Password manager e passkey: come gestire i Suoi accessi in modo sicuro
Ogni account ha bisogno di una password propria e lunga. Se usa la stessa password in più posti, basta che ne trapeli una perché tutti gli account siano esposti. Nessuno ricorda ottanta password diverse, ma un gestore di password lo fa al posto Suo. Dove possibile, sostituisca la password con una passkey, che i siti falsi non possono sfruttare.
Che cosa fa un gestore di password
- Crea per ogni servizio una password lunga e casuale: almeno 15 caratteri, oppure una passphrase di cinque o sei parole casuali.
- Conserva tutto in modo cifrato in una cassaforte.
- Inserisce la password sul sito web corretto, e soltanto lì.
- Spesso La avvisa in caso di password duplicate o trapelate e può conservare anche i codici per la verifica in due passaggi e le passkey.
Lei deve ricordarne soltanto una: la password principale della cassaforte.
Tipologie
| Tipologia | Vantaggio | Attenzione |
|---|---|---|
| Integrato nel browser o nel telefono | Già presente e semplice da usare | Spesso non ha una password principale separata: chi accede al Suo computer accede anche alle Sue password. Meno adatto a sistemi diversi e alla condivisione. |
| App separata con sincronizzazione tramite il fornitore | Funziona su tutti i Suoi dispositivi, con casseforti condivise per un team | Deve fidarsi del fornitore; la Sua password principale deve essere robusta |
| File della cassaforte in locale sul Suo computer | Ha tutto sotto controllo | Backup e sincronizzazione sono a Suo carico; condividere è più complicato |
Il nostro consiglio: Proton Pass (un'azienda svizzera con un'ampia versione gratuita) oppure 1Password con un account su 1password.eu (un'azienda canadese, a pagamento e molto semplice da usare). Entrambi funzionano sul Suo Mac, sul Suo PC Windows, sul telefono e in tutti i principali browser. Anche Bitwarden è valido, ma è un'azienda americana: vale quindi la legge statunitense, anche se la Sua cassaforte si trova nell'UE. Nella guida Il gestore di password nella pratica confrontiamo 23 gestori di password per semplicità, sicurezza e UE/GDPR, e spieghiamo passo dopo passo come configurare Proton Pass o 1Password.
Nella scelta verifichi: funziona su tutti i Suoi dispositivi, è possibile condividere casseforti e rimuovere di nuovo una persona, si può proteggere la cassaforte con la verifica in due passaggi, è previsto un accesso di emergenza, e si possono esportare i dati se desidera cambiare servizio?
La password principale
- Ne faccia una passphrase di cinque o sei parole casuali, scelte dal generatore e non da Lei. Il testo di una canzone o un proverbio si possono indovinare.
- Non la usi da nessun'altra parte e la digiti soltanto nell'app o nell'estensione del gestore stesso.
- Attivi la verifica in due passaggi sulla cassaforte. Non è un motivo per scegliere una password principale più corta: se il fornitore subisce un attacco, la Sua password principale è l'unica protezione della cassaforte rubata.
- Dimenticarla spesso è definitivo, perché il fornitore non può recuperarla. La scriva su carta, senza indicare a cosa serve, e la conservi a casa in un luogo sicuro, insieme al codice di recupero del gestore.
- Attivi il blocco automatico dopo alcuni minuti di inattività.
rn e m la vede. Consulti Riconoscere il phishing: come leggere un link e un mittente.Condivisione in un team e accesso di emergenza
- È preferibile dare a ciascuno un account personale. Se deve comunque condividere un accesso, utilizzi una cassaforte condivisa per argomento e dia accesso solo a chi ne ha bisogno. Non condivida mai tramite e-mail, chat o un foglio di calcolo.
- Se qualcuno lascia l'organizzazione, lo rimuova dalla cassaforte e modifichi le password che poteva vedere.
- Predisponga un accesso di emergenza nel caso in cui Lei non fosse disponibile: molti gestori consentono a una persona di fiducia di accedere dopo un periodo di attesa. In alternativa, conservi i dati di recupero in una busta sigillata presso una seconda persona.
Passkey e chiavi di sicurezza
Una passkey sostituisce la password. Si tratta di una coppia di chiavi: la parte segreta resta sul Suo dispositivo o nel Suo gestore di password, mentre il sito web conserva soltanto la parte pubblica. La passkey si sblocca con l'impronta digitale, il volto o un PIN, direttamente sul Suo dispositivo.
- Non funziona su un sito falso. Una passkey è legata al dominio autentico, e il Suo browser lo verifica. Su un sito che lo imita non esiste alcuna passkey, quindi non c'è nulla da inserire o approvare per errore.
- Niente da violare. Se il sito web subisce una fuga di dati, l'aggressore ottiene soltanto chiavi pubbliche.
- Una chiave di sicurezza è un piccolo dispositivo da inserire nella porta USB o da avvicinare al telefono, con passkey che non possono essere estratte. Registri sempre almeno due chiavi e conservi quella di riserva in un luogo diverso.
- Se la passkey è salvata in un gestore di password o nell'account del Suo telefono, viene trasferita sugli altri dispositivi. Protegga quindi quell'account con particolare cura.
- Spesso anche la password continua a funzionare. Per questo deve restare lunga e unica.
Presso WebOké
| Servizio | Che cosa è possibile? |
|---|---|
| Nextcloud | È possibile accedere con una passkey o una chiave di sicurezza, in Accesso senza password. La password e gli altri metodi continuano a funzionare. Per le app crei una password per le app e conservi anche questa nel Suo gestore. Consulti Configurare un'app di autenticazione e conservare i codici di backup. |
| Mio WebOké | Nessuna passkey. Dopo la password, Mio WebOké richiede sempre un codice di accesso via e-mail (Il codice di accesso via e-mail) oppure un codice da un'app di autenticazione. Non sono previsti codici di recupero: se ha perso l'app, ci contatti. |
| DirectAdmin | Two-Step Authentication con un'app di autenticazione e codici di backup, consulti Configurare la Two-Step Authentication. |
| Caselle di posta | Un programma di posta accede con la password. Assegni a ogni casella di posta una password propria e lunga generata dal Suo gestore. |
Per saperne di più sulle password robuste, legga Password sicure e cosa fare se una password è trapelata, e sul sito dell'NCSC Come scelgo un gestore di password? e Come si sceglie un metodo MFA?
Vuole approfondire? Segua il corso gratuito Sicurezza online per imprenditori, lezione 2.2 Scegliere e usare un gestore di password, oppure il corso gratuito Passare a un cloud europeo, lezione 7.4 Trasferire le password in un gestore di password.