In famoso consiglio per la sicurezza dello scienziato Clifford Stoll suggerisce: “Considera la tua password come lo spazzolino da denti: non darla a nessuno e cambiala ogni sei mesi”.
Si sa, i consigli sulla sicurezza lasciano il tempo che trovano. Conoscerli procura una piacevole sensazione di tranquillità, ma l’efficacia dipende dalla loro applicazione e dall’evoluzione della tecnologia. I consigli tradizionali sono troppo semplici per un mondo complesso, fatto di migliaia di banche online, shop e servizi web e milioni di dispositivi mobili da proteggere con una password.
Diversamente dallo spazzolino da denti, le password non stanno in casa, ma nelle banche dati dei server dei servizi web, pronte per il prossimo login dell’utente. A volte sono addirittura cifrate malamente, e i server subiscono attacchi da parte degli hacker. Sony è stata colpita, cosi come Yahoo, Gamigo, Linkedln e, recentemente, anche Evemote (si veda qui a destra). Poco importa se la password è appena stata cambiata o se è quella usata da anni, se è corta e banale tipo [12345] oppure complicata come [Hc84#6gBm7§_v], negli attacchi hacker sopra menzionati sono state sottratte password di tutti i tipi.
Banalmente, siamo costretti a ricorrere alla password perché i servizi web non propongono soluzioni alternative. In realtà, generare una password sicura e facile da ricordare è semplice, se si conoscono i trucchi degli hacker. Non utilizzare parole di senso compiuto, nemmeno sostituendo la “i” con la “1” o la “E” con un “3”. Negli attacchi su un determinato gruppo di password (attacchi vocabolario) i ladri di password sono addirittura passati al tentativo automatizzato. La password non dovrebbe essere nemmeno troppo corta perché gli attacchi Brute Force riescono a riconoscere in meno di un minuto anche una serie di simboli strani, purché la password contenga solo sei simboli (stando a quanto riportato sul sito howsecureismypassword.net). Ma soprattutto non bisogna mai usare sempre la stessa password; se gli hacker si impossessano di questa password ricorrente da una pagina web, anche gli altri account sono a rischio.
Markus lakobsson, direttore di ricerca per la sicurezza dell’utente presso PayPal, rivela una facile strategia da impiegare per generare le password: “Combinare una password generale con una password più specifica“.
Alla password generale, per esempio Hc84# (niente iniziali o date di nascita), basta aggiungere una serie di caratteri che varia per ciascun sito. “Evitare di utilizzare caratteri prevedibili, come il nome della pagina web”, suggerisce lakobsson, e optare per una cosa tipo Oceano 8 per collegarsi a Facebook (in riferimento al blu dell’icona di Facebook e al numero di lettere che compongono la parola Facebook).
Lakobsson suggerisce di scriversi le parti variabili della password, specifiche per ogni sito, e di portarle sempre con sé oppure tenerle a casa, l’importante è che siano separate dalla password generale.
