Cosa rende sicura una password
Una password è robusta quanto il numero di tentativi che servono a un attaccante. Quel numero dipende dalla lunghezza e dalla vera casualità, non da sostituzioni furbe come una @ al posto della a.
Entropia: contare i tentativi
La robustezza di una password si misura in bit di entropia. Una password scelta a caso tra N possibilità ha log2(N) bit, e ogni bit in più raddoppia il lavoro dell'attaccante. Una password casuale di 12 caratteri tra 94 caratteri stampabili ha circa 79 bit. Il punto è la parola casuale: una password scelta da una persona, come un nome con un anno e un punto esclamativo, ha molti meno bit di quanto la lunghezza suggerisca, perché gli attaccanti provano prima quegli schemi.
Diceware e passphrase
Nel 1995 Arnold Reinhold pubblicò diceware: si lanciano cinque dadi per scegliere una parola da un elenco di 7776 e si ripete. Ogni parola aggiunge circa 12,9 bit, quindi sei parole danno circa 77 bit restando facili da digitare. Nel 2016 la Electronic Frontier Foundation ha pubblicato elenchi migliorati, e questo generatore usa il suo elenco grande. L'idea è diventata famosa con il fumetto del 2011 che confrontava correct horse battery staple con la difficile da ricordare ma debole Tr0ub4dor&3.
Cosa dicono le linee guida
Le NIST Digital Identity Guidelines (SP 800-63B) preferiscono la lunghezza alle regole di composizione: consentire password e passphrase lunghe, confrontare le nuove password con elenchi di password trapelate e non imporre cambi periodici senza motivo. Le regole di complessità imposte portano soprattutto a schemi prevedibili. La lunghezza unita a vera casualità, e una password diversa per ogni sito, contano molto di più.
Quanto velocemente indovinano gli attaccanti
Quando un sito viene violato, gli attaccanti provano tentativi offline contro gli hash rubati. Con hash veloci e schede grafiche moderne si arriva a miliardi di tentativi al secondo, l'ipotesi alla base del tempo di violazione mostrato qui. Hash lenti come bcrypt o Argon2 riducono molto questa velocità, ma non puoi sapere cosa usa un sito. Punta ad almeno 70 o 80 bit, password uniche, un gestore di password e l'autenticazione a due fattori.
Domande frequenti
Quanto deve essere lunga una password?
Per una password casuale con lettere, cifre e simboli, 16 caratteri o più danno oltre 100 bit. Per una passphrase usa almeno 5 o 6 parole casuali. La lunghezza è il modo più semplice per aumentare la robustezza.
Le sostituzioni come P@ssw0rd sono sicure?
No. Gli attaccanti conoscono le sostituzioni comuni e le provano in automatico, quindi aggiungono pochissimo. È la vera casualità a rendere robusta una password.
Devo cambiare spesso le password?
Le linee guida attuali dicono di no, a meno di un motivo come una violazione. I cambi forzati frequenti portano a password più deboli e prevedibili. Usa password uniche e cambiane una quando potrebbe essere trapelata.
Strumenti correlati
Generatore di password
Generatore di password gratuito: password e passphrase casuali robuste da crypto.getRandomValues, con lunghezza, set di caratteri, esclusione dei caratteri simili, generazione multipla, entropia, indicatore di robustezza e tempo di violazione. Nulla viene salvato o inviato.
Generatore di lorem ipsum
Generatore di lorem ipsum gratuito: testo segnaposto in paragrafi, frasi, parole, voci di elenco o byte, in latino classico, nel Cicerone originale o con vocabolari a tema, con output HTML, titoli e seed riproducibile.
Convertitore maiuscole minuscole
Convertitore di maiuscole gratuito: MAIUSCOLO, minuscolo, maiuscole da titolo con regole di lingua, maiuscola di frase, camelCase, PascalCase, snake_case, kebab-case, CONSTANT_CASE, dot.case e slug URL, più pulizia di spazi, a capo, punti elenco ed emoji.
Formattatore JSON
Formattatore e validatore JSON gratuito: abbellisci o minimizza JSON, trova riga e colonna di un errore, ordina le chiavi, esplora un albero, copia percorsi e converti array in CSV, tutto nel browser.
La storia del lorem ipsum
Da dove viene il lorem ipsum: un passo del De finibus bonorum et malorum di Cicerone del 45 a.C., storpiato in testo fittizio e diffuso dai fogli Letraset negli anni Sessanta e da software di desktop publishing come Aldus PageMaker.
Pronto a provarlo?
Apri PictorX nel tuo browser: nessuna installazione, nessuna carta di credito richiesta per iniziare.
Apri il generatore di password