Introduzione

Le password sono la misura di sicurezza più comunemente utilizzata per proteggere dati e informazioni sensibili, come quelli presenti in un account di posta elettronica o nell'utente di un sistema Ubuntu.
Pertanto scegliere una password "forte", per ogni applicazione o servizio che la richiede, è estremamente importante. Infatti, se una password è troppo "debole" (come ad esempio nel caso di quelle banali oppure di quelle create con parole presenti in un dizionario), diventa potenzialmente vulnerabile e facile bersaglio di eventuali utenti malintenzionati (ad esempio attraverso i cosiddetti "attacchi a dizionario").

Questa guida, non esaustiva, offre alcune indicazioni utili per creare, gestire, archiviare e recuperare le password, utilizzando anche strumenti disponibili con Ubuntu.

Consigli generali

Scelta della password

Utilizzando criteri minimi di sicurezza e norme dettate dal buon senso, è raccomandabile che una password:

• sia di lunghezza non inferiore agli 8 caratteri;

• non contenga elementi facilmente deducibili (il nome di un famigliare, del proprio animale domestico, date di nascita, nome della squadra per la quale si tifa ecc.) oppure banali e/o facilmente individuabili (ad esempio «password», «qwerty», «0123456» ecc.).

• non contenga il proprio nome utente, nome reale o il nome dell'organizzazione;
• non contenga una o più parole intere presenti in un dizionario;
• non sia troppo simile a eventuali password scelte in precedenza;
• contenga possibilmente tre delle seguenti tipologie di caratteri:

  • lettere minuscole («a», «b», «c», ecc.);

  • lettere maiuscole («A», «B», «C», ecc.);

  • numeri («1», «2», «3», ecc.);

  • caratteri speciali («@», «%», «!», ecc.);

Limiti dei generatori di password online

Solitamente non è consigliabile utilizzare generatori di password online. I principali motivi sono di seguito riassunti:

• Algoritmo implementato dal servizio online: Anche qualora il titolare del servizio online sia un ricercatore esperto di sicurezza che utilizza un algoritmo ben studiato, occorre sapere che produrre algoritmi sicuri è notoriamente difficile. Molto spesso gli stessi ricercatori esperti non sono sorpresi quando i loro algoritmi "si rompono" e di conseguenza sono vulnerabili.

• La sicurezza del servizio potrebbe essere compromessa: Qualora il sito venga violato, un utente malintenzionato potrebbe esaminare l'algoritmo e risalire alle chiavi generate dal servizio online.

• Integrità morale del servizio online: Anche se si ha fiducia del titolare del servizio, costui in qualunque momento potrebbe rivelare a terzi dati e informazioni sulle password generate, anche per cause di forza maggiore o perché costretto.

Creazione

• KeePassXC è un gestore di password che oltre a crearle provvede alla memorizzazione in sicurezza.

• Guida per informazioni sulla creazione di password forti, anche tramite strumenti quali APG e /dev/urandom.

  APG dal 2003 non è attivamente mantenuto dagli autori originali. Il manutentore del pacchetto ha in programma di abbandonare il mantenimento di APG non appena diventa disponibile un software effettivamente mantenuto con un insieme di funzionalità simile.

Archiviazione

È chiaramente una cattiva idea conservare le proprie password in luoghi visibili o accessibili al pubblico, mentre è buona norma mantenere le password custodite in un luogo sicuro dove terze persone non possono accedere.
Solitamente sono necessarie settimane (o più tempo) per ricordare con esattezza una password complessa. Spesso si è soliti avere più password, relative a vari sistemi e/o servizi a cui si è registrati. Tuttavia può succedere di dimenticare alcune lettere nella password più vecchie. Un modo per scongiurare questo problema è generare una password di base e utilizzarla come parte di tutte le password, annotando le parti aggiuntive per ciascun servizio.

Di seguito viene fornito un esempio pratico:

1. Scegliere un prefisso comune a tutte le password:

   UbuntuR0cks

2. In seguito scegliere e annotare un suffisso differente per ogni singola password:

   • email:

     #29G%7

   • conto corrente bancario:

     $FF09@

3. Infine combinare i due elementi:

   • password email:

     UbuntuR0cks#29G%7

   • password conto corrente bancario:

     UbuntuR0cks$FF09@

Recupero

In base alle proprie esigenze, consultare le seguenti guide:

• Recuperare password: come recuperare password e nome utente dimenticati.

• Recuperare password di Windows.

Ulteriori risorse

• Documento originale

• The Diceware Passphrase Home Page

CategorySicurezza