Come conservare le password in modo sicuro

Negli articoli precedenti, abbiamo visto come generare password robuste con strumenti online come WolframAlpha oppure tramite una serie di trucchi che permettono anche di ricordarsele senza grossa difficoltà. Ma rimane almeno ancora un problema da risolvere: di password oggigiorno ne abbiamo molte e, dato che è altamente sconsigliato usare sempre la stessa password, avremmo a che fare con decine di password diverse. Ricordarle tutte a memoria è impossibile e comunque sconsigliato.

Non scrivetele su fogli di carta, post-it o qualsiasi altra cosa a cui possono accedere altre persone. La soluzione è molto più semplice: usare software, chiamati password manager, che permettono la gestione e l’archiviazione delle password. La filosofia di base di questi programmi è la stessa per tutti: viene creato un database (archivio) delle nostre password a cui accediamo con una sola password. Dovremmo quindi preoccuparci di memorizzare solo questa, per poi poter accedere, in modo semplice, a tutte le nostre.

Esistono numerosi programmi di password management, gratis e a pagamento, per qualsiasi piattaforma (Windows/Linux/Mac) e in molti casi anche per smartphone (Android/iPhone). Un annetto fa circa, ho scritto una piccola guida, illustrando i migliori password manager per Windows.

I migliori sono ancora gli stessi, LastPass e KeePassX in particolare. Io mi trovo molto bene con il secondo: per i dettagli solo suo utilizzo e su quello di altri software, vi rimando alla guida di cui sopra.

Come generare password robuste e facili da ricordare

In un precedente articolo, ho illustrato come generare password con WolframAlpha: il metodo è sicuramente poco pratico per utenti meno esperti e se, da una parte genera password robuste, dall’altra risultano essere di difficile memorizzazione.

A questo problema si potrebbe ovviare con l’utilizzo di software per la gestione delle password (come vedremo in un altro articolo), ma se invece vogliamo creare password sicure e facilmente memorizzabili, ci sono una serie di trucchi.

Come già detto, anziché utilizzare nomi di persone, animali e date di nascite, si possono utilizzare come password frasi prese dalla propria canzone preferita o di una poesia, che conosciamo a memoria. Partiamo, ad esempio da:

nelmezzodelcammin

una password di 17 caratteri, quindi abbastanza lunga e facile da ricordare. Però la password è molto debole, come possiamo verificare su questo sito. Quindi dobbiamo renderla più sicura: proviamo iniziando ogni parola con la lettera maiuscola, in modo da ottenere

NelMezzoDelCammin

La password è solo un po’ più sicura, ma siamo ancora lontani dal risultato.

Se provassimo ad aggiungere dei numeri? Presto fatto: possiamo trasformare le “o” in “0″, le “i” in “1″ e le “e” in “3″, le “a” in 4 e così via, ottenendo una serie di varianti:

nelmezz0delcamm1n
n3lm3zzodelcammin
N3lN3zz0D3lCamm1n
n3lm3zz0d3lc4mm1n

La robustezza passa da “molto debole” a “debole”.

Ultimo passo per renderla più robusta è l’inserimento di caratteri speciali o di punteggiatura:

nel.mezzo.del.cammin
nelmezzo,delcammin.
nel!mezzo?del!cammin?
N3l!M3zz0?D3l!C4mm1n

Nell’ultimo esempio, abbiamo generato una password molto forte, sempre secondo l’analisi del sito. Di fatto abbiamo utilizzato:

• una password abbastanza lunga (17 caratteri)
• lettere maiuscole e minuscole
• numeri
• caratteri speciali

Riassumendo: dimentichiamoci di utilizzare nomi di persona, di animali, date di nascita o qualsiasi cosa facilmente individuabile da chi vi conosce o da un estraneo. Pensiamo ad una frase che conosciamo a memoria, la nostra canzone preferita, un verso di una poesia e poi divertiamoci a complicarla un po’, con maiuscole, minuscole, numeri e punteggiatura. Avremmo così password più sicure e di facile memorizzazione.

Come generare password con WolframAlpha

L’utilizzo di password deboli è una brutta abitudine di molti utenti di pc: i motivi che portano a questa scelta sono molteplici. Da una parte la paura di dimenticarsela, per cui si sceglie la propria data di nascita, il nome della ragazza o del cane. Dall’altra la non conoscenza di molti trucchi che permettono di superare questo limite: ad esempio, perché non mettere come password una frase, presa dalla nostra canzone preferita? Si potrebbe poi iniziare ogni parola con la lettera maiuscola, ma anche inserire dei caratteri speciali e dei numeri. Piccoli ma efficaci trucchi come questi ce ne sono molti: avere una password sicura, soprattutto in un “mondo” dove di password ne abbiamo a decine, è di fondamentale importanza. Tanto è importante utilizzare password sicure quanto è importante conservarle in modo sicuro.

Con una serie di articoli, vorrei proprio trattare questi argomenti, partendo da questo articolo, dove vedremo come generare password con WolframAlpha, il motore di ricerca “matematico”.

Andando su WolframAlpha, è sufficiente digitare “secure password” per ottenere una serie di password, facilmente personalizzabili. Oltre a scegliere la lunghezza, si può scegliere se inserire minuscole, maiuscole, numeri e caratteri speciali.

In base alle scelte effettuate, potremmo generare password con un discreto livello di robustezza, con un aiuto fonetico (in inglese) per memorizzarla:

La robustezza della password generata viene poi dimostrata anche dalle tabelle sottostanti il risultato:

Questo metodo permette di generare quindi password con una buona robustezza, ma sicuramente di difficile memorizzazione. Nel prossimo articolo vedremo allora come conservare in modo sicuro le nostre password, senza doverle ricordare tutte a memoria.

[Fonte: HowToGeek]

Mobile Malware

Interessante infografica sullo stato del malware sui dispositivi mobili. Numeri poco favorevoli per Android, che ha visto un aumento del 400% del malware in 6 mesi.

[Fonte: Mashable]

Infografica: Furto d’identità e sicurezza delle password

Via: Online MBA

Safer Internet Day 2010: Think B4 U Post

Oggi, 9 febbraio, è il Safer Internet Day 2010, il cui slogan è Think B4 U Post (“Pensa prima di pubblicare”):  la campagna nasce per sensibilizzare gli utenti ad una maggiore attenzione su quello che si pubblica ogni giorno sulla Rete, in particolare sui social network come Twitter e Facebook.

I 10 migliori software per la sicurezza

Tra la fine di dicembre e la prima metà di gennaio, ho pubblicato su OneITsecurity 10 recensioni sui software più famosi e utilizzati in ambito di sicurezza informatica. Per gli interessati, ecco i link agli articoli:

1. John The Ripper
2. Nmap
3. Nessus
4. chkrootkit
5. Wireshark
6. Netcat
7. Kismet
8. hping
9. Snort
10. tcpdump

Schneier on Security

E’ uscito l’ultimo libro di Bruce Schneier: “Schneier on Security“. Si tratta in realtà di una raccolta di tutti gli articoli scritti da giugno 2002 a giugno 2008, tutto materiale quindi disponibile online sul suo blog.

E’ però l’occasione per averne una copia scritta, disponibile “offline”, oppure un’ottima idea regalo.

C’è la possibilità di avere una copia autografa, acquistandolo su Amazon a 40 $ (per noi che siamo fuori dagli Stati Uniti).

Introduzione alla crittografia

Per una volta ne approfitto per scrivere un post che pubblicizza i miei articoli scritti per oneITsecurity.

Tra agosto e settembre infatti ho presentato una serie di post dedicati alla crittografia, frutto della rivisitazione di vecchi lavori dei tempi dell’università.

Ecco l’elenco completo, sperando di fare cosa gradita a tutti coloro che vogliono avvicinarsi al mondo della crittografia e della sicurezza informatica:

1. Introduzione alla crittografia
2. La crittografia a chiave simmetrica e a pubblica
3. Il codice di Cesare
4. Il metodo Playfair
5. Il metodo di Vigenere
6. La crittografia a chiave pubblica
7. L’algoritmo DES
8. L’algoritmo RSA
9. L’algoritmo di crittografia Diffie-Hellman
10. Differenze tra crittografia a chiave simmetrica e pubblica
11. Introduzione alla crittoanalisi

Bruce Schneier e la “lezione” del bug nei DNS

Bruce Schneier ancora una volta analizza con grande intelligenza tutta la vicenda che ruota intorno al grave bug dei DNS e ci riassume la “lezione” che tutta questa storia ci insegna in un articolo apparso su Wired.

Voglio in particolare sottolineare due passaggi:

Il primo:

This cycle of finding security holes and rushing to patch them before the bad guys exploit those vulnerabilities is expensive, inefficient and incomplete. We need to design security into our systems right from the beginning.

Il secondo:

Stop assuming that systems are secure unless demonstrated insecure; start assuming that systems are insecure unless designed securely.