La maggior parte delle persone ha decine di account: posta, banca, social, negozi online, servizi di streaming, piattaforme di lavoro. Nessuno riesce a ricordare decine di password lunghe e diverse. La conseguenza è prevedibile: si usano poche password, con piccole variazioni, ovunque. Ed è proprio qui che nasce il problema.
Il vero rischio è il riutilizzo
Quando un sito subisce una violazione, gli elenchi di email e password finiscono spesso in circolazione. Chi li ottiene li prova automaticamente su altri servizi: posta, social, negozi, banche. Questa tecnica si chiama credential stuffing e funziona perché molte persone usano la stessa combinazione ovunque.
Una password complessa ma riutilizzata è quindi più pericolosa di quanto sembri: basta che uno solo dei servizi in cui la usi venga violato, e tutti gli altri diventano vulnerabili. La regola che conta davvero è semplice: una password diversa per ogni account.
Come funziona un password manager
Un password manager è un archivio cifrato che conserva le tue credenziali. Lo apri con una sola password principale (la master password), che è l'unica da ricordare. Il resto lo fa lui:
- genera password lunghe e casuali per ogni nuovo account;
- le memorizza in modo cifrato;
- le compila automaticamente sul sito giusto;
- le sincronizza tra computer e smartphone, se lo desideri.
Un vantaggio spesso sottovalutato: il password manager associa ogni credenziale al dominio del sito. Se finisci su una pagina falsa che imita la tua banca, il programma non propone la password, perché il dominio non corrisponde. È un'ottima difesa indiretta contro il phishing.
Criteri per sceglierlo
Cifratura lato client
Le password devono essere cifrate sul tuo dispositivo prima di essere inviate al cloud, in modo che nemmeno il fornitore possa leggerle. I fornitori seri descrivono pubblicamente questa architettura.
Trasparenza e verifiche indipendenti
Preferisci prodotti che pubblicano audit di sicurezza condotti da terze parti, o che hanno codice sorgente aperto e verificabile. Non è una garanzia assoluta, ma indica un approccio responsabile.
Supporto all'autenticazione a due fattori
L'accesso all'archivio dovrebbe poter essere protetto anche da un secondo fattore, come un'app di autenticazione o una chiave di sicurezza fisica.
Compatibilità
Deve funzionare sui sistemi che usi davvero: Windows, macOS, Linux, Android, iOS e i browser principali. Uno strumento scomodo finisce per non essere usato.
Condivisione sicura
In famiglia o in un piccolo ufficio è utile poter condividere alcune credenziali (per esempio il Wi-Fi o un account comune) senza mandarle in chiaro per messaggio.
Esportazione
Controlla che sia possibile esportare i dati in un formato standard: se un giorno vorrai cambiare prodotto, non devi restare bloccato.
Integrato nel browser o dedicato?
I gestori integrati nei browser e nei sistemi operativi sono migliorati molto e sono comunque meglio di una password ripetuta ovunque. Un password manager dedicato offre di solito più funzioni: note sicure, condivisione, controllo delle password deboli o trapelate, funzionamento uniforme su browser diversi. Se usi un solo ecosistema, quello integrato può bastare; se lavori su dispositivi misti, uno dedicato è più comodo.
La master password
È la chiave di tutto, quindi va scelta con cura:
- deve essere lunga: una frase di quattro o cinque parole casuali è più robusta e più facile da ricordare di una parola con simboli;
- deve essere unica: non usarla da nessun'altra parte;
- va protetta con un secondo fattore;
- conviene annotare il codice di recupero su carta e conservarlo in un luogo sicuro, perché molti servizi non possono reimpostare la master password al posto tuo.
Come iniziare senza stress
Non serve cambiare tutte le password in un pomeriggio. Un approccio graduale funziona meglio:
- Installa il password manager e crea la master password.
- Inizia dagli account critici: email principale, banca, account del telefono (Apple o Google), lavoro.
- Per ciascuno, genera una nuova password casuale e attiva la verifica in due passaggi.
- Per tutti gli altri account, aggiorna la password la prossima volta che ci accedi.
- Usa la funzione di controllo per individuare password deboli, ripetute o comparse in violazioni note.
L'email principale merita un'attenzione particolare: chi controlla la tua casella può reimpostare quasi tutte le altre password tramite i link di recupero.
Un timore comune
"E se violano il password manager?" È una domanda legittima. Un archivio ben progettato è cifrato con la tua master password: anche se qualcuno sottraesse i dati dal fornitore, senza quella password vedrebbe solo informazioni illeggibili. Il rischio residuo esiste, ma è molto inferiore a quello di usare la stessa password su trenta siti.
In sintesi
- Il rischio principale non è la password debole, ma quella riutilizzata.
- Un password manager genera, conserva e compila password uniche per ogni sito.
- Sceglilo con cifratura lato client, verifiche indipendenti, secondo fattore e esportazione dei dati.
- La master password deve essere lunga, unica e protetta da un secondo fattore.
- Parti dagli account critici, a cominciare dall'email principale.