Accedi alla tua email. Accedi alla tua banca. Accedi a Facebook. Accedi ad Amazon. Accedi al tuo cloud fotografico. Riesci a contare quante app richiedono regolarmente una password? Pensa anche all’account del tuo computer locale. Quindi aggiungi le condivisioni della tua rete di lavoro o i record personali a scuola. L’elenco cresce rapidamente.
Come tieni traccia di tutto?
La maggior parte delle persone prova alcuni trucchi. Alcuni funzionano. Alcuni sono pericolosi. Ecco cosa potresti aver provato e perché probabilmente dovresti smettere.
Smetti di usare questi metodi
Memorizza tutto. Funziona se accedi quotidianamente. Fallisce se visiti un sito solo una volta al mese. Hai dimenticato la password? Sei bloccato fuori. Inoltre, i cookie del browser spesso ricordano la tua sessione per giorni. Potresti non digitare manualmente la password ogni giorno, ma devi comunque conoscerla se il cookie scade.
Riutilizza la stessa password. È semplice. È terribile per la sicurezza. Se un hacker viola il tuo nome utente e la tua password per un account, entra nella tua banca, nella tua posta elettronica e nei tuoi social media. Tutto. Una chiave apre tutte le porte. Non farlo.
Scrivilo su carta. Ideale solo se nascondi la carta dove nessuno può trovarla. Se qualcuno trova l’elenco, sei esposto. Se perdi i pezzetti di carta, sei perduto. E aggiornare l’elenco ogni volta che cambi una password? Questo è un compito che probabilmente salterai.
Salvalo in un semplice file sul tuo dispositivo. Meglio della carta. Meno probabilità di perdersi in un cassetto. Ma se il tuo disco rigido si guasta, il file scompare. Ancora più importante, se il tuo computer viene violato, il file diventa vulnerabile. Gli hacker adorano i file di testo semplice. Potresti crittografare il file per una maggiore sicurezza. Ciò rende questo metodo simile all’opzione successiva.
Utilizza il software di gestione delle password. Questa è l’utilità che salva e recupera tutte le tue password. Può essere un’app autonoma sul tuo computer o una funzionalità integrata in un altro strumento. Limita i percorsi degli hacker verso i tuoi dati. Aggiunge funzionalità per l’organizzazione e il recupero di informazioni. È lo standard per un motivo.
In questo articolo analizziamo i tipi di software di gestione delle password. Consideriamo vantaggi e rischi. Esaminiamo app specifiche sul mercato e individuiamo quali sono affidabili e quali sono incostanti. Ma prima, diamo un’occhiata a come si è evoluto questo problema.
Storia del problema di gestione delle password
I primi computer domestici erano semplici. Un computer. Un utente. Niente Internet. Era sufficiente una sola password. Alcune persone hanno incollato la password su un foglietto adesivo sul monitor. Nessuno l’ha trovato, a meno che non abbiano fatto irruzione in casa.
Poi sono arrivate le reti. All’improvviso, avevi bisogno di password per ogni sistema sulla rete. I foglietti adesivi non si adattavano più al monitor. Scriverli è diventato rischioso. Avevi bisogno di una soluzione migliore.
I progettisti di software hanno creato i primi strumenti di gestione delle password. L’obiettivo era semplice. Gestisci un elenco di account con nomi utente e password. Proteggi quell’elenco dagli hacker. Protezione necessaria per funzionare sul computer locale e sulle connessioni di rete. Con l’evoluzione delle funzionalità, questi strumenti hanno affrontato esigenze di sicurezza più complesse.
Il problema è esploso con il World Wide Web negli anni ’90. Ogni sito web aveva il proprio sistema utente. Alcuni siti hanno aggiunto soglie per impedire ai software di indovinare la password. Altri siti hanno applicato regole rigide. La lunghezza conta. Il contenuto conta. Le regole variano in base al sito.
Un sito richiede caratteri speciali come punti esclamativi o asterischi. Un altro sito li rifiuta completamente. Non puoi utilizzare la stessa password ovunque se le regole si scontrano. Hai bisogno di password univoche per ciascuna piattaforma.
Il mobile computing ha peggiorato le cose. I laptop ti consentono di navigare sul Web ovunque ti trovi. Ma aumentano anche il rischio di perdita di dati a causa di danni o furto. Aggiungi smartphone e tablet al mix. Ora gestisci le password su più dispositivi. Non solo uno o due.
Le soluzioni odierne rappresentano le sfide del web e dei dispositivi mobili. Si collegano ai browser web. Compilano automaticamente i moduli di accesso quando visiti siti specifici. Il problema non si sta riducendo. Il cloud computing sostituisce i servizi locali. Le app web sono in aumento. Puoi anche trovare la gestione delle password come app web.
Tipi e vantaggi del software di gestione delle password
Abbiamo individuato le sfide. Ora diamo un’occhiata alle funzionalità di base. Diversi tipi di software offrono diversi vantaggi. Alcuni si concentrano sulla sicurezza. Altri per comodità. Comprendere i tipi ti aiuta a scegliere lo strumento giusto.
Il software di gestione delle password non significa solo risparmiare tempo. Si tratta di creare una barriera tra i tuoi dati sensibili e i potenziali aggressori.
Successivamente esamineremo le applicazioni specifiche. Stabiliremo quali offrono sia funzionalità che sicurezza. Quali meritano la tua fiducia? Quali sono solo esagerazioni di marketing? La risposta dipende dalle tue esigenze. E la tua tolleranza al rischio.
Gli sviluppatori non hanno concordato un unico progetto per i gestori di password. Il dibattito è incentrato su dove risiedono i dati, quanto strettamente sono bloccati e quali strumenti aggiuntivi vengono integrati per salvare o recuperare le credenziali. Nel 2011 erano emersi quattro archetipi distinti. Ciascuno comporta specifici compromessi tra convenienza ed esposizione.
Lo strumento giusto dipende dal modello di minaccia. Se non esci mai di casa, è sufficiente un’estensione del browser. Se viaggi con il tuo laptop, la crittografia hardware potrebbe valere la pena.
Gestori integrati nel browser
I sistemi operativi, i browser e le suite di sicurezza vengono spesso forniti con depositi di sicurezza integrati. Chrome, Firefox e Internet Explorer avevano tutti le proprie implementazioni. Norton 360 ha raggruppato funzionalità di gestione delle identità nella sua suite di sicurezza più ampia. Questi strumenti sono convenienti. Funzionano fuori dagli schemi. Non richiedono software aggiuntivo.
Ma sono anche l’opzione meno sicura per gli ambienti ad alto rischio. Ti stai fidando della strategia di sicurezza del browser per proteggere i tuoi segreti più profondi. Se quel browser è compromesso, le tue password vanno con esso. Usalo solo se ti fidi abbastanza dell’ecosistema da non aver bisogno di un livello di difesa secondario.
Applicazioni desktop autonome
Questo era il modello originale. Nessuna nuvola. Nessuna integrazione con il browser. Solo un’app sul tuo computer. KeePass e Aurora sono i primi esempi di quell’epoca. Aurora offriva crittografia avanzata, funzionalità di compilazione moduli, un generatore di password e la possibilità di esportare dati in file leggibili.
Queste app brillano se rimani su un dispositivo. Non condividono i tuoi dati con altri utenti sulla stessa macchina più del necessario. Mantengono tutto locale. Lo svantaggio? Nessuna sincronizzazione. Se cambi computer, sei da solo. È necessario spostare manualmente il file di database. È rigido. È sicuro. È isolato.
Sicurezza integrata nell’hardware
Alcuni manager sfruttano componenti fisici incorporati nel dispositivo. I ThinkPad della serie T di Lenovo, ad esempio, presentavano un chipset del sottosistema di sicurezza integrato sulla scheda madre. Non si tratta solo di archiviazione del software. È hardware dedicato.
Se abbinati agli strumenti di gestione delle password di Lenovo, i dati vengono crittografati e archiviati in quel chipset. Il recupero richiede una passkey, un’impronta digitale da un lettore integrato o entrambi. Poiché le credenziali non si trovano sul disco rigido, puoi configurare il BIOS per richiedere quella passkey o quella biometrica solo per avviare la macchina.
Questo approccio prende di mira una minaccia specifica: furto fisico o hacking. Se lavori in spazi condivisi, viaggi spesso o temi che qualcuno possa rubare il tuo laptop e trascinare via l’unità, la crittografia basata su hardware aggiunge una barriera formidabile. È meno comune delle soluzioni cloud, ma molto più difficile da aggirare da remoto.
Gestori di password basati sul Web
Il modello cloud ha cambiato le regole del gioco. Applicazioni Web come RoboForm e PasswordSafe consentivano l’accesso da qualsiasi dispositivo connesso a Internet. Hai effettuato l’accesso con una password principale e hai recuperato tutto il resto.
RoboForm e PasswordSafe rispecchiavano molte funzionalità di app autonome come Aurora ma aggiungevano accessibilità multipiattaforma. I browser desktop e mobili potrebbero tutti accedere allo stesso deposito. Questa è la scelta ideale se ti destreggi tra più sistemi operativi. Vuoi le tue password ovunque, all’istante. Il compromesso? Stai affidando i tuoi dati a un server di terze parti. Se quel server viene violato, tutta la tua vita digitale è esposta.
Rischi derivanti dall’utilizzo del software di gestione delle password
Il singolo punto di errore
Non porteresti gli estratti conto, le chiavi di casa e le carte di credito in uno zaino non protetto. Allora perché mettere tutte le credenziali digitali in un’unica app senza fare domande? I gestori di password sono convenienti, certo. Ma concentrano il rischio. Se un hacker ottiene quella chiave principale, possiede tutto.
Pensa al tuo gestore di password come alla tua casa fisica. Contiene tutti i tuoi oggetti di valore. Una chiave apre la porta d’ingresso. Se la chiave viene rubata, l’intruso non si limita a prendere la tua TV. Prendono la tua identità, i tuoi soldi, i tuoi segreti. Il software in sé non è importante quanto il modo in cui chiudi la porta.
Rafforzare le tue difese
Non puoi eliminare il rischio. Puoi solo gestirlo. Tratta la tua password principale come codici di lancio nucleare.
- La sicurezza fisica è importante. Non lasciare il laptop sul tavolino di un bar mentre prendi un caffè. Usa un lucchetto Kensington se ti trovi in uno spazio pubblico. Il furto è il modo più comune con cui le credenziali lasciano il tuo possesso.
- Blocca i tuoi account utente. Una password del dispositivo debole è una backdoor. Forza l’accesso all’avvio. Forza un accesso alla riattivazione. Cambia quella password regolarmente.
- Il blocco dello schermo non è negoziabile. Vuoi allontanarti? Blocca lo schermo. Sempre.
- Nessuna condivisione. Non fornire mai la tua password principale al supporto IT, alla famiglia o agli amici. Mai.
- I firewall sono la tua prima linea di difesa. Mantienili attivi. Blocca l’accesso indesiderato alla rete.
- La complessità vince. Scegli una password principale che richiede mesi per essere forzata. Non il tuo compleanno. Non “password123”.
- Ruota la chiave. Cambia la tua password principale ogni due o tre mesi. E rendilo diverso dal login del tuo sistema operativo. Se sono uguali, hai creato due volte un singolo punto di errore.
- Aiuto biometrico. Se dimentichi le password, utilizza l’impronta digitale o la scansione del volto. Rimuove il peso della memoria. Ma ricorda: i dati biometrici sono ancora legati alla chiave di crittografia sottostante.
Chiudete le porte. Perdere la chiave? Sei fuori. Rendi la serratura troppo difficile da scassinare? I ladri vanno avanti. E se portassero una mazza? O un piede di porco? Il lucchetto non è l’unica vulnerabilità. La casa stessa potrebbe essere mal costruita.
Minacce specifiche per tipo di manager
I consigli generici coprono le nozioni di base. Ma strumenti specifici hanno punti deboli specifici. Ignorali a tuo rischio e pericolo.
Archiviazione locale e malware
Il software che memorizza le password sul tuo disco rigido deve affrontare un nemico principale: il malware. Non è magia. È un codice. Il malware esegue la scansione del file system alla ricerca di posizioni di archiviazione delle password conosciute. Li trova. Li esfiltra.
Puoi fermare questo problema con un software antivirus affidabile e aggiornato. Periodo. Questo è il tuo scudo contro il codice che caccia i tuoi segreti.
Gestori basati su browser
I gestori di password del browser sono rischiosi. Sono convenienti. Spesso sono anche scarsamente protetti.
Prendi Firefox. Crittografa le password. Quindi scrive la stringa codificata in un semplice file di testo accanto all’URL. Chiunque abbia accesso a quel file può leggerlo. La sicurezza fisica, le password degli utenti e i blocchi dello schermo proteggono quel file. Ma se sul tuo computer viene eseguito malware, legge quel file di testo. Facile.
Sicurezza del sistema integrato
Alcuni browser si impegnano di più. Internet Explorer in Windows utilizza il registro di Windows. Sfrutta la crittografia Triple DES. Per vedere le password, è necessario l’accesso come amministratore al registro.
Se hai bloccato il tuo account Windows e bloccato il malware, le password di IE sono relativamente sicure. Ma fai affidamento su quel blocco. Se il tuo account amministratore è compromesso, la crittografia non significa nulla.
Unità crittografate tramite hardware
I chip di sicurezza incorporati e la crittografia hardware sembrano la soluzione definitiva. Non lo sono. Amplificano un rischio specifico: dimenticare la password.
Questi sistemi spesso richiedono una password di avvio. Impostalo. Lasci perdere. Non puoi avviare il computer. Le macchine di oggi funzionano per settimane senza riavviarsi. Potresti dimenticare la password prima ancora di riavviare.
Peggio ancora, se sposti il disco rigido su un altro computer, la password di avvio potrebbe non fermarti. Ma i dati crittografati dall’hardware? Resta bloccato. A meno che il produttore non fornisca una chiave di ripristino, hai bloccato i tuoi dati. Controlla i passaggi di ripristino prima di abilitare la crittografia hardware. Non dare per scontato che ti ricorderai. Supponiamo che non lo farai.
Siamo al traguardo e la categoria finale richiede una cautela diversa. App Web. Questi gestori di password nativi del cloud spostano il peso della sicurezza dal tuo computer locale a un server di terze parti. È la stessa dinamica che vediamo nel cloud computing in generale: stai affidando a un’azienda la tua vita digitale.
La preoccupazione qui non riguarda solo un laptop smarrito. È una questione di scala.
Quando memorizzi le credenziali in un’app Web, stai creando un honeypot. Gli hacker non sempre vogliono prendere di mira singoli utenti. È inefficiente. Vogliono il database principale. Vogliono l’unico caveau che contenga migliaia di chiavi. Se l’azienda dietro il software fallisce o se la sua infrastruttura viene violata, le conseguenze sono enormi. Questo è lo stesso ambiente ad alto rischio in cui operano le banche e le agenzie governative. La domanda non è se verranno presi di mira, ma quando.
Quindi, come proteggersi quando il rischio è insito nel modello di business?
Scegliere il giusto provider di app Web
Non è possibile eliminare del tutto il rischio. Puoi solo gestirlo. L’unico modo per ridurre al minimo l’esposizione è essere spietati durante il processo di selezione.
Non fare clic sul primo banner pubblicitario che vedi. Scava più a fondo.
- Cerca l’azienda. Chi possiede il software? Hanno una storia di violazioni dei dati? Quanto sono trasparenti riguardo alle loro pratiche di sicurezza?
- Leggi le valutazioni degli esperti. I controlli di sicurezza indipendenti contano più del testo di marketing. Cerca aziende che abbiano effettivamente testato i protocolli di crittografia e autenticazione, non solo scritto una recensione basata sulla progettazione dell’interfaccia utente.
Il fattore comodità è reale. Le app Web si sincronizzano istantaneamente su tutti i dispositivi. Puoi accedere alle tue password da qualsiasi browser, ovunque. Ma bisogna valutare questa facilità rispetto al potenziale di una fuga di dati catastrofica. A volte vale la pena fare un compromesso. A volte non lo è.
Domande comuni
Qual è un esempio affidabile di software di gestione delle password?
LastPass è un esempio ben noto. È in circolazione da abbastanza tempo da avere un track record pubblico, nel bene e nel male. Quando valuti le opzioni, cerca nomi affermati simili che privilegiano la sicurezza rispetto a funzionalità appariscenti.
Guardando al futuro
Questo conclude l’approfondimento sulla gestione delle password. Il paesaggio cambia velocemente. Emergono nuove minacce. Appaiono nuove soluzioni. Stai attento. Mantieni aggiornati i tuoi strumenti. E ricorda, nessun software è veramente “impostalo e dimenticalo”. Sei ancora la prima linea di difesa.
