commons non mi aiutano in tal senso.

Mostra i risultati (308 voti)
Ottobre 2017
Il ransomware per Android che blocca lo smartphone due volte
Il falso Adblock che ha ingannato decine di migliaia di utenti
Windows Media Player sparisce da Windows 10
Disqus violato, rubati i dati di 17,5 milioni di utenti
Il caso dell'iPhone 8 che si gonfia mentre è in carica
Gli auricolari di Google che traducono le conversazioni in tempo reale
La falla in Windows Defender che a Microsoft non interessa
Con un salto quantico, Firefox diventa più veloce di Chrome
Settembre 2017
Internet Explorer spiffera quel che digitiamo nella barra
Windows, gli ultimi aggiornamenti bloccano gli account utente
Violazione di CCleaner, guai più gravi del previsto
Il primo smartphone con Linux davvero libero
Falla nel Bluetooth, vulnerabili 5 miliardi di dispositivi
Se il robot sessuale diventa un terminator
I consigli di Linus Torvalds per gli hacker
Tutti gli Arretrati


web metrics