Creazione di password complesse

Creazione di password complesse utilizzando i gestori di password

Il riutilizzo delle password è una pratica di sicurezza eccezionalmente scorretta. Se un malintenzionato entra in possesso di una password che hai riutilizzato su più servizi, può accedere a molti dei tuoi account. Questo è il motivo per cui è così importante disporre di password multiple, complesse e univoche.

Fortunatamente, un gestore di password può aiutare. Un gestore di password è uno strumento che crea e memorizza le password per te, così puoi utilizzare molte password diverse su siti e servizi diversi senza doverle memorizzare. Gestori di password:

generare password complesse che difficilmente un essere umano potrebbe indovinare.
memorizzare diverse password (e risposte alle domande di sicurezza) in modo sicuro.
proteggi tutte le tue password con un'unica master password (o passphrase).

KeePassXC è un esempio di gestore di password open-source e gratuito. Puoi tenere questo strumento sul tuo desktop o integrarlo nel tuo browser web . KeePassXC non salva automaticamente le modifiche apportate durante l'utilizzo, quindi se si blocca dopo aver aggiunto alcune password, puoi perderle per sempre. Puoi cambiarlo nelle impostazioni.

Ti stai chiedendo se un gestore di password è lo strumento giusto per te? Se un potente avversario come un governo ti prende di mira, potrebbe non esserlo.

Ricorda:

l'utilizzo di un gestore di password crea un singolo punto di errore.
i gestori di password sono un obiettivo ovvio per gli avversari.
la ricerca suggerisce che molti gestori di password hanno vulnerabilità.

Se hai deciso di utilizzare un gestore di password visitando questo link potrai decidere quale utilizzare:

Creare password sicure con un password manager

Se sei preoccupato per i costosi attacchi digitali, prendi in considerazione qualcosa di più low-tech. Puoi creare password complesse manualmente (vedi "Creazione di password complesse usando i dadi" di seguito), annotarle e conservarle in un luogo sicuro con te.

Aspetta, non dovremmo tenere le password nella nostra testa e non scriverle mai? In realtà, scriverli e tenerli da qualche parte come il tuo portafoglio, è utile in modo da sapere almeno se le tue password scritte scompaiono o vengono rubate.

Come creare password complesse

Ci sono alcune password che dovresti memorizzare e che devono essere particolarmente forti. Questi includono:

password per il tuo dispositivo
password per la crittografia (come la crittografia dell'intero disco)
la password principale, o " passphrase ", per il tuo gestore di password
la tua password di posta elettronica

Una delle molte difficoltà quando le persone scelgono le password da sole è che le persone non sono molto brave a fare scelte casuali e imprevedibili . Un modo efficace per creare una password forte e memorabile consiste nell'usare i dadi e un elenco di parole per scegliere le parole in modo casuale. Insieme, queste parole formano la tua "passphrase". Una "passphrase" è un tipo di password più lungo per una maggiore sicurezza. Per la crittografia del disco e il tuo gestore di password, ti consigliamo di selezionare un minimo di sei parole.

Perché usare un minimo di sei parole? Perché usare i dadi per scegliere le parole in una frase a caso? Più lunga e casuale è la password, più difficile sarà indovinare sia per i computer che per gli umani.

Prova a creare una passphrase utilizzando uno degli elenchi di parole di EFF .

Se il tuo computer o dispositivo viene compromesso e viene installato uno spyware, lo spyware può osservarti mentre digiti la tua password principale e potrebbe rubare il contenuto del gestore di password. Quindi è ancora molto importante mantenere il tuo computer e altri dispositivi puliti da malware quando utilizzi un gestore di password.

Possiamo prendere tutti gli accorgimenti che vogliamo per la privacy, usare la crittografia, le VPN, le email cifrate o altro, ma se le password dei nostri account e delle nostre chiavi crittografiche non sono sicure la sicurezza che vogliamo raggiungere sarà vanificata. A questo scopo è importante vedere le regole per creare password sicure indecrittabili:

Una parola sulle "domande sulla sicurezza"

Fai attenzione alle "domande di sicurezza" che i siti web utilizzano per confermare la tua identità. Le risposte oneste a queste domande sono spesso fatti rilevabili pubblicamente che un determinato avversario può facilmente trovare e utilizzare per ignorare completamente la tua password.

Invece, dai risposte fittizie che nessuno conosce tranne te. Ad esempio, se la domanda di sicurezza chiede:

"Qual era il nome del tuo primo animale domestico?"

La tua risposta potrebbe essere una password casuale generata dal tuo gestore di password. Puoi memorizzare queste risposte fittizie nel tuo gestore di password.

Pensa ai siti in cui hai utilizzato domande di sicurezza e valuta la possibilità di modificare le tue risposte. Non utilizzare le stesse password o risposte alle domande di sicurezza per più account su siti Web o servizi diversi.

Sincronizzare le tue password su più dispositivi

Molti gestori di password ti consentono di accedere alle tue password su tutti i dispositivi tramite una funzione di sincronizzazione delle password. Ciò significa che quando sincronizzi il file della password su un dispositivo, lo aggiornerà su tutti i tuoi dispositivi.

I gestori di password possono archiviare le tue password "nel cloud", ovvero crittografate su un server remoto. Quando hai bisogno delle tue password, questi gestori recupereranno e decrittograferanno automaticamente le password per te. I gestori di password che utilizzano i propri server per archiviare o aiutare a sincronizzare le password sono più convenienti, ma sono leggermente più vulnerabili agli attacchi. Se le tue password sono memorizzate sia sul tuo computer che nel cloud, un utente malintenzionato non ha bisogno di prendere il controllo del tuo computer per scoprire le tue password. (Dovranno però violare la passphrase del tuo gestore di password).

Se questo è preoccupante, non sincronizzare le tue password sul cloud e scegli invece di memorizzarle solo sui tuoi dispositivi.

Conserva un backup del database delle password per ogni evenienza. Avere un backup è utile se perdi il database delle password in un arresto anomalo o se il tuo dispositivo ti viene portato via. I gestori di password di solito hanno un modo per creare un file di backup oppure puoi utilizzare il tuo normale programma di backup.

Autenticazione a più fattori e password monouso

Le password forti e uniche rendono molto più difficile per i malintenzionati accedere ai tuoi account. Per proteggere ulteriormente i tuoi account, abilita l'autenticazione a due fattori.

Alcuni servizi offrono l'autenticazione a due fattori (chiamata anche 2FA, autenticazione a più fattori o verifica in due passaggi), che richiede agli utenti di possedere due componenti (una password e un secondo fattore) per accedere al proprio account. Il secondo fattore potrebbe essere un codice segreto una tantum o un numero generato da un programma in esecuzione su un dispositivo mobile.

L'autenticazione a due fattori tramite telefono cellulare può essere eseguita in due modi:

il tuo telefono può eseguire un'applicazione di autenticazione che genera codici di sicurezza (come Google Authenticator o Authy) oppure puoi utilizzare un dispositivo hardware autonomo (come YubiKey).
il servizio può inviarti un messaggio di testo SMS con un codice di sicurezza aggiuntivo che devi digitare ogni volta che accedi.

Se puoi scegliere, scegli l'applicazione di autenticazione o il dispositivo hardware autonomo invece di ricevere i codici tramite messaggio di testo. È più facile per un utente malintenzionato reindirizzare questi codici al proprio telefono piuttosto che bypassare l'autenticatore.

Alcuni servizi, come Google, consentono anche di generare un elenco di password monouso, chiamate anche password monouso. Questi sono pensati per essere stampati o scritti su carta e portati con te. Ognuna di queste password funziona solo una volta, quindi se una viene rubata da uno spyware quando la inserisci, il ladro non sarà in grado di usarla per nulla in futuro.

A volte, dovrai rivelare la tua password

Le leggi sulla rivelazione delle password variano da luogo a luogo. In alcune giurisdizioni potresti essere in grado di contestare legalmente una richiesta per la tua password, mentre in altre, le leggi locali consentono al governo di richiedere la divulgazione e persino di imprigionarti con il sospetto che tu possa conoscere una password o una chiave . Le minacce di danni fisici possono essere utilizzate per costringere qualcuno a rinunciare alla propria password. Oppure potresti trovarti in una situazione, come viaggiare attraverso un confine, in cui le autorità possono ritardarti o sequestrare i tuoi dispositivi se ti rifiuti di fornire una password o sbloccare il tuo dispositivo.

EFF ha preparato una guida separata per attraversare il confine degli Stati Uniti che fornisce consigli su come gestire le richieste di accesso ai dispositivi durante il viaggio da o verso gli Stati Uniti. In altre situazioni, dovresti pensare a come qualcuno potrebbe costringere te o altri a rinunciare alle tue password e quali sarebbero le conseguenze.

Autodifesa dalla sorveglianza

Creazione di password complesse