Come creare una password sicura che riesci anche a ricordare
Le password da ricordare a memoria sono due o tre: ecco come inventarle lunghe e robuste. Tutte le altre è meglio non saperle affatto, e in questo articolo vediamo perché.
- Livello
- principiante
- Tempo
- 10 minuti
- Cosa serve
- Carta e penna, oppure il tuo telefono
Se usi la stessa password per la posta, la banca e il sito dove compri le scarpe non sei l’unico, perché tutte le indagini sull’argomento dicono che lo fa la maggior parte delle persone. Il problema arriva quando uno di quei siti viene “bucato”, cosa che succede spesso, anche ai grandi. Da quel momento la tua password finisce in liste che i truffatori provano su tutti gli altri siti.
La via d’uscita non passa dall’inventare trenta password memorabili. Le password che devi ricordare a memoria sono due o tre, e tutte le altre è meglio non conoscerle affatto.
Password (in italiano "parola d'ordine", anche se ormai nessuno la chiama così): la parola segreta che dimostra a un sito che sei tu. Violazione (in inglese data breach): quando qualcuno ruba l'archivio di un sito, password comprese. Gestore di password (in inglese password manager): l'app che inventa e custodisce le password al posto tuo. Frase d'accesso (in inglese passphrase): una password fatta di più parole invece che di caratteri strani.
Cosa rende una password difficile da indovinare
Contano due cose, e nessuna delle due è il punto esclamativo in fondo.
La prima è la lunghezza. La seconda è l’imprevedibilità, cioè quanto è difficile arrivarci partendo da quello che si sa di te o da un elenco di password già viste. Sostituire una “a” con una “@” non aggiunge quasi nulla, perché i programmi che provano a indovinare conoscono tutte queste sostituzioni da vent’anni.
Troverai spesso frasi del tipo “otto caratteri si indovinano in poche ore, sedici richiedono secoli”. Sono slogan. Il tempo reale dipende da come il sito custodisce le password, da quanti tentativi al minuto permette, dall’hardware di chi attacca e soprattutto da quanto la password è davvero casuale. La regola che regge in tutte le condizioni è più semplice, ed è questa: a parità di tutto il resto, una password lunga e davvero imprevedibile resiste molto più a lungo di una corta o indovinabile.
Le uniche password che devi ricordare
Sono queste, e non di più.
- Il codice di sblocco del telefono e del computer.
- La password principale del gestore, quella che apre tutte le altre.
- La password della posta elettronica principale, perché è da lì che si recupera tutto il resto, e ti serve saperla anche se resti senza gestore sottomano.
Per queste tre il metodo della frase funziona benissimo. Prendi quattro o cinque parole senza legame tra loro, pescate davvero a caso e non da un modo di dire, e mettile insieme, tipo divano-cacciavite-mirtillo-ottobre. È lunga, è facile da rivedere con la mente, e non somiglia a niente che un programma possa dedurre da te. Questa però non usarla, è scritta qui e finirà negli elenchi. Apri un vocabolario a caso quattro volte, oppure lascia scegliere le parole al gestore, che non ha i tuoi gusti.
Due avvertenze sulle frasi. La prima è che sia davvero casuale, perché un proverbio, un verso di una canzone o il titolo di un film sono già in tutti gli elenchi degli attaccanti. La seconda è che sia diversa per ciascuna delle tre: se una viene scoperta, le altre due devono restare intatte.
Tutte le altre: meglio non saperle
E qui arriva la parte che cambia la vita. Per i restanti trenta o quaranta account la password giusta è una stringa casuale generata dal gestore, diversa per ogni sito, che tu non ricordi e non hai bisogno di ricordare.
Non è una questione di pigrizia. Qualsiasi schema inventato da una persona è prevedibile. Se costruisci le password aggiungendo il nome del sito in fondo a una frase fissa, chiunque veda anche una sola di quelle password capisce lo schema e indovina le altre in pochi tentativi, perché gli basta cambiare la coda. Vale per il nome del sito, per l’anno, per il numero progressivo, per qualunque variazione regolare. Una password diversa deve essere scollegata dalle altre, non una variante della stessa.
Il gestore poi ce l’hai già, è dentro il telefono e dentro il browser, gratis. Ho scritto come metterlo in funzione in mezz’ora in gestore di password: perché serve e come si comincia.
Non serve cambiare password ogni tre mesi: è un consiglio che le linee guida attuali hanno abbandonato, perché spinge le persone a fare piccole variazioni prevedibili. Si cambia quando c'è un motivo, cioè un avviso di violazione, il sospetto che qualcuno l'abbia vista, una password riusata che stai finalmente sistemando.
Dove tenere quelle due o tre
Scriverle su un foglio tenuto in casa, in un cassetto, non è un’eresia. Il rischio che qualcuno entri a casa tua per leggerle è molto più remoto della certezza quotidiana che un programma provi password rubate su milioni di account. Scrivi la frase, non a quale sito corrisponde, e tienile separate dal computer.
Due errori da non fare
Non costruire la password su informazioni che si trovano sui social: nome del cane, data di nascita, squadra del cuore. E non dettarla mai a chi te la chiede per telefono o via posta elettronica, nemmeno se dice di essere la banca, perché nessun operatore vero ha motivo di chiedertela.
Il passo successivo
Sistemate le password, il miglioramento più grande è attivare la verifica in due passaggi sulla posta e sulla banca: da quel momento una password rubata, da sola, non basta più a nessuno. Ne parliamo in verifica in due passaggi: cos’è e come si attiva.