Le frasi fanno migliori password?

Sembra che ogni singolo giorno, qualcuno arrivi a un forum scrivendo di come i suoi account siano stati hackerati in qualche modo e non capisca perché. Una delle ragioni per cui le persone vedono compromessi i propri account così spesso è che non comprendono esattamente come avviene. Una volta che il processo di acquisizione della password di qualcuno diventa chiaro (è semplice, tra l’altro), possiamo capire come modificare le nostre password per prevenire efficacemente gli hacker dall’entrare nei nostri account. Una delle proposte che gli esperti di sicurezza hanno recentemente fatto è stata quella di usare frasi brevi come password, piuttosto che utilizzare una stringa continua di caratteri (come “blablabla”). Daremo un’occhiata a questo e perché potrebbe o meno essere più sicuro.

Leggi anche: 8 impostazioni essenziali per proteggere il tuo account Google

Comprendere il furto di password

Qui a MTE, ho già trattato i metodi con cui gli hacker possono ottenere le tue password. Tuttavia, quell’elenco è composto per lo più da metodi usati per fiutare e ottenere facilmente le tue credenziali. In questo momento, voglio coprire con te i metodi che gli hacker usano per scassinare il tuo account dall’esterno piuttosto che infiltrarsi nel tuo traffico dati. Questi metodi sono un po’ più semplici ma più dispendiosi in termini di tempo. Diamo un’occhiata:

• Attacchi Brute-Force: Il metodo di questa follia comporta semplicemente di passare attraverso un sacco di permutazioni di stringhe multi-carattere. Quindi, un hacker con uno strumento brute-force proverà semplicemente migliaia di permutazioni, sperando di indovinare quella giusta dopo un po’. Lo strumento indovinerà casualmente le combinazioni di caratteri (come “jif2$F”). Poiché le password sono tipicamente lunghe più di sei lettere, questo metodo richiederà del tempo! Tuttavia, un hacker determinato trascorrerà un’intera giornata a indovinare le password pur di entrare nel tuo account.
• Attacchi a Parole Comuni: L’hacker utilizzerà parole comuni quotidiane (come “fragola” o “whiskey”) da un elenco, le caricherà su uno strumento speciale e proverà ciascuna di esse. Ci vogliono solo pochi minuti (molte volte, anche pochi secondi) per violare un account utilizzando una parola comune come password.
• Attacchi Lessicali: Come suggerisce il nome, l’hacker tira fuori una copia del Dizionario di Oxford e prova ogni parola. Utilizzando uno strumento automatizzato, questo richiede un po’ più di tempo rispetto a un attacco con parole comuni, ma porterà a un gran numero di account compromessi.

Gli esperti di sicurezza hanno da tempo concluso che la password più sicura è quella con una combinazione di caratteri alfanumerici (compresi lettere maiuscole) e caratteri speciali (come “$@(%#”). Questo non è lontano dalla verità oggi. Una password come “ff9jF#D” è molto più sicura di “caramello”. Il lato negativo è che è davvero difficile ricordare caratteri casuali. I nostri cervelli non sono programmati in questo modo.

E, mentre siamo ancora su questo argomento, lascia che ti dica un segreto: Se qualche esperto ti dice che una password sotto forma di stringa di caratteri richiederà diversi anni per essere decifrata, probabilmente sta parlando di brute-forcing con una CPU. Gli hacker non lo fanno più. Invece, usano cose come la tecnologia CUDA di nVidia, che consente di collegarsi al GPU straordinariamente più veloce di una scheda grafica, permettendo loro di fare in ore quello che un computer farebbe in una settimana collegando insieme un mucchio di hardware (tramite un ponte SLI).

Le frasi sono migliori?

Lo spazio (“ “) è un carattere legale nella maggior parte delle forme di password. Questo significa che puoi separare le parole l’una dall’altra. Avere semplicemente una frase come tua password può creare un incubo per gli hacker, secondo diversi esperti di sicurezza, uno dei quali è Thomas Baekdal. Il vantaggio di usare una frase è che è molto più facile da ricordare rispetto a 8fa@!FaicC* e è anche più sicura se usata nel modo corretto.

Nel 2007, Baekdal scrisse che “questo è divertente” è 10 volte più sicuro di “J4fS<2.” Non sono sicuro di quale sia la sua opinione su questo ora, ma non penso che usare qualcosa di semplice come “questo è divertente“ sia così sicuro che ci vorrebbero, secondo quanto scritto, 2.537 anni per decifrarlo.

Per uno, supponiamo che un hacker utilizzi un elenco delle mille parole più comuni nella lingua inglese per decifrare “questo è divertente”. Poiché la password utilizza tre parole distinte, dovremmo affrontare 1.0001.0001.000 possibili permutazioni. Questo ci dà un miliardo di permutazioni da ciclare. Sembra molto, ma per un computer, questo è molto semplice.

Non sto dicendo che Thomas Baekdal abbia torto. Sto semplicemente dicendo che devi seguire alcune linee guida quando effettui la tua scelta. Lascia che ti mostri alcune idee che ho elaborato pensando a questo problema per diversi giorni:

• Usa separatori non spaziati, come il trattino (“-“). Se sei un po’ più audace, prova qualcosa di davvero difficile da capire, come il simbolo del marchio (“™”, Alt+0153).
• Usa parole uncommon non conversazionali, come “la teoria quantistica è uno sviluppo fondamentale.” Puoi anche creare una frase in un’altra lingua, come il latino (“repetitio est mater studiorum”). Questo è particolarmente utile quando l’inglese non è la tua lingua madre. La maggior parte degli hacker cercheranno password con parole inglesi, ma molto pochi di loro penserebbero, ad esempio, al romeno o al ceco.
• Crea frasi di parole casuali. Un esempio sarebbe “paraphernalia fotone cefalopode.”

Seguire queste regole potrebbe risultare in una password che, all’inizio, è difficile da ricordare. Ma dovresti considerare il proverbio latino che ho usato come esempio di una password non inglese. La sua traduzione: la ripetizione è madre dello studio. Se continui a usare la tua password, te ne ricorderai in un batter d’occhio. Ricordare “faji2o#($FCCineF)9f(#“ è, secondo me, molto più difficile che ricordare “paraphernalia fotone cefalopode” o qualsiasi siano queste parole nella tua lingua madre.

Ricorda, più lunga fai la frase, più sicura diventa! Usare una frase più corta potrebbe comunque offrirti un alto livello di sicurezza finché non usi qualcosa che può essere catturato in un elenco di parole comuni. Gli attacchi lessicali sulla tua password sono ancora possibili, ma è improbabile che diano risultati a causa dell’enorme quantità di tempo che ci vorrebbe per lo strumento dell’hacker per decifrare la tua password.

Limitazione

L’unica limitazione al metodo sopra è che alcuni siti non consentono password più lunghe di 20 caratteri. Alcuni non consentono nemmeno spazi o altri caratteri speciali nelle password, anche se questo sta diventando sempre più raro. Ho persino incontrato una piattaforma bancaria online che consentiva solo fino a 14 caratteri alfanumerici. In questi siti, le password basate su frasi non funzioneranno affatto.

È tempo che tu parli!

Ho discusso molto in questo momento. Parte di esso è un po’ in conflitto con la conoscenza convenzionale sulle password, quindi è normale che tu abbia opinioni, domande e pensieri sull’argomento. È ora di aprirti. Unisciti a me e ai lettori in una conversazione che potrebbe aiutare a chiarire tutto lasciando un commento qui sotto!