Come creare una password casuale efficace (e ricordarla effettivamente)

La maggior parte delle password non viene risolta indovinando brillantemente. Sono rotti perché sono brevi, riutilizzati o costruiti secondo modelli prevedibili. Una password casuale complessa rimuove completamente il pattern.

Punti chiave

• La casualità conta più delle regole di sostituzione intelligenti.
• La lunghezza è il modo più semplice per aggiungere forza.
• Utilizza una password univoca per ogni account.
• Memorizza le password in un gestore di password, non nella tua memoria o in un foglio di calcolo.
• Attiva l'autenticazione a due fattori ovunque sia disponibile.

Perché le password scelte dagli umani falliscono

Le persone sono brave a trovare schemi e cattive a essere imprevedibili. Le scelte più comuni si concentrano attorno a nomi, date, squadre sportive, utilizzo della tastiera e la stessa manciata di sostituzioni: a diventa @, o diventa 0 e alla fine appare un punto esclamativo.

Gli aggressori conoscono queste abitudini. Utilizzano dizionari di password trapelate, regole che espandono tali dizionari e hardware veloce. Una password come Estate2026! può sembrare complesso, ma segue uno schema previsto dagli strumenti di cracking delle password.

La generazione casuale evita il problema del modello. Invece di chiedere a una persona di inventare l'imprevedibilità, un generatore estrae i personaggi da un set definito utilizzando una fonte casuale sicura. Il risultato potrebbe essere più difficile da memorizzare, motivo per cui un gestore di password fa parte del flusso di lavoro.

Entropia: il numero che conta

L’entropia misura l’incertezza in bit. Se una password viene scelta in modo uniforme da un insieme di possibilità, la sua entropia è il logaritmo in base 2 del numero di possibilità. Un PIN di quattro cifre ha circa 13 bit di entropia. Una password casuale di 16 caratteri ricavata da 94 caratteri stampabili ha molto di più.

L’entropia non è la stessa cosa della lunghezza. Una password di 20 caratteri composta da una frase prevedibile può avere meno entropia reale di una password casuale di 12 caratteri. Ciò che conta è quante scelte ugualmente probabili un utente malintenzionato deve prendere in considerazione.

Per la maggior parte degli account online, una password casuale di almeno 16 caratteri è un valore predefinito sicuro. Venti o più caratteri sono migliori quando il servizio lo consente. La soglia esatta dipende dal modello di minaccia e dai limiti di velocità del servizio, ma stringhe casuali più lunghe raramente sono una cattiva idea.

Lunghezza rispetto alla complessità

Le policy relative alle password spesso richiedono lettere maiuscole, minuscole, numeri e simboli. Queste regole possono aiutare, ma la lunghezza funziona di più. Ogni carattere casuale aggiuntivo moltiplica lo spazio di ricerca. Anche aumentare il set di caratteri aiuta, ma l'effetto dell'aggiunta di un carattere è solitamente più ampio e su cui è più facile ragionare.

Un approccio pratico consiste nell'utilizzare la password più lunga accettata da un servizio, con una combinazione di tipi di caratteri. Se la lunghezza massima di un sito è 12 caratteri, utilizza la lunghezza intera e includi tutti i tipi di caratteri consentiti. Se accetta 64 caratteri, non fermarti a 12.

Personaggi simili e usabilità

Caratteri come 0 e O, o 1, l e I, sono facili da confondere quando una password viene letta ad alta voce o digitata da uno schermo. Molti generatori offrono un'opzione di esclusione dei sosia. Ciò riduce leggermente il set di caratteri ma rende l'immissione manuale meno soggetta a errori.

L'usabilità è parte della sicurezza. Una password così difficile da inserire che qualcuno la scrive su un foglietto adesivo non aiuta. Utilizza un gestore di password per copiare e incollare e riservare le password digitate manualmente per i pochi posti in cui la compilazione automatica non è disponibile.

Passphrase per gli esseri umani, stringhe casuali per le macchine

Una passphrase composta da diverse parole scelte casualmente può essere forte e memorabile. Da cinque a sette parole da un ampio elenco di parole possono fornire una sostanziale entropia, soprattutto quando le parole vengono scelte in modo uniforme e l'elenco è ampio.

Utilizza una passphrase per la password principale che devi ricordare. Utilizza lunghe stringhe casuali per i singoli account archiviati nel gestore password. Ciò combina la memoria umana con l’unicità generata dalla macchina.

Archiviazione, riutilizzo e autenticazione a due fattori

Una password complessa è solo una parte della sicurezza dell'account:

• Utilizza un gestore di password affidabile con una password principale complessa.
• Genera una password univoca per ogni account.
• Abilita l'autenticazione a due fattori, preferibilmente una chiave hardware o un'app di autenticazione.
• Conserva i codici di ripristino in un luogo sicuro e offline.
• Modificare immediatamente una password se un servizio segnala una violazione.

Il riutilizzo di una password trasforma una violazione in molte. Un gestore di password rende pratiche le password univoche perché devi solo ricordare la password principale.

Come funziona il generatore di password su questo sito

Il generatore utilizza crypto.getRandomValues() e viene eseguito interamente nel tuo browser. Combina i set di caratteri selezionati, disegna in modo uniforme e stima l'entropia risultante. Non invia la password da nessuna parte.

Questo design riduce l'esposizione: non esiste alcun registro delle password lato server e nessuna richiesta di rete che trasporta il segreto. I restanti rischi sono locali, come malware o dispositivi compromessi. Mantieni aggiornati il ​​tuo sistema operativo e il tuo browser ed evita di generare password su un dispositivo di cui non ti fidi.

Conclusione

Una password complessa è lunga, casuale, unica e archiviata in modo sicuro. Le regole di complessità sono secondarie. Genera con una fonte sicura, salva il risultato in un gestore di password e aggiungi un secondo fattore. Queste abitudini fanno di più per la tua sicurezza di qualsiasi singola sostituzione intelligente di un personaggio.