Password e passkey

Da luglio 2025 lo standard statunitense NIST SP 800-63B-4 stabilisce che una password usata da sola deve avere almeno 15 caratteri, e che i servizi non devono obbligarti a cambiarla a scadenza fissa.

«Summer2024!» rispetta tutte le regole. Allora perché è debole?

Molti credono ancora che una password forte richieda una maiuscola, una cifra e un simbolo, e che cambiarla ogni 90 giorni la mantenga sicura. I moduli di registrazione l'hanno insegnato per anni. Guarda che cosa hanno prodotto quelle regole. «Summer2024!» le rispetta tutte. Novanta giorni dopo diventa «Autumn2024!», e chi ha visto la prima può indovinare la seconda. Le regole hanno reso le password più difficili da ricordare senza renderle molto più difficili da indovinare.

Che cosa chiede invece lo standard statunitense del 2025

L'attuale linea guida statunitense, NIST Special Publication 800-63B-4, definitiva da luglio 2025, ribalta quelle abitudini. Una password usata da sola deve avere almeno 15 caratteri. Se è solo una parte di un accesso a più fattori, il minimo è 8. I servizi dovrebbero ammettere almeno 64 caratteri e accettare gli spazi e tutti i caratteri stampabili, e non devono imporre altre regole di composizione come «un simbolo». Non devono nemmeno imporre cambi periodici. Un cambio è richiesto solo quando ci sono prove che la password sia trapelata. Il NIST chiede anche ai servizi di confrontare ogni nuova password con una lista di blocco di password comuni, prevedibili o già trapelate, perché una password comparsa in una violazione non è più segreta, per quanto sia lunga.

Contare quello che chi tira a indovinare deve passare in rassegna

Perché vince la lunghezza? Ogni carattere in più moltiplica il numero di password possibili. Otto lettere minuscole danno 26 alla 8, circa 209 miliardi di combinazioni. Un computer che mette alla prova un file di password rubato le passa in rassegna in fretta. Quattro parole scelte a caso da un elenco di 7776 danno circa 3.66 × 10¹⁵. La tabella mostra quanto crescono in fretta i conteggi, e l'esercizio di codice più sotto ti fa calcolare due di essi.

Perché una fuga di dati si estende ad altri account

La CISA, l'agenzia statunitense per la cybersicurezza, riassume una password forte in tre parole: lunga (almeno 16 caratteri), casuale e unica per ogni account. Casuale può voler dire una sequenza di caratteri misti oppure una passphrase di quattro-sette parole senza legami tra loro. Unica è la cosa più importante. Quando un sito subisce una fuga di dati, i criminali provano la stessa email e la stessa password su altri siti, quindi una password riutilizzata trasforma una violazione in molte. Nessuno riesce a ricordare decine di password lunghe e casuali. Per questo sia la CISA sia il NIST sostengono i gestori di password, programmi che generano, conservano e compilano le password, così ne ricordi una sola. Il NIST dice che i servizi devono consentire i gestori di password e la compilazione automatica, e dovrebbero consentire di incollare.

Una passkey non lascia niente da digitare e niente da rubare

Una passkey sostituisce il segreto condiviso con la crittografia a chiave pubblica. MDN la descrive come una coppia di chiavi legata al tuo account su un sito web. La chiave privata resta in un autenticatore sul tuo dispositivo o collegato a esso, e la sblocchi con il PIN, l'impronta o il volto. La chiave pubblica sta sul server del sito. Per accedere, il sito invia una sfida e il tuo dispositivo la firma. Non si digita niente di segreto. E niente di segreto è conservato sul server, quindi una violazione del server non fa trapelare nulla di riutilizzabile. Ogni passkey è anche legata al dominio del sito, il che significa che una pagina di phishing che lo imita non la può usare. Il NIST considera questo tipo di accesso crittografico resistente al phishing e le password no, e consente passkey sincronizzate tra i tuoi dispositivi.

Da dove cominciare? Dai prima al tuo account email una passphrase lunga, perché con l'account email si reimpostano gli altri. Se usi un gestore di password, quella passphrase diventa l'unica password da ricordare. Poi cambia ogni password che sai di aver riutilizzato, partendo dagli account bancari e degli acquisti. Quando un sito ti propone di creare una passkey, dire di sì è di solito il miglioramento più rapido. Puoi tenere la password come riserva.