Approfondimento editoriale · fonti ufficialimedium
Le regole sulle password che ci hanno insegnato sono sbagliate
Il cambio password ogni novanta giorni, l'obbligo di un carattere speciale, la maiuscola messa lì per forza: sono le regole con cui una generazione ha imparato a fare le password. E sono le stesse che il NIST, nell'ente che quelle regole le ha in parte diffuse, oggi raccomanda di abbandonare. La revisione 4 della SP 800-63B ribalta la prospettiva: conta la lunghezza, non la complessità artificiale. Un approfondimento su cosa è cambiato e perché è una questione di cultura prima che di tecnologia.
Le abitudini che nessuno ha più aggiornato
C'è una parte della sicurezza che vive di gesti automatici, ripetuti perché "si è sempre fatto così". Le password sono il caso da manuale. Molte organizzazioni impongono ancora la rotazione ogni tre mesi, pretendono almeno un numero, una maiuscola e un simbolo, e sono convinte che questo renda gli account più sicuri. Il problema è che chi ha scritto quelle regole ha cambiato idea, e da tempo.
Il NIST — l'istituto americano di standard e tecnologia, un riferimento anche ben oltre gli Stati Uniti — nella revisione 4 della sua guida SP 800-63B mette nero su bianco una serie di indicazioni che suonano eretiche solo perché abbiamo imparato l'opposto. Non sono opinioni: sono lo standard tecnico su cui molti costruiscono le proprie politiche.
Cosa dice davvero lo standard
Tre punti riassumono il cambiamento. Primo: la lunghezza batte la complessità. Lo standard chiede almeno 15 caratteri per una password usata come fattore singolo, e in generale invita ad accettare frasi lunghe — passphrase — invece di stringhe corte e contorte. Una frase che si ricorda e non si scrive su un post-it vale più di "P@ss1!" ripetuto ovunque.
Secondo: niente scadenze periodiche. Il NIST dice esplicitamente di non imporre il cambio a intervalli fissi, e di richiederlo solo quando c'è evidenza di una compromissione. Il motivo è controintuitivo ma solido: costretti a cambiare di continuo, gli utenti fanno piccole variazioni prevedibili — la stessa password con un numero che cresce — e il risultato è più debole, non più forte. Terzo: bloccare le password già finite in violazioni note. Lo standard chiede di confrontare le nuove password con elenchi di quelle comuni e compromesse, e di rifiutarle. È lì che si gioca la partita vera, non nell'obbligo del punto esclamativo.
Perché è cultura, non solo configurazione
Si potrebbe archiviare tutto come una questione di impostazioni da cambiare in un pannello. Ma il nodo è culturale. Le regole vecchie sopravvivono perché sembrano severe, e la severità apparente rassicura: se costringo le persone a soffrire un po', penso di averle rese sicure. La revisione del NIST smonta proprio questa equazione. La sicurezza non è quanto è fastidiosa la regola, è quanto è efficace — e alcune regole fastidiose sono, alla prova dei fatti, controproducenti.
Un paio di precisazioni oneste. Queste indicazioni riguardano il modo di gestire le password, ma la password da sola resta il fattore debole: l'autenticazione a più fattori, meglio se resistente al phishing, è l'altro pezzo che nessuno standard rende opzionale. E adottare le nuove regole non significa allentare, significa spostare lo sforzo dove serve: lunghezza, gestori di password per non riusarle, blocco di quelle già violate. La fonte da leggere per intero è la SP 800-63B del NIST; il resto è smettere di difendere abitudini che chi le ha inventate ha già superato.
