Password e sicurezza dei tuoi account online e offline
Prova a contare quante password hai registrato per accedere account legati alla tua vita privata e lavorativa. Scoprirai di avere decine di account su vari siti: Amazon, Paypal, Google, Facebook, home banking, la propria casella di posta elettronica, e così via. Ogni account richiede la generazione di un nome utente e di una password trovandosi sempre più frequentemente nella condizione di dover gestire più credenziali di quelle che si riescano a ricordare.
Tecnologia OAuth
In parte, questo sforzo mnemonico è mitigato dalla tecnologia OAuth, che consente di integrare la fase di autenticazione con un servizio esterno. Ad esempio, è possibile registrarsi su un sito semplicemente accedendo con il proprio account di un social network.
In questo modo, la nostra identità sul social network sarà considerata già valida come iscrizione.
Ma non sempre c’è questa possibilità. Spesso l’utente è costretto a creare un nuovo account per accedere ad un determinato servizio.
Si torna dunque al problema iniziale: come gestire in maniera efficace un gran numero di account?
Riutilizzo delle password
La maggior parte delle persone adotta una soluzione tanto semplice quanto pratica: usare la stessa password ovunque. Questa pratica comporta tuttavia dei rischi.
Bisogna ragionare come farebbe un attaccante: se so che la password della casella di posta di un utente è “pippo”, proverò ad utilizzare quella stessa credenziale per accedere su altri servizi (Paypal, Netflix, etc…). Sorprendentemente, questa strategia avrà spesso successo!
In altri casi, è possibile che uno dei siti su cui siamo iscritti venga colpito da un cosiddetto data breach: ciò significa che malintenzionati sono stati in grado di trafugare l’archivio delle credenziali di quel sito, e di renderlo disponibile online (su “canali” decisamente alla portata di un utente mediamente esperto).
A quel punto, bisogna purtroppo assumere che la nostra credenziale sia stata ormai compromessa, ed è necessario cambiarla al più presto sia sul sito colpito dal data breach, sia su altri siti dove, sfortunatamente, abbiamo usato quella stessa password.
E’ quindi evidente che questa pratica, definita in gergo password reuse (riutilizzo della password) non sia accettabile.
Password Manager
Si tratta di software che consentono di memorizzare tutte le nostre credenziali in un unico archivio, protetto a sua volta con un’unica password.
In sostanza, l’utente deve unicamente ricordare una password per tutti gli account, e una volta inserita quella, potrà accedere al proprio scrigno con tutte le altre credenziali.
Tra i software più diffusi, citiamo Keepass, LastPass, Bitwarden.
Come scegliere una password
- non usare mai la stessa password per servizi differenti
- esistono software che consentono di gestire il nostro archivio di password, svincolandoci dalla necessità di ricordarle singolarmente a memoria: usiamoli!
- non affidarsi a tecniche che solo apparentemente hanno lo scopo di aumentare la complessità della nostra password: queste stesse tecniche sono ormai già “contemplate” dai malintenzionati che mirano a scoprire la nostra password