Passphrase: una password fatta di parole, da usare con cognizione di causa

Una passphrase è una sequenza di parole scelte a caso, più facile da ricordare rispetto a una password tradizionale. È sicura solo a una condizione precisa: che le parole siano davvero casuali. Ecco come crearne una, quante parole scegliere e i rari casi in cui è la soluzione giusta.

Che cos'è una passphrase?

Una passphrase è una password composta da più parole intere scelte a caso, ad esempio "oblò ciliegia vertigine pentola tuffo sgabello". Invece di combinare caratteri, si combinano parole.

Il metodo di riferimento si chiama Diceware. Consiste nell'estrarre a sorte più parole da un elenco pubblico di circa 7.800 parole, storicamente con i dadi (da cui il nome), oggi con un generatore. Due elementi determinano il valore del metodo: le parole sono estratte a caso e non scelte, e non hanno alcun legame tra loro, né grammaticale né tematico. Ciò che rende una passphrase difficile da ricordare è esattamente ciò che la rende sicura. Qualsiasi tentativo di renderla più comoda la indebolisce.

Una passphrase è sicura perché è lunga?

No. Una passphrase è sicura perché è estratta a caso, non perché è lunga. Non appena racconta qualcosa, la sua protezione crolla.

Questo è il malinteso di partenza. La passphrase viene spesso presentata come lunga, memorizzabile e molto sicura, come se queste tre qualità andassero necessariamente di pari passo. In realtà, solo l'origine casuale delle parole produce sicurezza. Una frase inventata di testa e una passphrase estratta a sorte possono essere indistinguibili a occhio nudo: solo il metodo di creazione le distingue.

Che cos'è l'entropia e perché è l'unica cosa che conta?

L'entropia misura la difficoltà di indovinare un segreto. Si esprime in bit, e la regola si riassume in una frase: ogni bit aggiuntivo raddoppia il lavoro dell'attaccante.

Alcuni punti di riferimento:

Il dettaglio che cambia tutto: l'entropia non descrive il segreto, ma il modo in cui è stato scelto. Un generatore casuale potrebbe produrre "ciao", e sarebbe un'estrazione legittima; l'utente che digita "ciao" di propria iniziativa non ha invece nessuna protezione. Non è l'aspetto della password che conta, ma il numero di possibilità tra cui è stata estratta. È la stessa meccanica per cui la lunghezza di una password conta più della sua complessità: allungare moltiplica le possibilità, aggiungere decorazioni non serve quasi a nulla.

Quante parole servono per una passphrase sicura?

Sei parole come minimo. Sette o otto per un segreto che protegge tutto il resto, come la password principale di un gestore di password o la cifratura di un disco.

Tradotto in tempo di calcolo, di fronte a un attaccante capace di mille miliardi di tentativi al secondo (ipotesi pessimistica, che presuppone un segreto rubato e mal protetto lato server): quattro parole cedono in meno di un'ora, cinque parole reggono qualche mese, sei parole diverse migliaia di anni, sette parole sono irraggiungibili.

Perché essere più esigenti sulla password principale o sulla cifratura di un disco? Perché si tratta di attacchi offline. Un attaccante che riesce ad accedervi può violarla sul proprio sistema, senza limiti di tentativi. Nessuna protezione lato server può fermarlo: rimane solo l'entropia del segreto.

Un dettaglio utile: ampliare l'elenco di parole, cioè scegliere parole poco comuni, serve quasi a nulla. Passare da 7.800 a 20.000 parole fa guadagnare solo un bit e mezzo per parola, perché bisogna raddoppiare l'elenco per guadagnare un solo bit. L'unica leva che conta è il numero di parole.

Perché una passphrase deve essere più lunga di una password generata?

Perché una parola apporta meno sicurezza di quanto sembri. Una parola estratta a caso tra 7.800 vale circa 13 bit, equivalenti a soli due caratteri, ma richiede cinque o sei battiture.

In altre parole, una passphrase produce circa tre volte meno sicurezza per carattere digitato rispetto a una password generata. È l'unico caso in cui la lunghezza apparente e la robustezza reale divergono nettamente. Una passphrase di trentacinque caratteri fa una certa impressione visivamente; vale però quanto una password generata di una dozzina di caratteri. Il rapporto è notevolmente stabile: una parola estratta a caso vale circa due caratteri casuali.

Si può usare una frase di senso compiuto per ricordarla più facilmente?

No, è l'errore più diffuso. In una frase coerente, ogni parola restringe il campo delle parole successive invece di moltiplicarlo, che è esattamente l'opposto del meccanismo desiderato.

Prendiamo una passphrase che inizia con "sono andato al...". Le prime parole formano una sequenza frequente: non apportano quasi nulla, un attaccante le prova subito. Quanto alla parola successiva, la grammatica e il senso la confinano in una manciata di candidati plausibili: ristorante, cinema, mercato, ufficio, parco. Qualche decina di opzioni, laddove l'estrazione a caso ne offriva quasi ottomila.

Una frase italiana di senso compiuto raggiunge al massimo circa un bit per carattere, contro 6,5 per un vero casuale. Una frase di quaranta caratteri può quindi valere meno di una password generata di sette. Non è una preoccupazione teorica: gli strumenti di cracking attuali integrano modelli linguistici ed esplorano in via prioritaria le sequenze naturali. Testi di canzoni, proverbi, titoli e citazioni famose sono nei dizionari di attacco da tempo. Il ricordo personale non è una via d'uscita: l'attaccante non ha bisogno di conoscere il ricordo, solo la lingua.

Bisogna aggiungere maiuscole, numeri e simboli?

Non è necessario. Su una passphrase, queste aggiunte rendono poco, mentre una parola in più estratta a caso cambia tutto.

Quali sono gli svantaggi di una passphrase?

La memorizzazione richiede un vero sforzo, e digitarla su mobile è scomodo, soprattutto se i caratteri non vengono mostrati. Questi limiti vengono raramente menzionati, ma condizionano il suo utilizzo.

Ricordare sei-otto parole rigorosamente senza legami tra loro non è immediato: è necessario fare uno sforzo di memorizzazione. È più facile di una password generata di forza equivalente, ma non è senza costo. Digitare quaranta caratteri su tastiera touch più volte al giorno, con la correzione automatica che si intromette, è un motivo molto concreto di abbandono. Infine, un limite a venti o trentadue caratteri, ancora frequente, rende l'esercizio impossibile.

Quando conviene davvero usare una passphrase?

Solo per i rari segreti che è necessario ricordare a memoria, perché nessuno strumento può suggerirceli. In tutti gli altri casi, una password generata fa meglio.

I casi d'uso adatti sono pochi:

• La password principale di un gestore di password
• La cifratura di un disco o di un backup
• Una frase di recupero che non è possibile salvare da nessuna parte
• Un segreto condiviso verbalmente o per telefono

Quest'ultimo caso è un vantaggio raramente citato: una sequenza di parole si detta, si scrive a mano e si ricopiare senza errori, laddove una password generata trasforma ogni 0/O e ogni l/1 in una fonte di confusione. Per tutto il resto - le decine di account quotidiani - una password generata, unica e mai memorizzata è migliore sotto ogni punto di vista. La domanda giusta non è quindi "passphrase o password generata?" ma "ho bisogno di ricordare questo segreto a memoria?". La risposta dovrebbe essere sì solo raramente nella vita digitale, tanto più che le passkey riducono ulteriormente il numero di segreti da memorizzare. Il generatore integrato nel gestore di password di Octopussian produce anche una passphrase con la stessa casualità crittografica di una password tradizionale.

Come creare correttamente una passphrase?

Lasciando che una macchina estragga le parole a caso e non cedendo alla tentazione di sistemarle. L'entropia è nell'estrazione, non nel modo in cui la si ricorda.

• Non scegliere le parole da soli. Contrariamente a quanto si pensa, siamo poco bravi a scegliere davvero a caso: usare dadi o un generatore crittografico, non l'intuito.
• Non rigettare una parola che non piace. Scartare le estrazioni sgradite equivale a restringere l'elenco. Se il risultato è davvero inutilizzabile, si rilancia tutto, non una singola parola.
• Non ridurre l'elenco. Con un elenco corto (circa 1.300 parole), servono circa otto parole per ottenere ciò che sei parole danno con l'elenco lungo.
• Un aiuto mnemonico non costa nulla. Inventare un'immagine assurda per ricordare un'estrazione casuale non indebolisce il segreto. Ciò che è vietato è comporre la frase a partire da una storia.
• Scrivere la frase su carta durante la fase di apprendimento è un compromesso ragionevole, a condizione di distruggerla una volta acquisita la memorizzazione.
• Una passphrase non si riutilizza, così come non si riutilizza una password. E non sostituisce il secondo fattore: protegge contro il tentativo di indovinare, non contro il phishing, un keylogger o una fuga di dati lato server.

Cosa bisogna ricordare

• Una passphrase è sicura perché è estratta a caso, non perché è lunga.
• Sei parole come minimo, sette o otto per una password principale o la cifratura di un disco.
• Non usare mai una frase di senso compiuto: ogni parola prevedibile riduce la sicurezza.
• Una parola casuale in più vale più di tutte le maiuscole, i numeri e i simboli messi insieme.
• La passphrase serve solo per i segreti da ricordare a memoria; per tutto il resto, un generatore è preferibile.