Trasferire le password in un gestore di password

Modulo 7: Collaborazione, app e sicurezza · Tempo di lettura: 10 minuti

Obiettivo di apprendimento: Al termine di questa lezione saprà trasferire in sicurezza le password dal browser, dai foglietti e dai fogli di calcolo a un gestore di password adatto alla Sua nuova configurazione, comprese le casseforti condivise per il team.

Concetti chiave: gestore di password, cassaforte, password principale, chiave di recupero, password nel browser (Google, Edge, Apple), esportazione in csv, cassaforte o raccolta condivisa, self-hosting, open source, crittografia sul proprio dispositivo (zero-knowledge), conservare le passkey

L'elemento dimenticato

In quasi ogni inventario mancano le password. Non si trovano in un servizio cloud che si disdice, quindi nessuno ci pensa. Eppure spesso ci sono dentro in pieno. Da Bakkerij De Korrel, dopo un giro tra i colleghi, risulta che:

• la maggior parte delle password è in Chrome, salvata nell'account Google della persona;
• le password della banca, del grossista e del negozio online sono in un foglio di calcolo wachtwoorden.xlsx su Google Drive;
• la password del wifi e il codice dell'allarme sono su un foglietto appeso;
• due colleghi usano ovunque la stessa password.

Se l'account Google scompare, scompaiono con esso anche le password in Chrome. E un foglio di calcolo con password nel cloud è una delle prime cose che un intruso cerca. Il passaggio è quindi il momento giusto per risolvere la questione.

Che cosa fa un gestore di password

Un gestore di password è una cassaforte crittografata per le password, con un'app per telefono e computer e un'estensione per il browser. Lei ricorda una sola password principale robusta; il gestore crea per ogni sito una password lunga e unica e la compila al posto Suo.

È importante dove avviene la crittografia. Nei gestori più noti la cassaforte viene crittografata sul Suo dispositivo con una chiave derivata dalla Sua password principale. Il fornitore conserva solo la cassaforte crittografata e non può leggere le Sue password. Questo si chiama spesso "zero-knowledge". La conseguenza: se dimentica la password principale e non ha una chiave di recupero, nemmeno il fornitore può aiutarLa.

Un buon gestore compila inoltre i dati solo sull'indirizzo autentico. Un sito falso della Sua banca non riceve quindi nulla, anche se ha esattamente lo stesso aspetto. È una protezione in più contro il phishing.

Quali tipi esistono?

Il nostro consiglio per la maggior parte delle persone e delle piccole imprese: Proton Pass, oppure 1Password con un account su 1password.eu se desidera la soluzione più semplice in assoluto. Entrambi funzionano sul Suo Mac, sul Suo PC Windows, sul telefono e in tutti i browser, ed entrambi offrono casseforti condivise per un team. Bitwarden resta un'azienda americana, anche con archiviazione nell'UE. KeePassXC funziona solo sui computer; sul telefono serve un'altra app. Nella guida Gestore di password nella pratica confrontiamo 23 gestori di password per facilità d'uso, sicurezza e UE/GDPR (vedere Approfondimenti). Usi anche qui le cinque domande della lezione 2.1 (sede, proprietario, data center, sub-responsabili, chiave). Per un gestore di password l'ultima domanda è quella che pesa di più: chi ha la chiave? Se ce l'ha solo Lei, il luogo in cui si trova la cassaforte crittografata conta meno che per i normali file.

Trasferire: esportare, importare ed eliminare subito

Quasi ogni browser e gestore può esportare le password come file csv. Si tratta di un normale file di testo con, su ogni riga, un sito, un nome utente e una password, non crittografati. Chiunque apra il file può leggere tutto. Per questo:

1. Lo faccia su un computer di cui si fida, non su un computer condiviso del negozio.
2. Esporti sul Suo computer, non in una cartella sincronizzata o nel cloud. Altrimenti il file non crittografato finisce in pochi secondi sul server, nelle versioni e nel cestino.
3. Lo importi subito nel nuovo gestore.
4. Verifichi a campione che sia tutto corretto (acceda a qualche sito).
5. Elimini subito il file csv e svuoti anche il cestino del computer.
6. Disattivi poi il salvataggio delle password nel browser, così non si crea una seconda copia obsoleta.

Il foglio di calcolo con le password lo trasferisce inserendo i dati a mano nel gestore (oppure importandoli come csv, con le stesse regole). Elimini poi il foglio di calcolo, anche dal cestino e dalla cronologia delle versioni del vecchio cloud. Cambi le password più importanti che conteneva, perché non sa chi abbia visto il file nel corso degli anni.

Faccia attenzione anche alle passkey (lezione 7.3). Una passkey salvata nel Suo account Google o Apple non sempre si può esportare. Per i siti importanti crei una nuova passkey nel nuovo gestore, oppure si assicuri di conoscere la password e il secondo fattore, prima di chiudere il vecchio account.

Condividere in un team

Alcune password appartengono all'organizzazione, non a una persona: la banca, il grossista, gli account social, il wifi. Per queste usi una cassaforte condivisa o raccolta nel gestore:

• Crei una cassaforte per gruppo: "Negozio", "Contabilità", "Amministrazione". Non tutti devono vedere tutto.
• Non condivida mai una password via chat o e-mail. Nemmeno "solo un attimo".
• Se qualcuno lascia l'organizzazione, lo rimuova dalle casseforti condivise e cambi le password a cui aveva accesso e che potrebbe aver memorizzato o copiato.

La password principale e il giorno in cui qualcosa va storto

La password principale è l'unica chiave. Scelga una frase lunga di quattro-sei parole casuali, che non usa da nessun'altra parte. Attivi l'autenticazione a due fattori (2FA) anche sul gestore stesso.

Organizzi il recupero in anticipo:

• Conservi la chiave di recupero o l'accesso di emergenza offerto dal Suo gestore su carta, in un luogo sicuro.
• Per l'organizzazione stabilisca chi ottiene l'accesso in caso di decesso o malattia prolungata del titolare. Molti gestori hanno una funzione di accesso di emergenza per questo.
• Anche i codici di backup dei Suoi account più importanti vanno qui, oppure su carta (lezione 7.3). Non in una cassaforte a cui accede solo tramite quegli stessi account.

Nella pratica: ecco come funziona presso un fornitore

In un Nextcloud di WebOké non c'è un gestore di password separato; usa un gestore di password indipendente accanto al Suo cloud, come Proton Pass o 1Password. La guida Gestore di password nella pratica spiega questi due passo dopo passo: creazione dell'account, installazione, trasferimento, condivisione e accesso di emergenza. Anche la guida sulla sicurezza del Nextcloud di WebOké consiglia un gestore di password e lo indica come buon posto per i Suoi codici di backup.

Con altri servizi cloud europei funziona in modo simile: il gestore di password è di solito un servizio o un'app separata accanto al Suo cloud.

Riepilogo

• Le password nel browser del Suo vecchio account scompaiono quando chiude quell'account. Le trasferisca prima.
• Un gestore di password crittografa sul Suo dispositivo; la password principale è l'unica chiave.
• Un'esportazione csv non è crittografata: mai in una cartella sincronizzata, importarla subito, eliminarla subito.
• Usi casseforti condivise per gruppo per le password dell'organizzazione e le cambi quando qualcuno se ne va.
• Organizzi in anticipo il recupero e l'accesso di emergenza, su carta.

Quiz

Esercizio

Esercizio E7.4: Mappatura delle password e piano di migrazione. Scopra dove si trovano ora le password nella Sua organizzazione (browser di ciascuna persona, fogli di calcolo, foglietti, account condivisi), scelga un gestore di password con le cinque domande della lezione 2.1 e scriva il piano di trasferimento: chi esporta che cosa, su quale computer, quando viene eliminato il file csv e quali casseforti condivise verranno create.

Approfondimenti

I passaggi descritti in questi articoli valgono per i servizi di WebOké; con altri fornitori funziona in modo simile.

• Guida a Nextcloud 3.1: In che modo WebOké protegge il Suo Nextcloud?
• Guida a Nextcloud 3.3: Configurare un'applicazione di autenticazione e salvare i codici di backup
• NCSC (Nationaal Cyber Security Centrum, il centro nazionale olandese per la sicurezza informatica), Beginnen met cybersecurity (in nederlandese): https://www.ncsc.nl/beginnen-met-cybersecurity
• Password manager e passkey: come gestire i Suoi accessi in modo sicuro
• Il password manager nella pratica 4.1: Importare le password da Chrome, Edge, Firefox e Safari
• Il password manager nella pratica 4.2: Passare da LastPass, Bitwarden o un altro gestore di password
• Il password manager nella pratica 1.4: Tutti i gestori di password più noti a confronto: Paese, funzioni, recensioni e punteggi