Come si fa una password sicura che però ti ricordi

Una password sicura oggi deve avere almeno dodici caratteri e mescolare maiuscole, minuscole, numeri e simboli. Non è una richiesta capricciosa dei moduli: è quello che chiedono davvero lo SPID, le banche e la posta elettronica, ed è quello che raccomandano il Garante per la protezione dei dati personali e l'istituto americano NIST, a cui quasi tutti i siti si rifanno.

La parte difficile non è capirlo. È inventarne una che risponda a quelle regole e che tu riesca a ricordare.

La lunghezza conta più di tutto il resto

Un computer che prova a indovinare non ragiona: prova. Milioni di combinazioni al secondo, in ordine, finché non azzecca.

Ogni carattere in più moltiplica il tempo che gli serve, e la crescita è molto più rapida di quanto sembri. Una password di otto caratteri, anche con numeri e simboli, sta dentro le possibilità di un computer di oggi. Una di dodici, mescolata bene, sposta il conto dalle ore agli anni.

Questa è la ragione per cui tutte le raccomandazioni serie, italiane ed estere, partono dalla lunghezza e non dalla complicazione. Dodici è il minimo. Sedici è meglio.

Il malinteso sulle tre parole

Da qualche anno circola l'idea che basti una frase di tre parole minuscole, tipo «cavallobottigliafinestra», e che le maiuscole e i simboli non servano più.

Nasce da una cosa vera. L'ingegnere che nel 2003 scrisse per il NIST le regole sulla complessità si è poi pentito di una parte di quelle indicazioni: in particolare dell'obbligo di cambiare password ogni tre mesi, che spingeva tutti a scrivere la stessa cosa con un numero diverso alla fine.

Ma il pezzo sulla varietà dei caratteri non è mai stato ritirato, e soprattutto c'è un fatto pratico che la teoria non cancella: i siti la chiedono ancora. Lo SPID vuole maiuscole, minuscole, numeri e simboli. Le banche anche. Se provi a registrare «cavallobottigliafinestra», il modulo ti rimanda indietro.

Quindi la regola utile, quella che funziona nel mondo reale, è una sola: lunga E con tutte e quattro le cose dentro.

Il metodo della frase, passo per passo

Ecco come si tira fuori una password lunga e difficile da una cosa che ricordi già.

Primo. Pensa a una frase vera della tua vita, che nessuno indovinerebbe. Non un proverbio e non un verso famoso: una cosa tua. Per esempio: «Mio padre pescava a Chioggia nel 1962».

Secondo. Prendi l'iniziale di ogni parola e tieni l'anno per intero. Viene: M p p a C n 1962.

Terzo. Attacca tutto e aggiungi due simboli, uno in mezzo e uno prima del numero. Viene Mppa@Cn!1962.

Sono dodici caratteri, con dentro maiuscole, minuscole, numeri e simboli. Per un computer è una fila di caratteri senza senso. Per te è una frase sola, con dentro tuo padre a Chioggia.

Il metodo funziona con qualunque ricordo: il nome del primo cane più l'anno in cui è arrivato, l'indirizzo della casa al mare, un verso che canticchi da sempre. L'importante è che sia una cosa tua e che non l'abbia mai scritta da nessuna parte.

Una password diversa dove conta

Questa è la parte che sembra impossibile e che invece si può rendere realistica.

Quando un sito qualsiasi viene bucato, gli indirizzi email e le password finiscono in elenchi che girano. La prima cosa che si fa con quegli elenchi è provare le stesse coppie su altri siti: la banca, la posta, i social. Se la tua password è una sola, il negozio online che avevi dimenticato diventa la chiave del conto corrente.

Non serve però una password diversa per i cinquanta siti dove hai lasciato un indirizzo in vent'anni. Serve una password sua per ognuna delle cose che contano: la posta elettronica, la banca, lo SPID.

La posta elettronica è la più importante di tutte, e quasi nessuno lo sa: chi entra nella tua posta può farsi mandare lì il cambio password di tutto il resto. È la porta di casa.

Dove si tengono

Ricordarsene dieci a memoria non è realistico, e fingere il contrario porta a usarne una sola. Le strade sono tre e vanno tutte bene.

Il quaderno in un cassetto di casa. È una soluzione seria, e la dicono anche gli esperti: chi vuole rubarti le password sta a duemila chilometri e non entrerà mai nel tuo cassetto. Sulla copertina non si scrive «password»: si scrive «ricette».

Il posto delle password del telefono. Su iPhone si chiama «Password» e sta nelle impostazioni, su Android è dentro le impostazioni di Google. È protetto dall'impronta o dal codice, e propone la password giusta quando serve. Ha un vantaggio in più: propone solo quella del sito giusto, quindi se il sito è finto resta zitto, e quel silenzio è un avvertimento.

Quello che non va fatto. Niente password in un messaggio mandato a te stesso, in una nota senza protezione, in una foto nella galleria o in un file chiamato «password» sulla scrivania del computer. Sono i tre posti che chi ruba un telefono guarda per primi.

La verifica in due passaggi

Se dopo aver letto questo articolo si fa una cosa sola, è questa.

Vuol dire che oltre alla password il sito chiede una seconda prova: di solito un codice che arriva con un messaggio. Chi ruba la password non ha il tuo telefono, quindi resta fuori lo stesso.

Si accende dalle impostazioni, alla voce «Sicurezza», e ci vogliono due minuti. Accendila almeno sulla posta elettronica e sulla banca.

Una avvertenza che serve più della spiegazione: quando quel codice arriva, arriva con la frase «non comunicarlo a nessuno». È scritto lì perché la truffa esiste. Chi telefona dicendo di essere della banca e chiede il codice appena arrivato non è della banca, e non c'è nessuna eccezione a questa regola.

Cosa non fare mai

Una lista breve, tutta di cose che si incontrano davvero.

La data di nascita, tua o dei figli: è la prima che si prova. Il nome del cane da solo, il nome del paese, la squadra. «Password», «123456» e le loro varianti con un punto esclamativo in fondo. La stessa password su tutti i siti. E soprattutto: dettarla al telefono a chi ti chiama, cosa che nessuna banca, nessun ufficio pubblico e nessun tecnico ha mai chiesto a nessuno.

Se ti interessa capire chi c'è dietro queste richieste, ne abbiamo scritto in chi c'è dall'altra parte di una truffa. E se vuoi vedere in un posto sicuro come qualcuno cerca di farsi consegnare una password, nel corso antitruffe la scena si simula per intero.