Perché le password chiedono caratteri strani

Le password chiedono caratteri strani per colpa di un documento di otto pagine scritto nel 2003 da un funzionario americano, Bill Burr, per l'ente che negli Stati Uniti fissa gli standard tecnici. Quel documento consigliava di mescolare maiuscole, numeri e simboli e di cambiare la password ogni tre mesi. Tutto il mondo lo prese come legge. Nel 2017 il suo autore ha dichiarato pubblicamente che gran parte di quei consigli erano sbagliati.

Non è una storia di poco conto: quella regola ha reso le password più difficili da ricordare per le persone, senza renderle davvero più difficili da indovinare per un computer.

Cosa diceva il documento, e perché sembrava sensato

Nel 2003 la preoccupazione era che le persone scegliessero parole troppo semplici, come il nome del cane o la data di nascita. L'idea fu di obbligare a complicarle: una maiuscola, un numero, un simbolo. E siccome una password rubata può essere usata a lungo, si consigliò anche di cambiarla ogni tre mesi.

Sulla carta era ragionevole. Nella pratica successe una cosa che nessuno aveva previsto: le persone non inventano password nuove, le modificano.

Chi aveva «Bologna1!» il trimestre dopo scriveva «Bologna2!». La complessità restava identica, il fastidio pure, e chi voleva indovinare la password imparò presto proprio quel meccanismo.

Perché quelle regole non funzionano

Il punto tecnico è semplice, e vale la pena capirlo.

Un programma che prova a indovinare una password non ragiona come una persona: prova combinazioni a velocità enorme. Per un programma del genere, quello che conta davvero è quanto è lunga la password, non quanti simboli strani contiene.

Sostituire la «a» con «@» o la «i» con «1» è una furbizia che tutti conoscono, compresi i programmi che indovinano le password: quelle sostituzioni sono nelle loro liste da vent'anni. Aggiungere un punto esclamativo alla fine è la cosa più prevedibile del mondo.

Nel frattempo, quelle regole hanno un costo altissimo dall'altra parte. Una password che una persona non riesce a ricordare finisce scritta su un foglietto attaccato al monitor, oppure diventa la stessa per venti siti diversi. Ed è quello il vero pericolo: una password riusata ovunque, il giorno in cui uno di quei siti viene bucato, apre tutte le porte.

Cosa si consiglia oggi

Le linee guida aggiornate dello stesso ente hanno ribaltato l'impostazione, e si riassumono in tre punti:

• La lunghezza conta più della complessità. Meglio una frase lunga e facile da ricordare che otto caratteri contorti.
• Non si cambia password ogni tre mesi. Si cambia quando c'è un motivo, per esempio se un servizio avvisa di essere stato violato.
• Niente simboli obbligati. Se aiutano a ricordare va bene, ma imporli non serve.

La forma più pratica è una frase di tre o quattro parole senza senso comune, magari con un riferimento personale: «cavallo-finestra-quaranta» è più forte di «Pw2024!» e la si ricorda dopo averla scritta due volte.

Attenzione a un'eccezione: molti siti italiani, e soprattutto quelli pubblici e bancari, impongono ancora le vecchie regole. Lì non c'è scelta e bisogna adeguarsi, ma il principio resta: si allunga il più possibile e si evita di riusare la stessa password altrove.

Come si ricorda una frase lunga

L'obiezione più comune, quando si consiglia una password lunga, è che ci si dimentica. Vale la pena rispondere, perché la soluzione è più semplice di quello che sembra.

Una frase di parole vere si ricorda con la memoria del linguaggio, che è la stessa con cui teniamo a mente i proverbi e i numeri di telefono di casa. Una sequenza di simboli no: quella si ricorda solo a forza di ripeterla, e infatti non la ricorda quasi nessuno.

Il trucco che funziona meglio è legare le parole a un'immagine buffa. Tre parole che insieme fanno una scena assurda restano in mente per anni, mentre tre parole che stanno bene insieme si confondono con le altre password.

Poi c'è una cosa che vale la pena dire, perché in tanti si vergognano di farla: scrivere le password su un quaderno tenuto in un cassetto di casa non è una sciocchezza. Il rischio vero, per una persona normale, non è che qualcuno entri in casa a leggere il quaderno: è che la stessa password sia usata su venti siti. Il quaderno risolve il problema grosso e ne crea uno piccolo.

Le due cose che contano davvero

Al di là dei simboli, ci sono due abitudini che cambiano il livello di sicurezza molto più di qualunque regola sui caratteri.

Una password diversa per ogni cosa importante. Posta elettronica, banca e identità digitale non devono mai condividere la stessa. Se una viene scoperta, le altre restano chiuse.

Il codice che arriva a parte. È la conferma in due passaggi: oltre alla password serve un codice che arriva sul telefono, o un'impronta. Con quella attiva, una password rubata da sola non basta più a entrare. È la cosa più efficace che si possa attivare, ed è gratuita.

Se vuoi metterle in pratica senza rischiare di chiuderti fuori dai tuoi conti, il corso Password per principianti fa esercitare su schermate finte. E se ti interessa come i truffatori provano a farsi dare le password direttamente, ne parliamo nell'articolo su cosa vuol dire phishing. Altre storie come questa stanno nella rubrica Curiosità.