La sicurezza delle nostre passwordEra da un po' di tempo che ci stavo pensando.
Ormai penso tutti noi (io si) abbiamo
troppe utenze e password da ricordare: millemila siti che visitiamo molto spesso (se non tutti i giorni) tra forum, shopping online, home banking, utenze domestiche, app sul cellulare...ogni tanto ci impicciamo, o peggio ce ne scordiamo una e andiamo a sbirciare quel foglietto nel portafogli (versione preistorica), o quell'elenco Excel (versione moderna ma superata) che nel tempo abbiamo compilato.
Tra parentesi gli anni avanzano inclementi, la memoria è quella che è, e viviamo in anni di confusione digitale, di bulimìa delle informazioni, di tempo libero mal gestito...
Magari
per fare prima abbiamo anche messo online nella cosiddetta
Cloud il file Excel (o qualsiasi altro file corrispondente) per averlo sempre disponibile ovunque, e usiamo la stessa password su più siti (io per primo) e così, in caso di hackeraggio di uno di questi database, facciamo felici gli hacker e mettiamo a rischio le nostre informazioni.
Il mio file XL è arrivato a contenere circa 200 voci. È protetto da una password, ma sappiamo bene che anche un bimbominkia può crackare i file di Office in un nanosecondo o due.
La scintilla finale probabilmente me l'ha data pochi giorni fa
la notizia dell'avvenuto hackeraggio, il 20 febbraio scorso, del sito di Linux Mint, distribuzione che ho da un po' installato accanto al mio venerando XP
(*).
Naturalmente ho un account sul loro forum sulla cui pagina campeggia da giorni l'inquietante avviso che "
All forums users should change their passwords", e così ho fatto, o meglio, appena cominciato a fare.
Il processo può intimidire un po' all'inizio, e ho l'impressione che non sarà nè semplicissimo nè veloce, ma ormai ho deciso e non si torna indietro.
(*) Avere un sistema operativo vecchio come XP non aiuta per niente dal lato sicurezza!
La sicurezza delle nostre passwordUna cosa importante per costruire una password
forte è allargare al massimo il
range di caratteri che la comprendono, lo "
spazio di ricerca", come definito da GRC a
questa pagina. Più è
largo questo
spazio, più è lungo il tempo che un eventuale algoritmo
brute force deve lavorare per trovare la nostra password.
Per esempio, se usiamo una password composta da soli caratteri numerici, ogni volta che aggiungiamo un numero in più alla nostra password, rendiamo la vita 10 volte più difficile al cracker, perchè i caratteri numerici sono 10 (da "0" a "9").
Se usiamo una password composta da soli caratteri minuscoli, ogni volta che aggiungiamo un carattere in più alla nostra password, rendiamo la vita 26 volte più difficile al cracker, perchè quello è il numero dei caratteri ASCII minuscoli (da "a" a "z").
Per questo motivo, e
se il sito su cui stiamo cambiando password ce lo permette, dovremmo usare a nostro vantaggio tutto lo "spazio" disponibile, cioè usare sia caratteri
minuscoli, che
maiuscoli, che
numeri, che
simboli.
La sicurezza delle nostre passwordAll'inizio di questo mio personale ragionamento sulla sicurezza delle password, che avrò iniziato a fare qualche mese fa, pensavo di scrivere un post partendo dal sito ss64.com (che visito spesso per trovare dritte sul linguaggio batch), su cui ho trovato un paio di pagine molto semplici dedicate proprio alle password. Magari queste pagine possono già bastare a molti utenti.
L'indirizzo della prima pagina è:
http://ss64.com/pass/pass.htmle funziona sulla base di una "
master password", che rimarrebbe
l'unica password da ricordare
veramente. Vedremo che il concetto di "master password" viene usato un po' su tutti i siti/programmi dedicati alla soluzione di questo problema.
Come si vede a quell'indirizzo, ci sono già una serie di siti popolari preimpostati (ma possiamo aggiungerne altri nel campo "Custom"). Digitando una "master password" e cliccando su "Generate" verranno create le password univoche per ogni sito, create a partire dalla master password e "personalizzate" con la stringa che definisce il singolo sito.
Il funzionamento è molto semplice: digitando "pippo" come master password e "tuttovola" come sito Custom, la password creata per Tuttovola.org è "oA4FFa2Q1a".
ATTENZIONE che se invece nel campo del sito Custom digitiamo "Tuttovola" con l'iniziale maiuscola (a parità di master password), la password generata sarà del tutto diversa (in questo caso lejnH/IU1a)!
Quindi per non confonderci,
adottiamo un criterio standard, e decidiamo preventivamente se scrivere tutto in maiuscolo, o in maiuscolo, o solo l'iniziale maiuscola, o in qualsiasi altro modo preferiamo.
Naturalmente "pippo" come master password
fà cagare, e dovremo inventarcene una, come si dice in gergo, un po' più
forte, cioè più lunga e complessa, che comprenda magari minuscole/maiuscole/numeri/simboli/segni di interpunzione, ecc...
Lo stesso sito propone un'altra pagina che, con lo stesso identico funzionamento, genera password più robuste. L'indirizzo è:
http://ss64.com/pass/Può capitare che la pagina di login del sito di cui stiamo generando la password
non accetti password di questa lunghezza, quindi di volta in volta bisognerà prestare un minimo di attenzione.
La figata è che queste pagine sono (naturalmente) raggiungibili anche da un cellulare (c'è anche la
versione "mobile" della pagina), o da un eventuale altro nostro pc, quindi se ci scordiamo la password di un certo sito, o dobbiamo reinserirla perchè siamo stati disconnessi, non avremo problemi a rigenerarla...ci basterà ricordare la nostra master password!
La sicurezza delle nostre passwordPerdendomi nel sito ss64.com, precisamente sulla
pagina che parla dell'entropìa di una password (cioè la sua resistenza ad essere crackata), sono arrivato al programma
KeePass Password Safe che già conoscevo di nome da anni, ma non avevo mai usato.
Esiste in versioni 32/64, per Windows/Linux, Portable, ecc...
Ora questo non vuole certo essere un tutorial su KeePass (non lo conosco ancora quasi per niente, e mi pare anche un tantino complesso) ma piuttosto un mio semplice
coming out sulla questione "sicurezza password". Ebbene sì, ho un problema e sto iniziando ad usare KeePass!
KeePass è un
semplice programmino che genera un DB di password forti che noi andremo ad associare ai nostri siti preferiti, memorizzando nome utente, url e tutti gli altri dati che vorremo inserire.
Questo DB viene criptato (con
algoritmo AES 256) sulla base della nostra "master password" che digiteremo all'apertura del file.
Oltre a questa password, ho anche abbinato un file su una chiavetta USB come extra livello di protezione (può essere un file creato da KeePass, o un nostro file già esistente).
All'apertura del DB la chiavetta deve essere inserita sennò, anche se digito la password, questo non si apre. Se mi perdo la chiavetta, son dolori...
KeePass ha un sacco di plugin che ne estendono le funzionalità (backup, integrazione col browser, sincronizzazione), ma che ancora non ho visto.
Ha anche una funzione per l'autocompletamento dei dati di login nelle rispettive maschere, ma non ho ancora visto nemmeno questa. Insomma, il programma è potente e pieno di funzioni, va solo capito.
La prima impressione, dovuta in maggior parte alla mia scarsa conoscenza di KeePass, è che come programma sia macchinoso e ci si debba stare un po' attenti, ma forse è uno dei più sicuri.
Il DB principale ce l'ho su E:\ ed il file di controllo sta sulla chiavetta. Per ovvie questioni di sicurezza è meglio che questi due file NON siano sullo stesso supporto, e tanto meno su
Cloud (Dropbox, Google Drive, ecc.)...Ora che ci penso forse il solo file di controllo su Cloud ci potrebbe anche stare...mi informerò.
Comunque basta stare un po' attenti e farsi una copia del DB principale quando si fa anda/rianda tra casa e ufficio.
Ho già iniziato da ieri a migrare le mie stupide e ripetitive password a questo nuovo sistema. Per ogni sito faccio il logout e mi riloggo con la nuova password univoca (un po' mi tremano le mani, non conoscendo bene il programma), e se avrò difficoltà o problemi ne scriverò di sicuro qua.
Avendo un pc a casa, uno in ufficio ed il cellulare, il logout/login lo devo fare su tutti e tre questi dispositivi (e digitare password decisamente assurde sul cellulare può essere un bel
PITA, come dicono gli inglesi). Ma vabbè, ormai sono in ballo.
Un problema - appena incontrato stamattina, ma per fortuna semplice - è che la mia chiavetta USB sul pc di casa è vista come I: mentre il pc dell'ufficio la vede come G: quindi ho dovuto cambiare lettera al drive dalla gestione disco. KeePass memorizza questi percorsi in un suo file XML e si aspetta di trovare i file al loro posto.
Il problema della lunghezza del campo password sulla maschera di login di ogni sito va valutato di volta in volta, anche con KeePass (e con ogni altro sito/programma dello stesso tipo).
La sicurezza delle nostre password è uno dei programmi che va per la maggiore, almeno sui siti di recensioni, sta sempre ai primi posti (googlare "Password Manager").
In pratica il suo nome è il suo stesso slogan: il logo infatti recita "
The last password you'll ever need", cioè "l'ultima password di cui avrai mai bisogno", la famosa Master Password.
Sto provando anche questo. Esiste sia in versione
programma standalone da installare, che
plugin per browser, ma le stesse cose le possiamo anche fare semplicemente loggandoci sul suo sito.
È sicuramente più bello di KeePass come interfaccia e si integra perfettamente da subito col browser, tramite il suo componente aggiuntivo "LastPass".
L'autocompletamento dei dati di login è stato facilissimo da capire, contrariamente a KeePass.
Richiede la creazione di un account - da proteggere con master password - quindi sembra proprio che il nostro "
Vault" (la cassaforte che contiene le nostre password) sia da qualche parte online, e questo non è il massimo per la sicurezza, anche se garantiscono che sia supercriptata tramite crittografia AES a 256 bit, hash sicuri e PBKDF2 SHA-256.
Infatti, come dice questo articolo, se si usa il plugin per il browser si devono tenere gli occhi ben aperti (anche con LastPass), in quanto la finestra che si apre è facilmente emulabile da un hacker:
http://www.smartworld.it/informatica/lastpass-phishing.htmlSe invece ci si logga sul sito, i rischi dovrebbero essere azzerati.
Ha molte opzioni di configurazione, addirittura la disabilitazione di login da reti TOR, l'esclusione di login in base al Paese, l'autenticazione multifattore tramite Google Authenticator (e altri servizi simili) che genera una chiave
one-time sul nostro cellulare...insomma, sembra bello potente e anche più
moderno di KeePass.
QUALCHE ALTRA RISORSACercando siti simili a SS64 in italiano, non ne ho trovati di altrettanto validi.
Ce ne sono molti che generano password casuali, ma così come sono mi sembrano un po'
inutili, perchè non partono da una master password.
Per esempio:
https://www.grc.com/passwords.htmQua invece c'è qualcosa in italiano che mi pare valido:
http://www.navigaweb.net/2012/05/generare-una-password-forte-per-tutti-i.htmlhttp://www.ottimizzazione-pc.it/scegliere-il-password-manager-adatto/Dal blog di Kaspersky:
Sicurezza IT e false percezioniSicurezza IT e false percezioni: passwordMetti alla prova la lunghezza della tua password (Kaspersky)
E per finire una lettura interessante, ricordandoci che tutto può comunque essere crackato (in italiano purtroppo la pagina non esiste ancora):
https://en.wikipedia.org/wiki/Password_strength
