Come creare una password sicura nel 2023: la lista di controllo per la sicurezza delle password

Potresti aver letto che gli account dei social media del fondatore e utente di Facebook Mark Zuckerberg sono stati "hackerati". Hackerato forse non è la parola giusta, dal momento che molte persone credono che la password di Zuck fosse tra i 117 milioni di password di LinkedIn trapelate di recente pubblicate online. Se questo è vero, significa che Zuckerberg ha utilizzato la stessa password per più siti web, permettendo al danno fatto dall'hack di LinkedIn di diffondersi in altre aree.

Se hai o vuoi un lavoro, è probabile che tu abbia anche un account LinkedIn e, se ne avevi uno nel 2012, probabilmente era uno degli account compromessi da quell'incidente. Usi ancora quella password ovunque? La nostra lista di controllo per la sicurezza delle password in 9 passaggi ti aiuterà a proteggere i tuoi account, che tu sia un CEO miliardario o semplicemente qualcuno a cui piace pubblicare video divertenti di gatti.

1. Non condividere mai la tua password

Nessuno, tranne te, dovrebbe mai conoscere la tua password. Non inviare mai la tua password via e-mail, non conservarla in un documento o scriverla su carta. Idealmente, la tua password dovrebbe essere solo nella tua testa e in un hash sul sistema a cui stai accedendo. Ecco un elenco di alcune delle persone a cui non dovresti mai e poi mai dare la tua password:

• Supporto tecnico
• Poliziotti
• Il tuo amico che è davvero fantastico
• Un giudice
• Mamma
• Qualcuno lo chiede in un'e-mail
• Il tuo capo
• Il famoso hacker Kevin Mitnick
• Letteralmente chiunque

La tua password è ciò che ti rende responsabile delle azioni intraprese con il tuo account. L'ingegneria sociale di una password di qualcuno è spesso molto più facile che "hackerare" il suo account. La maggior parte degli schemi *ishing ti induce a rinunciare alla tua password in un modo o nell'altro. Perché prendersi la briga di far saltare la cassaforte se puoi farla aprire al direttore della banca per te?

2. Crea una password complessa

Non basta una password qualsiasi, e il motivo è legato al modo in cui le password vengono violate. Se una persona cercasse di indovinare la tua password, potrebbe provare una decina di password al minuto, se è veloce. Un computer può indovinare molto, molto più velocemente. Quindi, quante permutazioni sono necessarie per ottenere la tua password? Ecco tre fattori chiave:

• Lunghezza. Ogni personaggio aumenta la complessità in modo esponenziale. Questo è il motivo per cui le password hanno in genere un requisito minimo di 8 caratteri.
• Set di caratteri. Ogni set di caratteri ha un certo numero di permutazioni. Ci sono 26 lettere minuscole, ma solo 10 cifre (0-9), quindi puoi vedere come "patata" sia più sicuro di "536871" dal punto di vista di una macchina che passa attraverso diverse combinazioni di caratteri.
• Parole comuni. La forza bruta non è l'unico metodo per decifrare una password. Un computer può eseguire un "attacco a dizionario" contro una password molto rapidamente, testando tutte le parole reali, che sono relativamente poche, rispetto all'enorme numero di permutazioni di caratteri possibili. All'improvviso, "patata" non è poi così grande come password, dopo tutto. Leggi il nostro post sugli attacchi di forza bruta per ulteriori informazioni.

La tua password dovrebbe essere una combinazione di almeno lettere maiuscole e minuscole e un numero (62 caratteri univoci e riutilizzabili, con 8 caratteri nella password significano 62 all'ottava potenza, o 2.1834011e+14 possibili combinazioni...) Includi un carattere speciale per aumentare la complessità, ma assicurati che il carattere sia supportato dal meccanismo che stai utilizzando, poiché alcuni non lo sono.

Infine, puoi trovare un numero qualsiasi di generatori di password online, che possono generare password estremamente complesse. Ma bisogna ricordarselo. E quando arrivi al passaggio 5, avere password separate per ogni account può essere troppo da chiedere con password di 18 caratteri generate casualmente.

3. Imposta un promemoria per modificare la password

Alcuni servizi richiedono modifiche regolari della password, mentre altri no. In caso contrario, è sempre un buon piano cambiare regolarmente la password. Questo passaggio riguarda la riduzione della finestra di danno. Tornando a Zuck, se la sua password è stata ottenuta nel 2012, non ha più motivo di essere in uso nel 2016.

Un semplice promemoria ogni sei mesi o addirittura un anno avrebbe impedito a questa vecchia violazione dei dati di compromettere qualsiasi cosa. Più spesso si cambia la password, più piccola è la finestra di una password compromessa che vale la pena. Questo è il motivo per cui i sistemi ad alta sicurezza utilizzano numeri generati casualmente che cambiano ogni pochi minuti come parte del loro modello di autenticazione. Cambiare la password regolarmente può sembrare fastidioso, ma non è nulla in confronto alla gestione di un account compromesso, al furto di identità o alla frode con carta di credito.

4. Non riutilizzare le password

L'alternanza tra le password non ha lo stesso effetto di cambiarle ogni volta con qualcosa di nuovo. Una volta che una password è stata compromessa, può essere sfruttata in qualsiasi momento, anche anni dopo, come ha scoperto Zuckerberg. Il riutilizzo di una password riapre la finestra di vulnerabilità per tale password. Apple iOS versioni 14 e successive hanno una funzione di sicurezza che identifica se stai riutilizzando le password tra più account e ti chiede di cambiarle.

5. Sito diverso, password diversa

Questo è quello su cui Zuck è stato davvero inchiodato. Limitare l'ambito della password impedisce a una password compromessa di sfruttare più aree. Anche l'aggiunta di una sezione da qualche parte nella tua password come "fb" per Facebook (ad esempio: BuFFDuD3fb) impedirà la maggior parte delle compromissioni cross-site, perché una volta che l'aggressore si rende conto che la stessa password non romperà il sito, dovrebbe quindi iniziare manualmente a indovinare le differenze, senza sapere se si tratta di una password completamente diversa.

È probabile che l'effetto completo della violazione dei dati di LinkedIn non sia ancora stato visto. Man mano che le combinazioni di e-mail/password vengono tentate su altri siti, gli utenti che si affidavano a un'unica password statica saranno compromessi. Questo effetto a catena su altri sistemi segue ogni volta gravi violazioni.

6. Proteggi le tue opzioni di ripristino

Questo passaggio ti protegge dalle persone, piuttosto che dai computer, che tentano di hackerare il tuo account. Fai attenzione a come reimpostare la tua password. Le domande e le risposte di sicurezza non devono essere informazioni disponibili pubblicamente, facilmente ricercabili o ampiamente note alle persone che ti conoscono.

Gli account di molte persone vengono violati da persone che conoscono nella vita reale. Se disponi di un account e-mail a cui verrà inviata una richiesta di reimpostazione della password, assicurati di avere accesso esclusivo a quell'account e che anch'esso abbia una password complessa.

7. Usa un gestore di password

Puoi utilizzare un gestore di password per archiviare le tue password. I principali browser dispongono di sistemi di archiviazione delle password, mentre le opzioni cloud come LastPass funzionano da qualsiasi computer con accesso a Internet. Ci sono pro e contro in questo metodo:

Considera che LastPass ha subito una violazione dei dati nel 2015 in cui informazioni sensibili sono state acquisite da hacker. La password principale crittografata non è stata compromessa, ma molte altre informazioni importanti lo sono state. La cosa importante da ricordare è che i gestori di password non sono magici: stai semplicemente esternalizzando la protezione delle tue password a qualcun altro.

8. Usa l'autenticazione a due fattori

L'unico account di Zuckerberg che non è stato violato è stato il suo Instagram, e questo perché "i sistemi di sicurezza di Instagram hanno impedito l'accesso a quell'account. Questo potrebbe riferirsi ad alcune cose, ma probabilmente significa l'autenticazione a due fattori (2FA) di Instagram impostata nel febbraio di quest'anno.

Probabilmente uno dei meccanismi più importanti disponibili, la 2FA, come suggerisce il nome, impedisce che la compromissione di un singolo fattore di autenticazione (la password) comprometta l'account. Il meccanismo funziona in genere richiedendo le informazioni di accesso tradizionali, quindi inviando una conferma a un dispositivo, di solito uno smartphone, come un SMS, una telefonata o una schermata di verifica della sicurezza in-app. Idealmente, solo la persona autorizzata avrebbe lo smartphone e potrebbe quindi accettare o rifiutare le richieste di autenticazione a seconda delle necessità.

Meccanismi più avanzati possono richiedere la bioautenticazione, come il passaggio dell'impronta digitale, che impedisce l'utilizzo di telefoni smarriti o rubati per emettere false conferme. La maggior parte delle app cloud offre ora la 2FA, con molte applicazioni tradizionali che seguono l'esempio. Vale la pena dedicare qualche secondo in più ogni volta che accedi per sapere che anche se la tua password viene violata, nessuno può accedere ai tuoi account.

Scopri di più sull'autenticazione a due fattori (2FA) >

9. Non lasciare Windows aperto

C'è una classica gag dei cartoni animati in cui uno dei personaggi lotta a lungo per forzare la serratura di una porta mentre l'altro personaggio entra da una finestra aperta. Non lasciare che questo sia il caso dei tuoi dati. Valuta se ci sono altri account che hanno accesso alle stesse informazioni che stai proteggendo. Sono sicuri come i tuoi? E le integrazioni? Hai provato quell'esilarante app per lo scambio di volti che richiedeva l'accesso a Twitter, Facebook e alle tue foto? Ha ancora accesso al tuo account?

La maggior parte dei servizi cloud ti consentirà di tenere traccia di quali integrazioni di terze parti hanno accesso e rimuovere tutto ciò che non è necessario. Se stai utilizzando un computer pubblico, assicurati di chiudere l'intero processo del browser quando hai finito. In caso contrario, i cookie di sessione potrebbero essere resi disponibili per la persona successiva, che non avrebbe nemmeno bisogno di effettuare l'accesso per accedere alle tue informazioni.

La gestione dell'identità digitale si trova in quella strana posizione tra il abbastanza nuovo da non essere curato da molte persone e il fatto che gli attacchi sofisticati cercano di sfruttarlo. Un nome utente e una password possono sembrare solo un po' di dati che si gettano nel cloud in qualsiasi momento, ma le conseguenze della compromissione sono molto reali e possono essere legali, finanziarie e personali.

Oppure possono essere divertenti, come quando l'account Twitter ufficiale della NFL è stato violato per fare affermazioni molto esagerate sulla morte di Roger Goodell. Secondo gli hacker, "hanno ottenuto la password di Twitter della NFL hackerando l'account di posta elettronica di un dipendente che gestisce i social media." Prenditi cura della tua password come faresti con la tua patente di guida o carta di debito. Seguire i passaggi che abbiamo descritto qui ti aiuterà a proteggerti dai tipi più comuni di hacking dell'account, ma la sicurezza è un'abitudine e tenerla in primo piano quando usi Internet ti ripagherà sempre.

Dai un'occhiata alle altre checklist di sicurezza di UpGuard:

• Server
• Sito web
• E-mail
• SQL