Il conto bancario online, l'accesso alle email private, i siti delle utenze domestiche, sono solo alcuni dei servizi che per l'accesso richiedono l'inserimento di una password. In questi casi è importante fare attenzione alla complessità della parola o frase scelta. Infatti bisogna sapere che hacker o utenti malintenzionati, avendo a disposizione il tempo e il software giusto, non hanno nessuna difficoltà a scoprire password del tipo: "Pippo", "01/05/1972", "Antonio84".

Purtroppo dovendo mantenere a memoria una gran quantità di informazioni, spesso si tende a scegliere una password "facile". Come fare allora a coniugare semplicità e sicurezza realizzando così una password perfetta a prova di hacker? Buonaidea vi suggerisce alcuni metodi da adottare magari anche unendoli fra di loro per realizzare una chiave davvero "robusta".

CARATTERISTICHE DI UNA PASSWORD COMPLESSA

Per essere considerata inviolabile, una password deve apparire agli occhi di un malintenzionato come una stringa casuale di caratteri, abbastanza lunga. Di seguito alcuni criteri da tenere presenti per la creazione di una password perfetta:

• Lunghezza adeguata. Ogni carattere che si aggiunge alla password contribuisce ad aumentare la protezione. La password dovrebbe contenere un minimo di 8 caratteri ma è bene considerare che la lunghezza ideale è dai 14 caratteri in su. Molti sistemi supportano anche l'uso di spazi nelle password ed è quindi possibile creare una frase composta da più parole detta "passphrase". Una passphrase è più semplice da ricordare rispetto a una singola password, oltre che più lunga e più difficile da indovinare;
• Meno sono i tipi di caratteri utilizzabili nella password, più è importante aumentarne la lunghezza. Una password di 15 caratteri composta solo da numeri e lettere casuali è 33.000 volte più complessa rispetto a una password di 8 caratteri composta da caratteri disponibili sulla tastiera. Se non è possibile creare una password che contenga simboli, per ottenere lo stesso livello di protezione è necessario aumentarne la lunghezza. Una password ideale è lunga e contiene tipi di simboli diversi;
• Utilizzo di caratteri speciali e non solo dei caratteri più comuni. Le password sono molto più efficaci quando si scelgono i caratteri anche tra tutti i simboli a disposizione sulla tastiera, compresi i segni di punteggiatura presenti sulla riga superiore e i simboli caratteristici della propria lingua. Ancora meglio se si utilizzano i simboli che si ottengono tenendo premuto il tasto "MAIUSC" o "CTRL"+"MAIUSC" e digitando un numero o una lettera;
• Utilizzo di parole e frasi facili da ricordare, ma difficili da indovinare per gli altri. Il modo migliore per ricordare le proprie password e passphrase è annotarle. Al contrario di quanto si pensa comunemente, non c'è nulla di sbagliato nell'annotare le proprie password, purché siano conservate in un luogo sicuro.

GENERIAMO LA NOSTRA PASSWORD

• PRIMO METODO

Un modo potrebbe essere quello di adoperare le iniziali delle parole di una frase semplice da ricordare, per esempio:

Mi
Piace
Il
Gelato
Con
4
Gusti

Password: mpigc4g

• SECONDO METODO

Un altro sistema è quello di memorizzare una parola facile e poi digitarne ogni lettera sulla tastiera utilizzando il tasto in alto a destra (o in basso a sinistra) rispetto a quello della parola. Questo produce parole facili da memorizzare e abbastanza sicure visto che genera stringhe alfanumeriche senza senso. Per esempio, se la mia ragazza si chiamasse "Eleonora", e digitassi il suo nome un tasto sopra e a sinistra, la password sarebbe:

Password: £i39h94q

Ma bisogna fare attenzione se si usa una tastiera con un layout diverso, ad esempio quello americano. In questo caso le lettere sulla tastiera potrebbero essere in un ordine diverso rispetto a quella italiana.

• TERZO METODO

Qualcuno usa invertire le lettere di una parola a lui facile da ricordare ad esempio "Ricordamelo" sostituendo poi i caratteri "a" con "@", "i" con "1", ecc. :

Password: olem@droc1R

Metodo da usare con cautela in quanto molto facile da decifrare...

• QUARTO METODO

In alternativa si può creare, utilizzando magari un sistema automatico online come "SafePassword", una password "robusta" di 18 o più caratteri da imparare a memoria in una decina di minuti. Poi si usa questa password per i siti importanti, e solo i primi 6-8 caratteri per quelli meno, tipo forum, chat ed altro.

• QUINTO METODO

Password come mix di parole sconnesse tra di loro: ad esempio si può unire il numero di targa della macchina (BT450R) e il nome del cane (fido) oppure le iniziali di un libro e il prezzo dello stesso, ecc.

Password: BT450Rfido

• SESTO METODO

Similmente si possono creare password di 8 caratteri (il formato più accettato) e usare 2 numeri casuali, 5 caratteri per il progetto e 3 per il servizio. Ad esempio per l'account gmail di google si potrebbe usare:

due numeri casuali (45) + primi tre caratteri del progetto (Googl) + i primi tre del servizio (GmA)

password: 45GooglGmA

• SETTIMO METODO

Creare una password "robusta" da cui partire per crearne un'altra per ciascun servizio utilizzato. Ad esempio considerando come password iniziale "M.r17h50-t" per il servizio di posta GmaiL avremo:

password: GM.r17h50-tL

In questo modo si ha una password diversa per ogni servizio che è possibile recuperare ricordandone una sola.

CONSIGLI

Per esperienza, in genere, è preferibile adoperare due tipi di password: un tipo da utilizzare per servizi "importanti" tipo banca online e un altro per servizi "leggeri" tipo forum, chat, ecc. Per essere davvero inespugnabili, sarebbe auspicabile modificarle spesso, o almeno una volta all'anno, creando nuove password "importanti" e declassando a "leggere" quelle "importanti" dell'anno prima.

In questo modo, imparandone poche alla volta, si hanno sempre password sicure e nuove.

STRATEGIE DA EVITARE

Alcuni metodi utilizzati per creare le password sono molto prevedibili per i malintenzionati. Per evitare di creare password semplici da indovinare:

• Evitare sequenze o caratteri ripetuti. Password simili a "12345678", "444444", "abcdefg" o composte da lettere adiacenti sulla tastiera sono molto semplici da indovinare;
• Evitare sostituzioni di caratteri con numeri o simboli simili. Gli utenti malintenzionati abbastanza abili da decifrare una password non si lasceranno ingannare da sostituzioni con caratteri simili, ad esempio della lettera "i" con il numero "1" o della lettera "a" con il simbolo "@", come in "M1cr0$0ft" o "P@ssw0rd". Queste sostituzioni possono essere efficaci se combinate con altre misure di protezione, quali la lunghezza, gli errori ortografici o le variazioni da maiuscole a minuscole, che contribuiscono a rendere più complessa la password;
• Non utilizzare il nome di accesso. Non è consigliabile utilizzare come password una parte del proprio nome, la data di nascita, il codice fiscale o altre informazioni simili. Questi sono i primi tentativi messi in atto da un utente malintenzionato;
• Non utilizzare parole presenti sul vocabolario di una qualsiasi lingua. Gli utenti malintenzionati utilizzano strumenti sofisticati in grado di indovinare rapidamente le password composte da parole presenti in più dizionari, anche se con errori di ortografia, scritte al contrario o con sostituzioni. Tra queste sono comprese anche parole irriverenti o parole che non si pronuncerebbero mai in presenza dei propri figli;
• Non utilizzare la stessa password per più account. Se uno dei computer o sistemi online che utilizzano la password in questione viene attaccato, anche tutte le informazioni protette dalla stessa password saranno compromesse. È fondamentale utilizzare password diverse per ciascun sistema;
• Non utilizzare gli archivi online. Se gli utenti malintenzionati trovano le password memorizzate online o su un computer in rete, avranno accesso a tutte le informazioni protette con le medesime password.

UTILIZZARE LA "PASSWORD VUOTA" CON WINDOWS XP

Sui computer che utilizzano Windows XP, un account senza password non è accessibile in remoto da una rete o da Internet (l'opzione non è disponibile per Microsoft Windows 2000, Windows Me o versioni precedenti). Una password vuota (nessuna password) in un account è quindi più sicura di una password simile a "1234".  E' possibile scegliere una password vuota per l'account del computer quando vengono soddisfatti i seguenti criteri:

• Si utilizza un solo computer o diversi computer, ma non è necessario accedere alle informazioni di un computer da un altro;
• Il computer si trova in un luogo sicuro (coloro che hanno accesso al computer sono persone fidate).

Ma attenzione: l'uso di una password vuota non è sempre consigliabile. Ad esempio, un computer portatile utilizzato in luoghi diversi probabilmente non è sempre al sicuro ed è quindi consigliabile utilizzare in questo caso una password complessa.

SEGRETEZZA DELLE PASSWORD

Utilizzare password e passphrase con la stessa attenzione con cui si utilizzano le informazioni che proteggono.

• Non rivelare a nessuno password o passphrase. Il consiglio può sembrare scontato, ma nei luoghi di lavoro in particolare, è facile sentirsi dire "mi fai usare la tua postazione?" e spesso si accetta cedendo la password di accesso convinti di fare un favore ad un amico-collega. Invece è di primaria importanza non rivelare le password a nessuno ne ad amici ne a parenti (specialmente ai bambini) che possono divulgarle ad altre persone meno affidabili;
• Proteggere le password registrate. Prestare attenzione al luogo in cui si conservano le password registrate o annotate. Fate attenzione alla riservatezza. Trattate queste informazioni come trattereste le vostre chiavi di casa;
• Non inviare mai la password tramite posta elettronica anche se in riposta a una richiesta arrivata via email. Qualsiasi messaggio di posta elettronica in cui viene richiesta la propria password o viene indicato un sito Web da visitare per verificare la propria password è spesso un tentativo di frode. Tra questi messaggi spesso vi sono richieste di aziende o persone ritenute attendibili. Ricordate che la posta elettronica può essere intercettata quando è in transito e i messaggi che richiedono informazioni personali possono non provenire dal mittente indicato. Le frodi tramite "Phishing" in Internet vengono attuate mediante messaggi di posta elettronica falsificati, che inducono un utente a rivelare il proprio nome e le proprie password per rubarne l'identità;
• Modificare le password con regolarità. In questo modo è possibile tenere alla larga hacker e altri utenti malintenzionati. La complessità della password contribuisce a renderla sicura per molto tempo. Una password che contiene meno di 8 caratteri può essere utilizzata per una settimana circa, mentre una password con 14 o più caratteri (che segue le suddette regole) può essere utilizzata per molti anni;
• Non digitare la password in computer sui quali non si ha il controllo. I computer disponibili in Internet café, laboratori informatici dell'Università, sistemi condivisi, sale conferenze e sale di aspetto di un aeroporto non devono essere considerati sicuri per uso personale, ma solo per navigare in Internet in modo anonimo. Non utilizzare questi computer per controllare la posta elettronica, accedere a chat room, verificare l'estratto conto, controllare la posta aziendale o altri account che richiedono nome utente e password. Gli utenti malintenzionati possono utilizzare software semplici da installare che registrano la sequenza dei tasti digitati detti per questo "Keylogger". Questi applicativi consentono ai malintenzionati di ottenere tramite Internet tutte le informazioni digitate sulla tastiera di un computer. Ricordate: password e passphrase hanno la stessa importanza delle informazioni che proteggono.

STRUMENTI

E' possibile valutare l'efficacia della nuova password con lo strumento di controllo delle password. Un servizio online che non registra le informazioni ed è in grado di verificare l'efficacia delle password utilizzate. Il funzionamento è semplicissimo: basta inserire la password che si intende testare nell'apposito riquadro e il sistema mostra in tempo reale a video lo stato di complessità della stessa.

Per ricordare le password generate, può essere di aiuto utilizzare un portachiavi elettronico, magari gratuito ed open source, come Keepass, uno dei migliori password manager più scaricati.

PER CONCLUDERE 

Attenzione, la prima volta che ci si iscrive ad un servizio online è sempre meglio usare una password temporanea. A volte infatti sistemi automatici poco accorti, dopo la prima registrazione, spediscono i dati di login in chiaro... e addio sicurezza. Al primo accesso al servizio, si potrà modificare tranquillamente la password temporanea con quella definitiva.