Come scegliere una password sicura
Per capire come scegliere correttamente una password prendiamo in considerazione le tecniche più usate per captare una password altrui, suggerendo qualche rimedio per scongiurare il pericolo.
Un malintenzionato può scoprire una password:
- ... vedendola digitare dal proprietario, o trovandola annotata da qualche parte.
E' inutile costruire una password sicura se poi viene digitata con leggerezza in presenza di altre persone, o viene annotata in bella vista sulla propria agenda.
- ... conoscendone il proprietario e provando manualmente una serie di password che fanno riferimento alla persona stessa
La password non deve essere in nessun modo riconducibile alla propria persona, altrimenti un conoscente potrebbe facilmente scoprirla. Esempi classici sono la data di nascita, il nome del partner, il numero cellulare, il colore preferito, ecc ecc…
- .... avendo accesso al pc della vittima e trovando la password utilizzando degli appositi programmi di password recovery.
Evitare che le password vengano salvate sul nostro pc o peggio ancora su un computer usato da molti utenti (all’interno del registro di sistema). Quando si accede ad un servizio si eviti di spuntare la classica checkbox “ricorda la password su questo computer” o simili. In questo modo la password non viene salvata sul pc e non è possibile recuperarla con nessun programma. Inoltre per evitare accessi non autorizzati al nostro pc, oltre a mettere una password sicura per l’accesso al sistema operativo, è buona norma impostare l’attivazione dello screensaver almeno ogni 15 minuti di inattività proteggendo il ritorno al sistema operativo con password.
- ...effettuando un attacco attraverso un software che prova in automatico tutte le password contenute in uno specifico dizionario
Per evitare la riuscita si un siffatto attacco è importante non utilizzare parole di senso compiuto come password, esistono infatti dei software in grado di attaccare un sistema (come ad ad esempio un server di posta) provando in rapida successione tutte le parole contenute in un dizionario della lingua italiana, fino a scoprire quella che da l’accesso al servizio.
- ... effettuando un attacco che prova tutte le possibili combinazioni di password (attacco di tipo Brute Force).
Per rendere inefficace questo metodo di attacco è necessario che la nostra password sia composta dal almeno 8 caratteri alfanumerici, possibilmente con un mix di caratteri in maiuscolo/minuscolo, cifre e caratteri speciali. In questo modo si aumenta a dismisura il numero di combinazioni da esaminare e provare in rapida sucessione. Un attacco "brute force" su una password robusta (diversi miliardi di combinazioni) può richiedere periodo di tempo tale che rende tecnicamente molto difficile l’attacco.
- ...rispondendo alla domanda segreta che alcuni servizi permettono di impostare durante la registrazione per permettere all’utente recuperare o cambiare la password smarrita
Se si intende avvalersi di queste facilitazioni è bene difendersi inserendo la parola che risponde alla domanda "arricchita" con caratteri alfanumerici aggiuntivi. Ad esempio se la domanda è “il nome del tuo gatto” e la risposta è “fuffy” potreste inserire “$fuffi&&” . Questo serve a scongiurare il pericolo che una persona che vi conosce saprebbe rispondere immediatamente alla domanda e potrebbe scoprire la vostra password.
- ...operando un phishing, ovvero inviando alla vittima una falsa email dove spacciandosi per il gestore del servizio (ad esempio il provider presso il quale si ha l’indirizzo email) si chiede di inviare la propria password, giustificando la richiesta con fantomatici aggiornamenti del database.
E' bene sapere che nessun provider o gestore di servizi informatici richiede ai propri utenti di inviare la propria password nè per email, nè con altro sistema. Pertanto non bisogna rispondere al messaggio ma segnalare eventualmente l’accaduto alle autorità competenti visto che si tratta di una tentata truffa informatica.
Si ricorda che è comunque consigliabile:
- rinnovare(cambiandola) una password almeno ogni 6 mesi
- non utilizzare la stessa password per tutti i servizi che richiedono una autenticazione
- avvalervi, se proprio siete pigri, di alcuni servizi gratuiti che vi aiutano nella scelta della password, come ad esempio PasswordBird.
