Generatore di password

Entropia per lunghezza e set di caratteri

Cosa significa entropia in pratica

• 40 bit: oggi può essere violata in pochi giorni con una singola GPU. Va bene solo per account usa e getta.
• 60 bit: resiste agli attacchi online, ma è vulnerabile al cracking offline mirato.
• 80 bit: forte contro il cracking offline con l’hardware attuale.
• 100 bit: di fatto non conveniente da attaccare finché il calcolo quantistico non sarà maturo.
• 128 bit: equivale alla forza di una chiave AES-128.

Per la maggior parte degli account online, 16 caratteri dal set completo (105 bit) sono più che sufficienti. Conti bancari, password master del password manager, wallet crypto e cifratura completa del disco meritano 20 o più caratteri.

Perché contano le classi di caratteri

Ogni classe aggiunge opzioni per ogni carattere. Con 26 lettere minuscole, un carattere contribuisce log₂(26) = 4,7 bit. Aggiungendo le maiuscole si arriva a 52 caratteri e 5,7 bit per carattere. Con le cifre si sale a 62 caratteri e 5,95 bit. Con i simboli si arriva a 94 caratteri e 6,55 bit. Su 16 caratteri, la differenza accumulata è di circa 30 bit, cioè la distanza tra “violabile” e “non vale la pena provarci”.

Quando escludere i caratteri ambigui

Se la password va digitata da uno schermo a un dispositivo senza copia e incolla, per esempio installer da console, alcuni wallet hardware o una password letta ad alta voce, escludere 0, O, 1, l e I evita errori di trascrizione. Il costo in entropia è minimo, di solito 2-3 bit su oltre 80.

Flusso di lavoro con un password manager

1. Installa un password manager come Bitwarden, 1Password o KeePass.
2. Imposta una passphrase master robusta, con 6-8 parole casuali. Puoi usare il generatore di passphrase.
3. Usa il generatore del manager per ogni sito e accetta le impostazioni robuste predefinite.
4. Non riutilizzare mai password tra siti diversi, nemmeno per account apparentemente secondari.
5. Attiva la 2FA ovunque sia supportata.

Le password digitate manualmente dovrebbero essere rare: la master del manager, la cifratura completa del disco e forse il login del computer di lavoro.

Cose che non aiutano

• Cambiare ogni 90 giorni. La rotazione forzata incoraggia schemi prevedibili come Estate2024 e Autunno2024. NIST SP 800-63B la sconsiglia esplicitamente.
• Scriverla su un foglio nel portafoglio. È meglio che riutilizzare password deboli, ma peggio di un password manager.
• Domande di sicurezza con risposte reali. “Prima scuola” è spesso ricavabile con una ricerca. Genera risposte finte casuali e salvale nel manager.