Cosa rende una password sicura, spiegato con i numeri

Una password sicura è lunga e casuale, e la casualità deve arrivare da un generatore, non da te. Ogni carattere o parola casuale moltiplica il numero di tentativi che un malintenzionato deve fare, ed è per questo che la lunghezza lavora più di trucchi come sostituire le lettere con i simboli. Genera una password unica per ogni account, conservala in un gestore di password e non riutilizzarla mai.

Generatore di passwordMi serve una password sicuraUsalo gratis

Perché i trucchi non funzionano

Chi attacca raramente indovina un account alla volta a mano. Usa elenchi di password comuni e parole del dizionario, applicando schemi noti come @ al posto di a, 0 al posto di o, e un simbolo aggiunto alla fine. Provano prima queste varianti, perché molte persone usano gli stessi schemi. Una password come P@ssw0rd! sembra complicata a chi la legge, ma è una delle prime varianti che finiscono negli elenchi di chi attacca. La complessità apparente dice poco su quanto sia difficile da indovinare.

L'entropia in parole semplici

L'entropia misura quante possibilità ugualmente probabili potrebbe avere una password, ed è espressa in bit. Ogni bit in più raddoppia il numero di tentativi necessari. Il punto importante è che l'entropia descrive il processo che ha generato la password, non il suo aspetto. Una stringa casuale e una frase memorabile possono sembrare ugualmente strane pur avendo entropia molto diversa. Anche un identificatore casuale non è una password, perché è progettato per essere unico e non segreto. UUID v4 o v7 spiega la differenza.

Per una password costruita con caratteri casuali, il calcolo è:

bit = lunghezza × log2(dimensione del set di caratteri)

Per una passphrase costruita con parole casuali, il calcolo è:

bit = numero di parole × log2(dimensione dell'elenco di parole)

La tabella mostra alcuni valori calcolati. Ogni riga presuppone che tutte le scelte siano state casuali e ugualmente probabili.

Creata così	Possibilità	Bit
8 lettere minuscole casuali	26^8	37,6
12 lettere e cifre casuali	62^12	71,5
20 caratteri casuali da 94 simboli stampabili	94^20	131,1
4 parole casuali da un elenco di 7.776 parole	7.776^4	51,7
5 parole casuali da un elenco di 1.024 parole	1.024^5	50,0
6 parole casuali da un elenco di 7.776 parole	7.776^6	77,5

La prima riga mostra perché le stringhe casuali corte sono deboli: 38 bit lasciano poco margine per un account importante. La terza riga mostra cosa porta la lunghezza. Una password inventata da te, come Sunset!2026, ha molte meno possibilità reali di quanto la sua lunghezza lasci credere, perché l'hai scelta tra un piccolo insieme di forme familiari.

Passphrase che puoi digitare

Se devi digitare una password, per esempio per accedere al computer o per la password principale di un gestore, la scelta pratica è una passphrase di parole casuali. Sei parole casuali da un elenco di 7.776 parole danno circa 77,5 bit, e le parole sono molto più facili da ricordare di una sequenza casuale di simboli. Le parole devono essere davvero casuali. Quattro parole scelte da te valgono molto meno di quanto il loro numero lasci pensare, perché le persone scelgono parole familiari in coppie familiari. Per questo sono diffusi gli elenchi di parole basati sui dadi: sono i dadi a scegliere, non le tue abitudini. Il generatore di password crea una passphrase in questo modo, con un separatore a tua scelta e una maiuscola e una cifra facoltative.

Il riuso è il rischio maggiore

La lunghezza conta, ma è il riuso a trasformare di solito una fuga di dati in molti problemi. Quando un sito viene violato, le sue coppie email e password vengono spesso provate su altri siti popolari. Questa pratica si chiama credential stuffing. Una password forte sulla carta fallisce del tutto se la usi anche altrove.

Un gestore di password elimina il problema. Genera una password unica per ogni account, la conserva e la inserisce al posto tuo, così devi ricordare soltanto una password principale forte. I browser e i sistemi dei telefoni includono dei gestori, ed esistono anche app dedicate. Qualunque strumento tu usi, attiva prima di tutto l'autenticazione a due fattori per la posta elettronica e per i conti bancari, perché l'account email è la chiave per reimpostare tutti gli altri.

NIST, l'ente statunitense di standardizzazione, privilegia la lunghezza rispetto alle regole di complessità come i simboli obbligatori, ed esclude i cambi periodici forzati, a meno che non ci siano segnali di compromissione. Un sito che ti obbliga a cambiare password ogni pochi mesi, o che non accetta password lunghe o l'incolla, segue abitudini superate. È un difetto del sito, non un motivo per scegliere una password più debole.

Una breve lista di controllo

• Genera le password invece di inventarle.
• Per gli account che non puoi recuperare facilmente, punta ad almeno 16 caratteri casuali, oppure a sei parole casuali.
• Usa una password unica per ogni account e conservale in un gestore.
• Attiva l'autenticazione a due fattori ovunque sia offerta.
• Cambia subito una password se un servizio che usi segnala una violazione.

Se la password serve per il router, condividere il Wi-Fi con un codice QR mostra come darla senza doverla dettare ad alta voce.

Come farlo con fixmint

1. Apri il generatore di password e lascia selezionato Caratteri casuali.
2. Imposta Lunghezza ad almeno 16, e a 20 o più per un account importante. Il valore predefinito è 20, con tutti e quattro i set di caratteri spuntati.
3. Leggi Robustezza stimata. Lo strumento valuta meno di 50 bit come debole, da 50 a 69 come discreta, da 70 a 99 come forte, e 100 o più come molto forte.
4. Premi Rigenera per un nuovo set di cinque, e copia una password nel tuo gestore. Non usarla da nessun'altra parte.
5. Per una password principale che devi digitare, scegli Passphrase, imposta Parole a sei e mantieni un separatore che sai digitare facilmente.

Risposte rapide

Servono i simboli per una password sicura?

No. I simboli casuali aggiungono un po' di bit, ma la lunghezza ne aggiunge di più, e una lunga stringa casuale di lettere e cifre è sicura.

Quante parole servono per una passphrase sicura?

Sei parole casuali da un elenco di 7.776 parole danno circa 77,5 bit, un obiettivo solido per la maggior parte degli account.

È sicuro lasciare che il browser salvi le password generate?

Per la maggior parte delle persone è una scelta ragionevole, a patto che il dispositivo abbia un blocco schermo e che il profilo del browser sia protetto. Il rischio principale riguarda il dispositivo, non la password.