Verificare la sicurezza di una password

Un test password che resta sul tuo dispositivo

Questo strumento verifica la sicurezza di una password mentre la scrivi. Non si limita a contare maiuscole e simboli: cerca quello che un programma di attacco proverebbe per primo, cioè le password più diffuse, le parole del dizionario, le sequenze di tasti come qwerty, le ripetizioni, le date e le lettere travestite da numeri. Da qui ricava il numero di tentativi necessari, un giudizio su cinque livelli e tre tempi per violarla.

Il calcolo avviene tutto nel browser: la password non viene inviata né salvata, e durante l'analisi lo strumento non invia alcuna richiesta di rete. Non viene nemmeno confrontata con le banche dati di violazioni: alcuni servizi offrono questo controllo inviando solo un frammento anonimizzato dell'hash della password, noi abbiamo scelto di non inviare nulla.

Come si usa

1. Scrivi o incolla la password in «Password da verificare». Resta nascosta; «Mostra» la rende visibile e «Cancella» svuota il campo. Finché è nascosta, i punti deboli indicano posizioni («Caratteri da 1 a 6») invece di riportare il testo.
2. Leggi la «Sicurezza»: Molto debole, Debole, Media, Forte o Molto forte, con una barra a cinque tacche.
3. Guarda il «Tempo stimato per violarla» nei tre scenari, poi i «Punti deboli trovati» e i «Consigli».

Cosa rende sicura una password

Contano due cose: la lunghezza e l'imprevedibilità. Ogni carattere in più moltiplica il lavoro di chi attacca, purché non segua uno schema noto. Le regole di complessità da sole ingannano: P@ssword1 ha maiuscola, simbolo e numero. Senza tenere conto degli schemi varrebbe 59 bit, ma lo strumento riconosce «password1» camuffata: circa 10.056 tentativi, 13 bit, 4 giorni con un attacco online limitato e 1 secondo contro un hash lento.

Passphrase, gestore di password e autenticazione a due fattori

Una passphrase mette in fila più parole scelte a caso. Due parole note come sole-luna non bastano: circa 2,4 milioni di tentativi, 4 minuti contro un hash lento. Cinque parole estratte da un elenco di 1296 arrivano a circa 5,8 × 10¹⁶ tentativi, oltre 185.000 anni contro un hash lento. Le parole vanno estratte a sorte, non prese da un proverbio o da una canzone.

Usa una password diversa per ogni servizio: quando un sito subisce il furto del database, gli attaccanti provano la stessa email e la stessa password ovunque. Un gestore di password le crea e le ricorda per te; devi memorizzare solo una passphrase solida. Attiva l'autenticazione a due fattori su posta, banca e social network.

Se un servizio subisce una violazione, cambia subito quella password e quelle simili, chiudi le sessioni aperte e diffida delle email che dicono di arrivare da quel servizio.

Come stima lo strumento, e i suoi limiti

Lo strumento cerca il modo più economico, per chi attacca, di scomporre la password in schemi noti. Una password comune vale la sua posizione nell'elenco; una parola del dizionario italiano, la dimensione dell'elenco; una data, gli anni plausibili per 365. Ogni carattere fuori da uno schema conta come 10 possibilità, un'ipotesi prudente. Il prodotto dà i tentativi e l'entropia corretta.

Le soglie: meno di 1000 tentativi, molto debole; meno di 100 milioni, debole; meno di 10¹³, media; meno di 10¹⁸, forte; oltre, molto forte. I tempi presuppongono 100 tentativi all'ora online, 10.000 al secondo contro un hash lento e 10 miliardi al secondo contro un hash veloce. Sono ordini di grandezza: una stima, non una garanzia. Lo strumento non sa cosa un attaccante sa di te (il nome del cane, la squadra del cuore) e conosce solo qualche migliaio di parole.

Domande frequenti

La mia password viene inviata da qualche parte?

No. L'analisi avviene nella pagina, senza che lo strumento invii richieste mentre scrivi, e nel browser non resta nulla.

Perché «Amore1990» è debole?

Unisce una delle password più usate in Italia, una maiuscola iniziale e un anno: circa 5.976 tentativi, 2 giorni anche con un attacco online limitato.

Servono i simboli per una password forte?

Aiutano un po', ma la lunghezza conta molto di più. Cinque parole a caso in minuscolo battono otto caratteri pieni di simboli.

Una password «Molto forte» è inviolabile?

No. Resiste ai tentativi di indovinarla, ma non al phishing, a un programma spia o al riutilizzo su un sito violato.