Che cosa rende sicura una password
Una password è sicura quando è lunga, casuale e unica. Non conta quanto “sembri” complicata: conta quante
combinazioni deve provare chi vuole indovinarla. Mario1980! rispetta tutte le regole classiche (maiuscola,
numero, simbolo) eppure cade in pochi secondi, perché nome + anno + punto esclamativo è uno dei primi schemi che i
programmi di attacco provano. Una stringa come t7#Qv!mR2x@pL9wz, invece, non ha nessuno schema da sfruttare.
1. La lunghezza vale più della complessità
Ogni carattere in più moltiplica le combinazioni possibili. Con i 94 caratteri stampabili della tastiera, una password di 8 caratteri ha circa 6 milioni di miliardi di combinazioni: sembrano tante, ma un attaccante che ha rubato un database di password può provarne centinaia di miliardi al secondo con poche schede grafiche. A 16 caratteri le combinazioni diventano così tante che neppure tutti i computer del mondo insieme riuscirebbero a provarle.
2. Casuale davvero, non “inventata”
Le persone sono pessimi generatori di caso: scegliamo parole, date, nomi di figli e animali, sequenze della tastiera
(qwerty, 1q2w3e), sostituzioni prevedibili (@ al posto di a,
3 al posto di e). I dizionari usati negli attacchi contengono già tutte queste varianti. Per
questo il generatore qui sopra usa crypto.getRandomValues(), il generatore di numeri casuali crittografico
del sistema operativo, e scarta i valori che creerebbero squilibri statistici fra i caratteri.
3. Una password diversa per ogni servizio
Il pericolo più concreto non è che qualcuno indovini la tua password, ma che la riusi. Quando un sito subisce un furto di dati, le coppie email + password finiscono in elenchi che vengono provati in automatico su caselle email, home banking, e-commerce e pannelli di gestione (il cosiddetto credential stuffing). Se la password della newsletter è la stessa della casella aziendale, una violazione di un sito qualsiasi diventa una violazione della tua azienda.
Quanto tempo serve per indovinare una password
La tabella stima il tempo medio necessario per un attacco “offline” a forza bruta, cioè quando l'attaccante ha già rubato l'archivio delle password e può fare tentativi senza limiti, ipotizzando 100 miliardi di tentativi al secondo (un piccolo gruppo di schede grafiche contro un hash veloce). Gli stessi calcoli sono usati dall'indicatore del generatore.
| Password | Entropia | Tempo medio per indovinarla |
|---|---|---|
| 8 caratteri, solo minuscole | 38 bit | circa 1 secondo |
| 8 caratteri, tutti i tipi | 52 bit | circa 8 ore |
| 12 caratteri, tutti i tipi | 79 bit | circa 75.000 anni |
| 16 caratteri, tutti i tipi | 105 bit | migliaia di miliardi di anni |
| 20 caratteri, tutti i tipi | 131 bit | oltre ogni limite pratico |
| Passphrase di 6 parole casuali (da 7.776) | 78 bit | circa 33.000 anni |
I numeri valgono solo per password generate a caso: una password “inventata” di 12 caratteri basata su parole e date può essere trovata in minuti da un attacco a dizionario. E nessuna lunghezza protegge da phishing, malware che registra la tastiera o password riutilizzate: per questo serve anche l'autenticazione a due fattori.
Le regole aggiornate: cosa dicono NIST e le autorità italiane
Le linee guida più citate al mondo sulle password sono quelle del NIST statunitense (SP 800-63B, aggiornate nel 2025), e vanno nella stessa direzione delle raccomandazioni dell'Agenzia per la Cybersicurezza Nazionale (ACN) e del CSIRT Italia:
- lunghezza minima: almeno 15 caratteri quando la password è l'unico fattore di accesso, almeno 8 se è affiancata da un secondo fattore;
- niente regole di composizione forzate (“una maiuscola, un numero, un simbolo”): spingono verso schemi prevedibili; meglio chiedere lunghezza;
- niente scadenze periodiche obbligatorie: la password si cambia quando c'è un sospetto di compromissione, non ogni 90 giorni;
- controllo contro le password già violate: i sistemi dovrebbero rifiutare password presenti negli elenchi di data breach e quelle più comuni;
- sì ai password manager: i campi password devono permettere di incollare e di usare la compilazione automatica;
- autenticazione a più fattori su tutto ciò che conta: email, accessi remoti, pannelli di amministrazione, cloud e banca.
Password sicure e direttiva NIS2: cosa c'entrano
La direttiva NIS2 (UE 2022/2555), recepita in Italia con il D.Lgs. 4 settembre 2024, n. 138, obbliga i soggetti “essenziali” e “importanti” di molti settori (energia, trasporti, sanità, acqua, infrastrutture digitali, servizi ICT gestiti, pubblica amministrazione, ma anche produzione, alimentare, rifiuti, servizi postali e altri) ad adottare misure tecniche, operative e organizzative adeguate per gestire il rischio informatico. L'autorità nazionale competente è l'ACN.
La legge non dice “usa password di 16 caratteri”, ma fra le misure minime elencate dalla direttiva (art. 21) e dal decreto italiano ce ne sono diverse che riguardano direttamente gli accessi:
| Misura richiesta dalla NIS2 | Cosa significa in pratica per le password |
|---|---|
| Politiche di controllo degli accessi e gestione degli asset | Una politica scritta sulle credenziali: lunghezza minima, divieto di riuso, account personali (mai condivisi), revoca immediata quando un collaboratore se ne va. |
| Autenticazione a più fattori o continua | MFA obbligatoria almeno su email, accessi remoti (VPN, desktop remoto), cloud e account amministrativi. |
| Igiene informatica di base e formazione | Formare il personale a riconoscere il phishing, usare il password manager, non annotare password su fogli o file. |
| Politiche di crittografia | Password conservate solo in forma cifrata con algoritmi adatti (Argon2, bcrypt, scrypt), mai in chiaro in fogli Excel o email. |
| Gestione degli incidenti | Procedura per reagire a una credenziale compromessa: cambio password, chiusura delle sessioni, verifica degli accessi, eventuale notifica al CSIRT Italia. |
| Sicurezza della catena di approvvigionamento | Verificare che fornitori, agenzie e consulenti che accedono ai tuoi sistemi usino account dedicati e MFA. |
Il decreto rende inoltre responsabili gli organi di amministrazione: devono approvare le misure di sicurezza, sovrintenderne l'attuazione e seguire una formazione specifica. Le sanzioni per i soggetti essenziali arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo; per i soggetti importanti fino a 7 milioni o all'1,4%. Le guide pubblicate da ENISA, l'Agenzia europea per la cybersicurezza, descrivono nel dettaglio come mettere in pratica queste misure.
Una politica sulle password per la tua attività in 8 punti
- Password manager per tutti, aziendale e con condivisione controllata delle credenziali di gruppo.
- Almeno 16 caratteri casuali per gli account normali, 20 o più per email, gestionali e accessi amministrativi.
- Una password per ogni servizio, senza eccezioni: nessun riuso fra lavoro e vita privata.
- MFA ovunque sia disponibile, preferendo app di autenticazione o chiavi fisiche (FIDO2/passkey) agli SMS.
- Account personali: niente utenze condivise tipo “ufficio” o “admin” usate da più persone.
- Cambio immediato in caso di dubbio: data breach, dispositivo perso, uscita di un collaboratore o di un fornitore.
- Controllo periodico degli accessi: chi ha ancora le chiavi di sito, hosting, domini, social e posta?
- Formazione breve e ricorrente su phishing e gestione delle credenziali, documentata.
Gli errori più comuni da evitare
- usare nome dell'azienda, del titolare o della città seguiti dall'anno;
- aggiungere solo un numero alla vecchia password quando “scade” (
Password1,Password2…); - salvare le password in un file sul desktop, in una nota del telefono o in una email inviata a se stessi;
- comunicare le credenziali via WhatsApp o email in chiaro a fornitori e collaboratori;
- lasciare attive le password predefinite di router, stampanti, telecamere e pannelli di hosting;
- fidarsi dei “misuratori di robustezza” che premiano solo i simboli:
P@ssw0rd!è nei dizionari di attacco.
E le passkey?
Le passkey (standard FIDO2/WebAuthn) sostituiscono la password con una coppia di chiavi crittografiche salvate sul dispositivo e sbloccate con impronta, volto o PIN. Non si possono riutilizzare né consegnare a un sito di phishing, quindi sono il metodo di accesso più sicuro oggi disponibile. Dove sono supportate (Google, Microsoft, Apple e un numero crescente di servizi) conviene attivarle; per tutto il resto restano le password lunghe e casuali, conservate in un password manager.