In Italia molti servizi pubblici — dall'INPS all'Agenzia delle Entrate — richiedono ormai SPID (il Sistema Pubblico di Identità Digitale) per l'accesso, che aggiunge un secondo fattore oltre alla password. Ma la password SPID di partenza resta comunque il punto debole della catena: i gestori d'identità impongono regole di lunghezza e composizione diverse tra loro, e una password generata "troppo lunga" per un provider può risultare rifiutata da un altro.
Cos'è l'entropia di una password
L'entropia si misura in bit e dipende dalla dimensione dell'alfabeto dei caratteri e dalla lunghezza della password: entropia = log2(dimensione_alfabeto ^ lunghezza). Una password più lunga con un alfabeto più piccolo (per esempio, solo minuscole) può avere un'entropia più alta di una password corta con un alfabeto complesso — ma se il modulo la tronca a un limite arbitrario, quel vantaggio teorico sparisce.
Perché la lunghezza conta più della complessità
Una password composta da quattro parole casuali del dizionario (come "corretto-cavallo-batteria-graffetta") ha spesso un'entropia più alta di una password corta come "P@ssw0rd!", anche se quest'ultima sembra "più complessa" per il mix di tipi di caratteri. Questo perché ogni carattere aggiuntivo di lunghezza aumenta esponenzialmente lo spazio di ricerca, mentre allargare l'alfabeto influisce solo linearmente sull'esponente.
A cosa serve
- Generare password forti per nuovi account senza affidarsi alla memoria umana.
- Capire perché il requisito "almeno un numero e un simbolo" non è il fattore di sicurezza più importante.
- Stimare la reale resistenza di password esistenti a un attacco a forza bruta.
Passphrase contro caratteri casuali
Una passphrase composta da diverse parole casuali del dizionario (ad esempio "correct-horse-battery-staple") può avere un'entropia più alta di una password breve con caratteri speciali, ed è allo stesso tempo molto più facile da memorizzare per una persona. Per le password memorizzate in un gestore di password e mai inserite manualmente, questo non ha importanza — i caratteri casuali danno un'entropia più alta per carattere. Ma per la "master password" del gestore stesso, che bisogna ricordare, una passphrase è spesso una scelta più pratica.