Sessione 2 · 60 minuti
Password e accessi
La password è la chiave di casa. E la casella di posta è il passe-partout: chi entra lì può reimpostare le password di quasi tutti gli altri servizi. Per questo vale la pena proteggerla bene.
Le tre regole d'oro
Lunga
Meglio una frase facile da ricordare e difficile da indovinare che otto caratteri contorti. La lunghezza conta più dei simboli strani.
Unica
Una password diversa per ogni servizio. Così se ne rubano una, gli altri account restano al sicuro.
Riservata
Non si condivide e non si scrive su post-it o file di testo. Per gli accessi condivisi si usa uno strumento apposito.
Quando cambiare la password
Non serve cambiarla in continuazione «per abitudine». Serve cambiarla nei momenti giusti:
- Subito, se sospetti che qualcuno l'abbia vista o se hai cliccato su un link sospetto e inserito le credenziali.
- Dopo una violazione nota di un servizio che usi (te lo segnala il provider o la stampa).
- Sugli account vecchi o condivisi di rete e sulle caselle di posta, da rivedere periodicamente.
- Quando una persona lascia il team: tutte le password condivise che conosceva vanno cambiate.
Due aiuti che cambiano tutto
Attiva l'autenticazione a due fattori (2FA / MFA) ovunque possibile, soprattutto sulla posta. E usa un gestore di password: ricorda lui le password lunghe e diverse, tu ricordi solo quella principale.
✓ Fai così
- Usa una passphrase lunga e un gestore di password.
- Attiva il secondo fattore sulla posta e sui servizi importanti.
- Cambia subito la password se temi sia stata esposta.
✗ Evita
- La stessa password su più siti.
- Password scritte su foglietti, email o file «password.txt».
- Condividere credenziali via chat o a voce.
Approfondimento · Intermedio — Perché il riuso è così pericoloso e come funziona la posta condivisa
Quando un sito viene violato, le coppie email+password finiscono in elenchi che circolano in rete. Gli attaccanti le provano automaticamente su decine di altri servizi (si chiama credential stuffing): se hai riusato la stessa password, entrano senza nemmeno doverla indovinare.
Secondo fattore: non sono tutti uguali
Il codice generato da un'app di autenticazione (TOTP) è più sicuro del codice via SMS, che può essere intercettato o dirottato. L'SMS resta comunque molto meglio di niente.
Accessi e risorse condivise
Per cartelle di rete, gestionali e caselle condivise è meglio dare a ciascuno il proprio accesso, così le azioni sono tracciabili. Dove serve per forza un account unico, conservane la password in un gestore di team con permessi, e cambiala quando qualcuno entra o esce dal gruppo.
Approfondimento · Avanzato — Come i siti custodiscono le password, e dove sta andando il settore
Un servizio fatto bene non conserva la tua password: ne salva una «impronta» calcolata con una funzione a senso unico (un hash con «sale»), da cui è impraticabile risalire all'originale. È il motivo per cui un sito serio non può «rimandarti» la vecchia password: può solo farne reimpostare una nuova.
Il futuro sono le passkey (standard FIDO2/WebAuthn): al posto della password, il dispositivo usa una chiave crittografica legata al servizio, immune al phishing perché non c'è nulla da digitare o rubare. Infine, conviene verificare se un proprio indirizzo è comparso in violazioni note tramite servizi di controllo dei data breach.