Quanto dovrebbe essere lunga una password? Forza senza miti

La lunghezza è la proprietà più importante di una password. Ogni carattere in più moltiplica il lavoro richiesto a un attacco a forza bruta, mentre sostituire una lettera con un simbolo aggiunge solo un'opzione per posizione. Una password lunga e noiosa batte costantemente una corta e furba.

Come regola pratica: 16 o più caratteri casuali da un generatore sono più che sufficienti per gli account che ti stanno a cuore, e una frase-passphrase casuale di poche parole non correlate funziona altrettanto bene per ciò che va digitato a mano. Una password di 8 caratteri, per quanto casuale, è alla portata di chiunque affitti potenza di calcolo al minuto — ecco perché la dimensione conta più dei simboli sparsi dentro.

Il riutilizzo è il vero pericolo, non la complessità. Quando un'azienda con una sicurezza scadente fa trapelare il proprio database, gli attaccanti provano le coppie e-mail/password ovunque altrove; una password forte riutilizzata su più siti diventa l'anello più debole nel momento in cui uno di essi cede. Usa un gestore di password, tieni ogni password unica e attiva l'autenticazione a due fattori dove conta.

Gli organi di standardizzazione hanno silenziosamente abbandonato le vecchie regole, e per un motivo: i vincoli del tipo «un maiuscolo, una cifra, scade ogni 90 giorni» spingono le persone verso modelli prevedibili che gli attaccanti sanno a memoria. Lunghezza, unicità e un misuratore di forza onesto — come quello del nostro generatore, che gira interamente nel browser — ti portano più lontano di qualsiasi rituale.