Password e sicurezza di base

Perché le password

Funzione

• Identificazione utente
• Accesso ai servizi
• Protezione dati personali

Rischi

• Furto di identità
• Perdita dati
• Accessi non autorizzati
• Danni economici e reputazionali

Requisiti password forte

Lunghezza

• Minimo 12 caratteri (2024+)
• Meglio 16+
• Cresce nel tempo (hardware più veloce)

Complessità

• Maiuscole (A-Z)
• Minuscole (a-z)
• Numeri (0-9)
• Simboli (!@#$%^&*)

Unicità

• Diversa per ogni servizio
• Se rubata una, altre sicure
• Crucial per privacy

No informazioni personali

• Nome, data nascita, nome animale
• Facilmente indovinabili
• Attacchi di ingegneria sociale

Esempi password

Deboli (da evitare)

• 123456
• password
• qwerty
• MarioRossi1980
• Milano!

Forti

• c2Hx$!kQ9vP#bL7m (casuale)
• CaneCorrePratoVerde#2024 (passphrase)
• Il_mio_Gatto_mangia_3_volte_al_giorno! (passphrase lunga)

Tecniche di creazione

Passphrase

• Frasi lunghe e memorabili
• Meno facile da indovinare
• Facile da ricordare

Sostituzioni (parziali)

• @ per a
• 3 per e
• 0 per o
• ! per i
• $ per s
• Esempio: «P@ssw0rd!» (ma troppo breve)

Password manager

• Genera password casuali
• Memorizza tutte
• Un solo master password

Password manager

Cosa sono

• Software gestione password
• Crittografa e salva
• Autofill automatico
• Sync tra dispositivi

Principali

• Bitwarden (gratuito, open source)
• 1Password (a pagamento)
• LastPass (freemium)
• Dashlane
• KeePass (gratuito, offline)

Vantaggi

• Password forti per tutti i siti
• Ricordi solo master password
• Accessibili ovunque
• Generazione automatica

Configurazione

• Master password fortissima
• 2FA sul manager stesso
• Backup del database
• Sync sicuro

Autenticazione a due fattori (2FA)

Concetto

• Qualcosa che sai (password) +
• Qualcosa che hai (telefono, token)
• Doppia barriera contro intrusioni

Metodi

• SMS: codice via telefono (meno sicuro)
• App autenticatore: Google Authenticator, Authy (più sicuro)
• Hardware token: YubiKey (massimo sicurezza)
• Email: codice via email (medio)

Implementazione

• Attiva su ogni servizio che lo supporta
• Email, banca, social, ufficio
• Obbligatorio per servizi critici

Backup codici

• Codici di recupero
• Stampali e custodisci
• Utili se perdi il telefono

SPID e CIE

SPID (Sistema Pubblico Identità Digitale)

• Identità digitale nazionale
• Accesso servizi PA
• Livelli: 1 (base), 2 (standard), 3 (alto)
• Provider: Aruba, Poste, Infocert, ecc.

Funziona

• Username + password
• 2FA (SMS o app)
• Unica identità per tutti servizi

CIE (Carta d'Identità Elettronica)

• Documento fisico
• NFC per accesso digitale
• Alternativa SPID
• Integrata con CIE-ID app

Ambiti

• PA digitale (INPS, Agenzia Entrate, ecc.)
• Sanità (fascicolo sanitario)
• Università (pagamenti, iscrizioni)

Accesso PA (PL)

Postazione

• Credenziali aziendali
• Password policy forte
• Cambio periodico (es. ogni 3 mesi)

Banche dati

• Specifiche per ciascuna
• Logging accessi
• Tracciabilità totale

Sicurezza aggiuntiva

• VPN per lavoro remoto
• 2FA per servizi critici
• Logout obbligatorio

Attacchi alle password

Brute force

• Prova tutte le combinazioni
• Lento ma sistematico
• Password lunga = protezione

Dictionary attack

• Password comuni e varianti
• «password123» è rotto in secondi
• Passphrase aiuta

Phishing

• Ti chiedono password via email/sito falso
• Non cadere nel tranello
• Verifica URL e mittente

Keylogger

• Malware registra tasti
• Antivirus aggiornato
• Attenzione PC condivisi/pubblici

Database leak

• Siti violati: password rubate in massa
• Cambia subito se avviso breach
• Have I Been Pwned: verifica email

Cosa NON fare

Errori comuni

• Scrivere password su post-it
• Condividere con colleghi
• Stessa password ovunque
• Password su file di testo
• Password facilmente indovinabili
• Non cambiare mai
• Inserire password su siti sospetti

Cosa fare

Best practices

• Password manager sempre
• 2FA dove possibile
• Master password forte
• Cambio se sospetto compromissione
• Verifica regolare Have I Been Pwned
• Formazione continua

Scenari PL

Postazione

• Password aziendale forte
• Logout ogni fine turno
• Schermo bloccato se lasci

Banche dati

• No accesso per privato
• Log tracciati
• Formazione specifica

Mobile

• Smartphone bloccato (PIN/biometria)
• Dati cancellabili remotamente
• App autorizzate solo

Biometria

Metodi

• Impronta digitale
• Face ID / riconoscimento facciale
• Iris scan

Pro

• Veloce
• Difficile duplicare
• Comodo

Contro

• Non cambiabile se compromessa
• Privacy concerns
• Falsi positivi/negativi

Privacy e password

GDPR

• PA: obbligo proteggere password
• Hashate nei database
• Non in chiaro mai

Accesso

• Diritto all'accesso ai propri dati
• Reset password facilitato
• Portabilità credenziali

Recupero password

Procedura standard

1. Click «Password dimenticata»
2. Email o SMS con link/codice
3. Verifica tempestiva
4. Nuova password

Attenzione

• Email di recupero: sicura
• No condividi link
• Verifica origine

Cambio password

Quando

• Sospetto compromissione
• Dopo data breach
• Periodicamente (consigliato ogni 6-12 mesi)
• Policy aziendale

Come

• Impostazioni del servizio
• Password manager aggiorna
• Nota la modifica (se manuale)

Cultura della sicurezza

In PA

• Formazione continua
• Policy chiare
• Awareness diffusa
• Incident response

Personale

• Responsabilità individuale
• Abitudini corrette
• Aggiornamento costante

Strumenti utili

Have I Been Pwned

• https://haveibeenpwned.com
• Verifica email in breach noti
• Gratuito

Password generators

• Integrati in password manager
• Online (attenzione: usa solo fidati)
• Lunghezza e complessità personalizzabili

Chrome/Edge password checker

• Verifica password riutilizzate/deboli
• Integrato nel browser
• Avvisi se compromesse

Futuro delle password

Passkey

• Tecnologia che supera password
• Chiavi crittografiche sul dispositivo
• Biometria per sblocco
• Apple, Google, Microsoft supportano

Zero password

• Solo biometria + device trust
• Prospettive future
• Transizione in corso

Tavola riepilogativa