Controllo della sicurezza delle password

Cosa premia il punteggio di controllo

Il verdetto deriva da un semplice punteggio da 0 a 6. Ognuno di questi aggiunge un punto:

La lunghezza da sola porta tre dei sei punti, perché è il singolo fattore più importante per la sicurezza reale.

Come vengono stimati entropia e tempo di cracking

L’entropia è il numero di bit necessari per descrivere la password se ogni carattere fosse casuale: lunghezza × log2(dimensione dell'alfabeto). La dimensione dell’alfabeto somma le classi che hai usato: 26 per le minuscole, 26 per le maiuscole, 10 per le cifre e 33 per i simboli comuni, quindi una password che usa tutte e quattro le classi attinge da 95 caratteri possibili.

La stima del tempo di cracking presuppone un attaccante offline che ha già l’hash rubato e può provare circa 10 miliardi (10^10) di tentativi al secondo su GPU di consumo veloci. Questa cifra corrisponde a hash deboli e veloci come MD5 o SHA-1. Gli hash lenti per progettazione come bcrypt o Argon2 riducono quel ritmo di un fattore di milioni, quindi la stessa password è molto più sicura dove vengono usati.

Cosa controlla e cosa non controlla questo strumento

• Controlla sì la lunghezza, quali classi di caratteri sono presenti, l’entropia grezza in bit e una stima del tempo di cracking a partire da quell’entropia.
• Non controlla la tua password rispetto a dizionari, elenchi di password trapelate, sequenze da tastiera (qwerty, 1qaz2wsx) o sostituzioni comuni (p@ssw0rd). Una password può superare tutti i controlli sulle classi di caratteri e restare banale da indovinare se è una parola nota o una password già compromessa.

Considera il punteggio come una soglia minima, non come una garanzia: ti dice che una password è troppo corta o troppo semplice, ma un punteggio alto non dimostra che la password sia imprevedibile.

Cosa rende davvero forte una password

1. Prima la lunghezza. Ogni carattere in più vale più di qualsiasi altra singola modifica. Una password casuale di 14 caratteri batte ogni volta una complessa di 8.
2. Casualità. Le persone inventano una cattiva entropia nella loro testa. Lascia che sia un generatore a scegliere i caratteri.
3. Distribuisci la varietà. Metti cifre e simboli ovunque, non solo attaccati alla fine, dove gli attaccanti se li aspettano.
4. Una password per sito. Una password forte riutilizzata su 50 account è sicura solo quanto il sito più debole che la memorizza.

La raccomandazione sicura

• Usa un gestore di password per creare e conservare una password casuale unica di oltre 16 caratteri per ogni sito.
• Usa una passphrase di 5-8 parole casuali per le poche password che devi digitare a mano, come la password principale del tuo gestore.
• Attiva l’autenticazione a due fattori ovunque venga offerta.
• Controlla pwnedpasswords.com prima di continuare a riutilizzare qualsiasi password, dato che questo strumento non può vedere se la tua è già trapelata.