Password e passkey: proteggere i propri account
Riutilizzare la stessa password su più siti resta una delle cause più frequenti di violazione degli account. Tre strumenti risolvono gran parte del problema: un password manager, l'autenticazione a due fattori e le passkey.
Redazione Kayzen Security4 min di lettura
Cosa rende buona una password
La lunghezza conta più della complessità apparente. Una passphrase composta da più parole senza legame tra loro è al tempo stesso lunga e facile da ricordare. La CNIL (l'autorità francese per la protezione dei dati) pubblica una raccomandazione dettagliata sulle password (delibera n. 2022-100 del 21 luglio 2022), differenziata a seconda che siano usate da sole o con un secondo fattore.
- Unica per ogni account.
- Lunga: una passphrase o una sequenza generata casualmente.
- Mai ricavata da informazioni personali (nomi, date, nome dell'animale).
- Cambiata senza indugio in caso di fuga di dati nota o di dubbio.
Il password manager
Un password manager conserva le vostre credenziali in una cassaforte cifrata, protetta da un'unica password principale. Genera password casuali, le compila automaticamente e le propone solo sul sito giusto, il che limita anche il rischio di phishing.
Scegliete uno strumento affidabile, proteggete con cura la password principale e attivate l'autenticazione a due fattori sulla cassaforte stessa. In azienda, un password manager di team permette di condividere gli accessi senza inviarli per e-mail.
L'autenticazione a due fattori
- App di autenticazione o chiave di sicurezza fisica: le opzioni più sicure.
- Codice via SMS: meglio di niente, ma più esposto (dirottamento della linea, phishing in tempo reale).
- Non comunicate mai un codice ricevuto a chi ve lo chiede, anche se si presenta come la vostra banca o un supporto tecnico.
- Conservate i codici di recupero in un luogo sicuro, lontano dal dispositivo principale.
Le passkey: il passo successivo
Una passkey (chiave d'accesso) si basa sugli standard della FIDO Alliance e del W3C. Il dispositivo crea una coppia di chiavi specifica per ogni sito: la chiave privata non viene mai trasmessa al sito e resta nel vostro dispositivo o nel vostro password manager, che la sincronizza in modo cifrato; la sbloccate con l'impronta digitale, il volto o il PIN.
Poiché la chiave è legata al vero nome di dominio, un sito falso non può usarla: è una protezione forte contro il phishing. Attivatele quando un servizio lo propone, mantenendo un mezzo di recupero.
In azienda
- Imporre l'autenticazione a due fattori su posta elettronica, accessi remoti e strumenti di amministrazione.
- Fornire un password manager di team anziché fogli di calcolo condivisi.
- Disattivare rapidamente gli account delle persone che lasciano l'azienda.
- Usare password di amministratore locale diverse su ogni computer.
Fonti ufficiali
- CNIL (nuova scheda) — Mots de passe : une nouvelle recommandation pour maîtriser sa sécurité
- FIDO Alliance (nuova scheda) — Passkeys (clés d'accès)
- Cybermalveillance.gouv.fr (nuova scheda) — Assistance et prévention en sécurité numérique (fiches réflexes, prestataires ExpertCyber)
Le risorse citate sono pubblicate dai rispettivi autori nella lingua originale. Kayzen non è affiliata ad alcuno di questi enti.
Questa guida ha carattere informativo e generale. Non sostituisce né una consulenza legale né l'intervento di un professionista della sicurezza informatica.