Robustezza e criteri delle password

Nonostante la diffusione dell'MFA e dell'autenticazione senza password, le password rimangono il fattore di autenticazione più comune. Una password debole è il punto di accesso iniziale più comune nelle violazioni.

Le password robuste hanno:

• Lunghezza — 16 o più caratteri aumentano significativamente l'entropia
• Complessità — combinazione di maiuscole, minuscole, numeri e simboli
• Imprevedibilità — nessuna parola del dizionario, sequenza di tasti o informazione personale
• Unicità — una password diversa per ogni account

L'entropia misura l'imprevedibilità in bit. Per una password che usa 94 caratteri ASCII stampabili, ogni carattere aggiunge circa 6,5 bit. Una password di 16 caratteri ha circa 104 bit di entropia ed è praticamente impossibile da decifrare con la forza bruta.

La lunghezza è più importante della complessità: "correcthorsebatterystaple" > "P@ss1".

Gli attaccanti sanno che gli utenti scelgono:

• Parole del dizionario con semplici sostituzioni (p@ssw0rd)
• Informazioni personali (data di nascita, nome dell'animale domestico)
• Sequenze di tasti (qwerty, 123456)
• Nome dell'azienda + anno
• La stessa password ovunque

Policy efficaci sulle password (secondo NIST SP 800-63B):

• Minimo 8 caratteri (preferibilmente 12 o più)
• Verificare le password rispetto agli elenchi di password compromesse note
• NON richiedere il cambio obbligatorio frequente (incoraggia l'uso di password deboli)
• NON imporre regole arbitrarie sulla complessità che gli utenti possono aggirare
• Consentire di incollare il testo per permettere l'uso dei password manager

Un password manager genera e memorizza password robuste e uniche per ogni account, proteggendole con un'unica password principale. Questo elimina il riutilizzo delle password, la causa principale del credential stuffing.

Opzioni diffuse: Bitwarden (open source), 1Password, KeePass, Dashlane.

Una passphrase — composta da quattro o più parole casuali — combina facilità di memorizzazione ed elevata entropia. "TrafficLampFrogBridge" è più sicura di "T!@#k7" ed è molto più facile da ricordare e digitare.

Per gli ambienti aziendali:

• Imporre una lunghezza minima tramite Group Policy / IdP
• Bloccare le password di uso comune (elenco delle 100.000 più usate)
• Abilitare l'MFA per tutti gli account
• Monitorare nei log i pattern di password spraying e forza bruta
• Usare LAPS per la rotazione delle password degli amministratori locali

HaveIBeenPwned (HIBP) di Troy Hunt contiene miliardi di credenziali rubate. Le organizzazioni possono usare l'API di HIBP per bloccare le password presenti in violazioni note.

Gli utenti possono verificare il proprio indirizzo email su haveibeenpwned.com.

I sistemi biometrici (impronta digitale, volto) sono comodi, ma presentano dei limiti: non possono essere modificati se vengono compromessi. È preferibile usarli come secondo fattore insieme a una password robusta, non come sostituzione.

Le passkey (FIDO2/WebAuthn) stanno sostituendo le password con coppie di chiavi crittografiche. La chiave privata non lascia mai il dispositivo. Sono progettate per resistere al phishing: non c'è alcuna password da rubare. Sono state adottate da Apple, Google e Microsoft.

Secondo NIST SP 800-63B, quale pratica è consigliata per migliorare la sicurezza delle password?

Le password robuste si basano più sulla lunghezza e sull'unicità che su regole complesse per i caratteri. I password manager risolvono il problema del riutilizzo. Le linee guida NIST consigliano di verificare le password nei database delle violazioni invece di imporre cambi frequenti. Le passkey (FIDO2) rappresentano il futuro dell'autenticazione resistente al phishing.