Password sicure e prime regole di sicurezza informatica
Abbiamo visto dove e come vengono organizzati i nostri dati, sul disco locale e nel cloud. Ma tutto questo ha senso solo se quei dati restano al sicuro. L'elemento che protegge la maggior parte dei nostri account — email, cloud, social network — è ancora oggi la password.
Se qualcuno indovina o ruba la tua password, può accedere ai tuoi account, leggere le tue conversazioni, i tuoi file, e persino fingersi te. Per questo è importante capire cosa rende una password debole, e cosa la rende invece davvero sicura.
Una password è debole quando:
- è una parola comune o troppo corta (es. "ciao", "password")
- contiene informazioni personali facilmente reperibili (il tuo nome, la data di nascita)
- segue uno schema prevedibile (es. "123456", "qwerty")
- viene riutilizzata identica su più siti diversi
La password più usata al mondo è ancora "123456"
Ogni anno diverse aziende di sicurezza informatica pubblicano la classifica delle password più usate al mondo, analizzando enormi quantità di dati trapelati da violazioni informatiche. Da anni, in cima alla lista compaiono sempre le stesse: "123456", "password", "qwerty". Significa che, ancora oggi, milioni di account nel mondo sono protetti da password che un programma automatico riesce a indovinare in meno di un secondo.
Un sito per scoprire se sei stato violato
Il sito haveibeenpwned.com permette di controllare gratuitamente se il tuo indirizzo email è comparso in una delle violazioni di dati (data breach) rese pubbliche nel tempo: se la risposta è sì, è un buon motivo per cambiare subito la password di quell'account.
Una violazione da 3 miliardi di account
Nel 2013 Yahoo subì quello che è ancora oggi considerato uno dei più grandi furti di dati della storia di Internet: vennero compromessi gli account di circa 3 miliardi di utenti, praticamente tutti quelli esistenti sulla piattaforma in quel momento.
Una password è invece forte quando è lunga (almeno 12 caratteri), mescola lettere maiuscole, minuscole, numeri e simboli, non è collegabile a informazioni personali pubbliche, ed è diversa per ogni servizio che usi.
Una tecnica pratica ed efficace per creare password sia sicure sia facili da ricordare è quella della passphrase: invece di una sequenza di caratteri a caso, si uniscono tre o quattro parole senza un nesso logico ovvio, aggiungendo numeri e simboli. Ad esempio "Tigre!7Lampada$Fiume" è più lunga, più difficile da indovinare e più facile da memorizzare rispetto a una password corta come "T7g!9x".
Cos'è il phishing
Il phishing è un tentativo di truffa via email, SMS o messaggio, in cui qualcuno finge di essere un'azienda o un servizio conosciuto (la tua banca, un corriere, un social network) per convincerti a cliccare un link e inserire la tua password su un sito finto identico all'originale. La regola d'oro: non inserire mai una password cliccando un link ricevuto via email, ma accedendo direttamente al sito digitandone l'indirizzo.
Per non dover ricordare decine di password diverse esistono i password manager: applicazioni che le memorizzano al posto tuo, in forma cifrata, dietro un'unica password principale. Un'altra protezione molto efficace è l'autenticazione a due fattori (2FA): oltre alla password, il servizio richiede un secondo elemento di verifica, ad esempio un codice ricevuto via SMS o generato da un'app — così, anche se qualcuno scoprisse la tua password, non potrebbe comunque accedere senza quel secondo codice.
Come funziona davvero un password manager
Un password manager genera e memorizza per te password lunghe e casuali diverse per ogni sito, cifrandole in un "caveau" digitale protetto da un'unica password principale (che tu sei l'unico a conoscere). Quando visiti un sito, il programma inserisce automaticamente la password giusta al posto tuo: non devi più ricordarle tutte, solo quella principale.
Anche le domande di sicurezza vanno protette
Molti servizi usano ancora domande come "Il nome del tuo primo animale domestico?" per recuperare un account. Il problema è che queste informazioni sono spesso rintracciabili sui social network: scegli risposte non vere ma solo tu conosci, oppure, dove possibile, preferisci sempre l'autenticazione a due fattori.
Oltre alla password, alcune regole di base aiutano a difendersi dai rischi informatici più comuni:
- Non condividere mai la tua password con nessuno, nemmeno con un amico fidato
- Diffida di email o messaggi che chiedono di inserire una password cliccando un link (è una tecnica chiamata phishing, che vedremo tra poco)
- Presta attenzione a cosa condividi online: una volta pubblicato un dato personale è difficile eliminarlo davvero
- Mantieni aggiornati il sistema operativo e i programmi: gli aggiornamenti spesso correggono falle di sicurezza scoperte nel tempo
►Video5 Regole per creare una Password Sicura (Ferry's Tech)
►VideoImpara a creare password sicure in 5 minuti (Ctrl Alt Hack)
►VideoChe cos'è il phishing e come funziona? (Rai)Classifica di sicurezza
In gruppo, ricevete cinque password di esempio (non reali, create apposta per l'esercizio): "123456", "password", "Giulia2008", "Sole&Gatto19", "TigreVolante!7Lampada42". Usando solo i criteri visti sopra (lunghezza, varietà di caratteri, presenza di dati personali, prevedibilità), ordinatele dalla più debole alla più sicura e motivate ad alta voce ogni posizione in classifica.
UDA3 si conclude qui: abbiamo visto cosa fa il sistema operativo, come organizza i dati in file e cartelle, come lavorare nel cloud e come proteggere i propri account. Nel prossimo blocco di argomenti passeremo alle presentazioni multimediali: come progettare e realizzare una presentazione efficace.
Da dove viene la parola "phishing"
Il termine gioca sulla parola inglese "fishing" (pescare): chi tenta la truffa "lancia l'amo" (un'email o un messaggio falso) sperando che qualcuno "abbocchi" fornendo i propri dati. La "ph" al posto della "f" richiama un'abitudine ortografica nata negli anni '70 tra i primi pirati informatici delle linee telefoniche (il "phone phreaking").
%20e%20un%20amo%3A%20da%20qui%20il%20nome%20%22phishing%22%3C%2Ftext%3E%0A%3C%2Fsvg%3E)
Mettiti alla prova
1. Elenca almeno tre caratteristiche che rendono una password debole.
Ad esempio: essere una parola comune o troppo corta, contenere informazioni personali, seguire uno schema prevedibile, essere riutilizzata su più siti (bastano tre a scelta).
2. Cos'è una "passphrase" e perché può essere più sicura di una password corta e complicata?
È una password formata unendo più parole senza un nesso logico ovvio, con numeri e simboli aggiunti: risulta più lunga (quindi più difficile da indovinare) e più facile da ricordare rispetto a una breve sequenza casuale di caratteri.
3. Cos'è l'autenticazione a due fattori (2FA), e perché rende un account più sicuro?
È un sistema che richiede, oltre alla password, un secondo elemento di verifica (es. un codice via SMS o app); così, anche se la password venisse scoperta, l'account resterebbe comunque protetto.
4. Cos'è il phishing? Fai un esempio.
È un tentativo di truffa in cui qualcuno finge di essere un servizio conosciuto per convincerti a inserire la tua password su un sito falso, ad esempio un'email che sembra della tua banca e ti chiede di "verificare l'account" cliccando un link.
5. Vero o falso: è prudente usare la stessa password sicura per tutti i tuoi account, così è più facile da ricordare.
Falso: se quella password venisse scoperta, chi la conosce avrebbe accesso a tutti i tuoi account contemporaneamente; ogni servizio dovrebbe avere una password diversa.
6. Perché è importante mantenere aggiornati il sistema operativo e i programmi?
Perché gli aggiornamenti spesso correggono falle di sicurezza scoperte nel tempo, che altrimenti potrebbero essere sfruttate per accedere al dispositivo senza autorizzazione.
7. Se ricevi un'email che sembra della tua banca e ti chiede di cliccare un link per inserire la password, cosa dovresti fare?
Non cliccare il link: è quasi certamente un tentativo di phishing. Conviene accedere al sito della banca digitandone direttamente l'indirizzo, senza passare dal link ricevuto.
8. Come funziona un password manager, in breve?
Genera e memorizza password diverse e complesse per ogni sito, protette da un'unica password principale, e le inserisce automaticamente quando servono.
9. Perché anche le domande di sicurezza (es. "nome del primo animale") possono essere un punto debole?
Perché spesso sono informazioni rintracciabili sui social network, quindi indovinabili da chi conosce la vittima o cerca online.
10. Da quale parola inglese deriva il termine "phishing", e perché?
Da "fishing" (pescare): la truffa funziona lanciando un'esca (email falsa) sperando che la vittima "abbocchi".