Cosa sono i password manager, come funzionano e quanto sono sicuri i gestori di password

Ricorrere a un buon password manager (o gestore di password), ovvero di tutti quei strumenti informatici pensati per generare, salvare e gestire password in modo sicuro e pratico, è un metodo per proteggere la proprio sicurezza informatica. Usarli non solo significa alzare l'asticella della sicurezza dei propri account, ma anche rendere più facile l'accesso ai sempre più numerosi servizi online che utilizziamo quotidianamente. Per accedere a tutte le proprie password, infatti, basta ricordare la cosiddetta master password, ovvero una chiave che dà accesso a tutto ciò che è presente nella propria “cassaforte virtuale”. Ma come funzionano concretamente questi strumenti e quanto sono sicuri? Approfondiamo la loro conoscenza facendo uno “zoom” sia sui vantaggi che offrono, sia sulle sfide che presentano.

Cos'è un password manager

Un gestore di password è, sostanzialmente, un’applicazione progettata per memorizzare in modo sicuro tutte le credenziali di accesso ai propri account – quindi nomi utente e password – per diversi siti e servizi. L’obiettivo principale è facilitare la creazione di password complesse e uniche per ogni account, cosa che riduce sensibilmente il rischio di attacchi informatici, molto più che adottare pratiche come la frequente modifica delle credenziali. Molti cyber attacchi sfruttano il riutilizzo delle password su più piattaforme: se una delle vostre credenziali viene rubata, un hacker potrebbe accedere ad altri servizi con la stessa combinazione di nome utente e password. Di password manager ne esistono almeno tre tipologie diverse.

1. Password manager locali: in questo caso, tramite un'applicazione installata sul dispositivo, memorizza e gestisce le credenziali sul device in questione e funzionano anche offline. Le password, in questo caso, sono contenute in un file crittografato o, cosa ancora più sicura, ciascuna password viene memorizzata in un file ad hoc, che viene a sua volta cifrato. Se da una parte si tratta di una soluzione estremamente sicura, dall'altro può essere impegnativo adoperare un password manager locale su più dispositivi; per non parlare poi dell'eventualità di non poter accedere al gestore di password in caso di furto o danneggiamento del dispositivo su cui è installato.
2. Password manager basati sul cloud: è la tipologia di gestore di password più diffusa e utilizzata, visto che offre l'enorme vantaggio di poter accedere alle proprie credenziali da qualsiasi dispositivo connesso a Internet, dal momento che queste sono memorizzate nel cloud, solitamente il server del provider che fornisce il servizio di gestione delle password. Solitamente l'accesso è garantito da un'applicazione o un client da installare in locale e/o sfruttando un'estensione per browser. I migliori gestori di password online utilizzano la tecnologia zero-knowledge, il che significa che vanno a crittografare i dati sul dispositivo prima di inviarli al server.
3. Password manager del browser: ormai tutte le principali applicazioni per la navigazione Web includono una funzione di gestione delle password, che sono particolarmente comodi da adoperare visto che si integrano perfettamente con i siti e i servizi Web a cui loggarsi, compilando in modo automatico i campi d'accesso e proponendo il salvataggio e la modifica delle password quando necessario. Rispetto alle soluzioni menzionate nei punti precedenti, però, sono potenzialmente meno sicuri.
4. Password manager basati su hardware: solitamente usata in ambito aziendale, questa soluzione consiste nell'utilizzo di un componente hardware (ad esempio un token), che va collegato al computer per finalizzare lo sblocco del vault o per effettuare la verifica dell’identità del proprietario dell’account.

Come funziona un password manager

Per quanto riguarda il loro funzionamento, questo differisce in base alla tipologia di password manager che si decide di adoperare. Dal momento che quelli online sono tra i più diffusi e semplici da sfruttare, lo useremo come esempio.

La prima cosa che vi suggeriamo di fare, è stabilire su quali dispositivi intendete utilizzarlo. Ad esempio, se volete installare il gestore di password sullo smartphone, assicuratevi che nessun altro abbia accesso al dispositivo o conosca il codice di sblocco e, se è presente una modalità di sblocco biometrica sicura (come l'impronta digitale o il riconoscimento facciale 3D), optate per un password manager che la supporti. Lo stesso vale per i dispositivi condivisi in casa, come tablet o smart TV, o per i computer utilizzati al lavoro. Una pianificazione accurata aiuta a organizzare al meglio il vault e a mantenerlo sicuro.

Una volta individuati i dispositivi, dovete individuare quale password manager adoperare. Sul mercato esistono opzioni gratuite e a pagamento: queste ultime forniscono funzioni extra che, pur non essendo indispensabili, possono risultare comode. Nel valutare il tutto, verificate anche la compatibilità con il sistema operativo e il browser dei vostri dispositivi e, se avete già un vault esistente, accertatevi che possa essere importato senza problemi.

Una volta che avrete scelto il servizio a cui affidarvi e avrete installato la sua applicazione e/o la sua estensione ufficiale, dovrete creare la password principale. Questa dovrebbe essere facile da ricordare per voi, ma difficile da indovinare per tutti gli altri (se avevate in mente di utilizzare “123456”, quindi, scordatevelo!). Una buona strategia potrebbe essere quella di adoperare una frase composta da quattro o cinque parole casuali. Anche se alcuni gestori offrono opzioni di recupero della password principale, è utile condividerla con una persona fidata per consentire l’accesso al vault in caso di necessità.

Per aumentare la sicurezza, è consigliabile abilitare l’autenticazione a due fattori o 2FA. Questa misura fornisce un ulteriore livello di protezione richiedendo un secondo elemento di verifica, come uno smartphone o un sistema biometrico, ad esempio l’impronta digitale o il riconoscimento facciale. In alcuni casi, il sistema di accesso biometrico può persino sostituire la password principale, semplificando l’accesso sui dispositivi mobili.

Dal momento che molti gestori di password offrono la possibilità di archiviare altre informazioni sensibili, come dettagli delle carte di credito, potrebbe essere utile sfruttare anche questa funzione, specialmente se il password manager supporta l’autocompilazione anche di questi dati, cosa che può far risparmiare tempo prezioso durante lo shopping online. E, last but not least, se siete soliti usare password relativamente semplici da indovinare, sostituitele con opzioni più complesse adoperando il generatore di password integrato nel password manager.

Quanto è sicuro un password manager

L'uso di un buon password manager è una pratica che indubbiamente rende più sicuro la conservazione dei dati di login ai propri account online. Naturalmente, questo è vero se si utilizza un gestore di password che soddisfi standard elevati.

In particolare, un buon password manager dovrebbe basare il suo funzionamento sulla crittografia AES a 256 bit, un sistema di cifratura avanzato utilizzato per proteggere i dati, garantendo che solo gli utenti autorizzati possano accedervi. Questo metodo, adottato dalla NSA (National Security Agency) e da molte aziende già nel 2005, è diventato rapidamente uno standard per tecnologie come VPN, firewall e, appunto, password manager.

La crittografia AES si avvale di una chiave a 256 bit, che rappresenta una stringa casuale di zero e uno. Ciò offre 2²⁵⁶ combinazioni possibili, rendendo estremamente difficile indovinare la chiave tramite attacchi brute-force.

AES a 256 bit è un algoritmo di crittografia simmetrica, noto anche come a chiave privata, in cui la stessa chiave è necessaria sia per crittografare che per decrittare i dati. Questo implica che entrambe le parti coinvolte devono conoscere la chiave. Non tutti i password manager adottano la crittografia AES a 256 bit. Alcuni utilizzano AES a 128 bit, un’opzione meno sicura (ma comunque resistente) agli attacchi brute-force.

non perderti questo articolo

È vero che cambiare spesso le password aumenta la sicurezza informatica? No, secondo gli esperti