Generatore di passphrase

Una password facile da ricordare, fatta di parole

Una passphrase, o frase password, è una password composta da più parole comuni estratte a caso, per esempio giraffa-tamburo-limone-scala. Appena apri la pagina, lo strumento te ne propone una di 4 parole unite da trattini. A ogni modifica delle impostazioni o clic su «Nuova frase» ne estrae un'altra.

Perché parole? Perché la memoria trattiene molto meglio quattro immagini che una sequenza come K7#qz!Lp. E perché la sicurezza nasce dalla lunghezza e dal caso, non dai caratteri strani: una password corta e «complicata» inventata da una persona, tipo Estate2024!, segue schemi che i programmi di attacco provano per primi.

Come si usa

1. Scegli il Numero di parole, da 3 a 10.
2. Scegli la Lingua delle parole: italiano come impostazione iniziale, oppure francese, inglese, spagnolo e tedesco.
3. Scegli il Separatore: trattino, spazio, punto, trattino basso o nessuno.
4. Se serve, spunta «Maiuscola all'inizio di ogni parola», «Aggiungi una cifra» o «Aggiungi un simbolo». La casella «Togli gli accenti» è già spuntata: città diventa citta e caffè diventa caffe, così la frase si digita su qualsiasi tastiera.
5. Imposta il Numero di frasi (da 1 a 10) se vuoi scegliere tra più proposte, poi clicca su «Copia». La barra spaziatrice estrae di nuovo.

Sotto la frase compaiono la lunghezza (28 caratteri nell'esempio) e la robustezza: bit, livello (debole sotto i 40 bit, discreta da 40 a 60, forte da 60 a 80, molto forte oltre) e una frase che spiega il calcolo.

Il calcolo della robustezza, con i numeri veri

L'elenco italiano contiene 1.296 parole di uso comune. Ogni parola viene estratta a caso da questo elenco con il generatore crittografico del tuo browser: ci sono quindi 1.296 possibilità per parola. In bit: log2(1.296) = 10,34 bit per parola.

La cifra facoltativa è una delle 10 cifre, attaccata alla fine di una delle parole: con 4 parole sono 40 possibilità, cioè 5,32 bit in più. Il simbolo è uno di 8 segni (! ? # $ % & * @), anch'esso alla fine di una parola: 32 possibilità con 4 parole, 5 bit in più. Il calcolo presuppone che chi attacca conosca l'elenco e le tue impostazioni: la sicurezza dipende solo dal caso. Per confronto, 8 caratteri davvero casuali su 94 danno 52,4 bit: 5 parole sono alla pari, 6 parole fanno meglio, e si ricordano molto più facilmente.

Quante parole scegliere?

4 parole bastano per un account normale su un sito che limita i tentativi di accesso (blocco dopo vari errori, attesa tra un tentativo e l'altro): con migliaia di miliardi di combinazioni, indovinarla online è fuori portata.

6 parole o più per ciò che può essere attaccato offline, senza limiti di tentativi: la password principale di un gestore di password o quella della cifratura di un disco. Ogni parola in più moltiplica le combinazioni per 1.296. È un margine di sicurezza, non una garanzia.

Le regole che contano

• Parole estratte, non scelte. Se sostituisci una parola con un'altra che ti piace di più, il calcolo non vale più. Una citazione, un proverbio o il testo di una canzone non sono una passphrase: compaiono negli elenchi che gli attaccanti provano.
• Una frase diversa per ogni account. Se un sito subisce una fuga di dati, gli altri account restano al sicuro.
• Un gestore di password ricorda tutte le altre: devi memorizzare una sola frase.
• L'autenticazione a due fattori ovunque sia disponibile: un codice sul telefono o una chiave di sicurezza oltre alla password.

Per ricordarla, immagina una scena con le parole in ordine: una giraffa che suona il tamburo in cima a una scala, con un limone in bocca. Nei primi giorni digitala qualche volta.

Un sito pretende una cifra, una maiuscola o un simbolo? Spunta le opzioni corrispondenti invece di modificare la frase a mano.

Cosa lo strumento non fa

La frase viene creata nel tuo browser e non viene né inviata né salvata: solo le impostazioni restano sul tuo dispositivo per la prossima visita. Lo strumento non verifica se una frase compare in una fuga di dati e non la conserva: copiala prima di chiudere la pagina. Per una password classica fatta di caratteri casuali, il sito offre anche un generatore di password.

Domande frequenti

Una frase tutta in minuscolo è abbastanza sicura?

Sì. La robustezza viene dal numero di parole estratte a caso. Le maiuscole cambiano pochissimo il calcolo; servono soprattutto per i siti che le richiedono.

Perché togliere gli accenti?

Per poter digitare la frase su una tastiera straniera, sul telefono o sul televisore. Nell'elenco nessuna parola coincide con un'altra una volta tolti gli accenti.

Posso usare parole inglesi anche se parlo italiano?

Sì, la robustezza è la stessa: ogni elenco contiene 1.296 parole. Scegli la lingua in cui immagini meglio le parole.

Se estraggo più volte finché le parole mi piacciono, è un problema?

Ripetere due o tre volte cambia poco. Scartare a lungo per tenere parole «che ti dicono qualcosa» riduce il caso: meglio aggiungere una parola.