Cosa Rende una Password Forte

La “forza” della password è generalmente intesa dalla maggior parte delle persone come determinata dalla varietà di tipi di caratteri in una password. Ma mentre i moduli di registrazione potrebbero pensare che la complessità sia sicurezza, gli attaccanti non sono d’accordo. La complessità non difende più contro un modello di minaccia moderno. Cosa rende le password forti? Dobbiamo prima esaminare il reale modello di minaccia affrontato dalla maggior parte delle persone.

La Complessità della Password Manca il Punto

La “forza” della password è spesso solo una funzione di complessità, o la quantità di casualità in una password, misurata dall’uso di simboli, numeri e lettere maiuscole e minuscole. Ma aggiungere alcuni caratteri diversi alla tua password non aumenta significativamente la sua “forza”, nonostante ciò che suggerisce quella ingannevole barra verde di “forza” accanto alla tua password. La complessità aumenta la difficoltà di un attacco a forza bruta, ma quel tipo di attacco è raro.

Invece, il furto di credenziali avviene in rapine o fughe di dati massicce da grandi organizzazioni. La forza della password non ti aiuterà se gli attaccanti hanno la tua password in chiaro.

Usa Password Uniche

La maggior parte delle persone è enormemente vulnerabile a qualcosa chiamato “credential stuffing”: le credenziali compromesse vengono provate su piattaforme popolari per sfruttare la tendenza umana al riutilizzo delle password. Questo è un pericolo molto maggiore di una password “debole”. Dopotutto, una password “super forte” e completamente casuale riutilizzata su ogni piattaforma diventerebbe disastrosa dopo una fuga.

Invece di considerare la forza della password come una proprietà singolare, dobbiamo pensare alla forza del tuo sistema di autenticazione. Le password moderne creano quel sistema e devono essere considerate come tali. Usare password uniche è molto più facile con un gestore di password, quindi inizia a usarne uno oggi se non lo hai già fatto.

Leggi anche: 10 dei Migliori Gestori di Password per Web, Desktop e Mobile

La Lunghezza È Più Importante della Complessità

Per anni siamo stati addestrati a pensare che la complessità fosse il fattore più importante per una password. E mentre sappiamo che gli attacchi a forza bruta sono rari, la complessità non è nemmeno la migliore difesa contro l’hacking a forza bruta: la lunghezza è in realtà di gran lunga più importante.

La lunghezza della password ha una relazione esponenziale con il tempo di cracking, quindi aumenti moderati nella lunghezza possono portare a enormi aumenti nel tempo di cracking. La complessità, d’altra parte, ha una relazione più lineare con il tempo di cracking.

Prendiamo questo esempio: un potente dispositivo di cracking può rompere una password dall’aspetto complesso come *nRyU86) in appena ottanta minuti. Aumentando la lunghezza di una sola lettera maiuscola, quel tempo si estende a quasi trentasei ore, mentre cambiare una lettera in un simbolo non fornisce alcun cambiamento significativo nel tempo di cracking.

Sfruttiamo al massimo i poteri esponenziali della lunghezza. Che ne dici di una passphrase di quattro parole, usando parole del dizionario conosciute e totalizzando sedici caratteri di lunghezza? Anche tenendo conto degli attacchi al dizionario (attacchi che utilizzano un database di parole conosciute per indovinare le password invece di generare casualmente ipotesi), ci vorrebbero ancora novanta miliardi di anni per rompere la password.

Dimentica la complessità. Le migliori password sono in realtà pass- frasi. Non potresti mai ricordare una password complessa simile e forte. Ma il cervello ama storie divertenti e immagini sorprendenti. Se generi una storia incredibilmente memorabile per una frase generata casualmente, avrai difficoltà a dimenticarla.

Leggi anche: Le Frasi Fanno Password Migliori?

La generazione di pass-phrase veramente casuali è fondamentale. Scegliere parole correlate a te stesso, come il tuo mese di nascita, renderà la passphrase più facile da indovinare. Usa il dado per password EFF per generare pass-phrase casuali in modo sicuro e protetto.

Attiva Tutti i Sistemi di Autenticazione a Due Fattori

Tutti i sistemi perdono dati. La forza della password non ti salverà. Quindi come puoi difenderti? I sistemi di autenticazione a due fattori (2FA) forniscono un ulteriore livello di sicurezza. La 2FA richiede due tipi di credenziali: qualcosa che sai (cioè la tua password) e qualcosa che hai (cioè il tuo telefono). Nella maggior parte dei sistemi 2FA, questi codici sono generati da un server remoto. Il server invia il codice attivo all’utente al momento del login.

Sfortunatamente, gli attaccanti possono intercettare i codici SMS con relativa facilità attraverso la clonazione della scheda SIM. Per prevenire questo ascolto, genera codici sul tuo dispositivo mobile con un’app 2FA come Authy, Google Authenticator o un gestore di password con supporto 2FA come 1Password.

Conclusione

La “forza” di una singola password è un finto problema. Un sistema di autenticazione forte è più importante. Le fughe e il furto di dati inevitabilmente si verificano. Le password uniche contengono i danni. L’autenticazione a due fattori può ridurre il danno di credenziali rubate a zero.