Scegliere e usare un gestore di password

Modulo 2: Password e accesso · Tempo di lettura: 9 minuti

Obiettivo: Dopo questa lezione Lei sarà in grado di scegliere e configurare un gestore di password, proteggere la password principale e condividere le password in modo sicuro all'interno di un team.

Concetti chiave: gestore di password, password principale, cassaforte, crittografia end-to-end, cassaforte condivisa, accesso di emergenza, gestore di password del browser

Che cosa fa un gestore di password

Nella lezione 2.1 ha visto che ogni account ha bisogno di una password propria, lunga e casuale. Nessuno ne ricorda ottanta. Un gestore di password è un software che lo fa al posto Suo. Il gestore:

• crea per ogni servizio una password robusta e casuale;
• conserva tutte le password cifrate in una cassaforte;
• le inserisce sul sito web corretto, e solo lì;
• spesso avvisa in caso di password deboli, duplicate o trapelate;
• in molti prodotti può anche conservare i codici per l'autenticazione a due fattori (2FA) e salvare le passkey (lezioni 2.3 e 2.4).

Lei deve ricordarne soltanto una: la password principale con cui apre la cassaforte. L'NCSC olandese raccomanda il gestore di password come base fissa, anche per le piccole organizzazioni, con accordi chiari su quale gestore si usa e per quali account è obbligatorio.

Tipi di gestori di password

Non esiste un unico tipo migliore. L'NCSC olandese distingue il gestore nel browser, l'app separata e la soluzione online (cloud) rispetto a quella offline (locale). Nella pratica si incontrano queste forme:

Esempi noti di gestori separati sono Proton Pass, 1Password, Bitwarden e KeePassXC, oltre ai gestori integrati nei browser e nei sistemi operativi. Nella guida Il gestore di password nella pratica confrontiamo 23 gestori di password per facilità d'uso, sicurezza e privacy (UE e GDPR), con il paese dell'azienda, il prezzo e le recensioni (vedere Per approfondire). Il nostro consiglio: Proton Pass, oppure 1Password se desidera la massima semplicità. Se ha dubbi, scelga in base alle domande seguenti.

Domande per la scelta

• Funziona su tutti i Suoi dispositivi e browser, anche su quelli dei colleghi?
• È possibile condividere casseforti con permessi per cartella, e rimuovere di nuovo una persona da una cassaforte?
• La cassaforte è cifrata end-to-end, e che cosa è cifrato e che cosa no (per esempio gli indirizzi dei siti web)?
• È possibile proteggere la cassaforte con l'autenticazione a due fattori (2FA) o con una passkey?
• Esiste un accesso di emergenza o una procedura di recupero, e come funziona esattamente?
• È possibile esportare i dati se desidera cambiare gestore?
• Per le versioni gratuite: qual è il modello di guadagno?

Crittografia end-to-end: e se il fornitore viene violato?

Con un buon gestore cloud la Sua cassaforte viene cifrata sul Suo dispositivo con una chiave derivata dalla password principale. Il fornitore riceve soltanto il pacchetto cifrato. Questo si chiama crittografia end-to-end (a volte "zero knowledge"). Il fornitore non può leggere le Sue password e quindi non può nemmeno reimpostare la Sua password principale.

Se il fornitore viene violato, un aggressore può rubare le casseforti cifrate. Può poi tentare di forzarle offline, come nella lezione 2.1. In quel momento la Sua password principale è l'unica protezione. Per questo:

• La password principale è lunga e unica: una passphrase di almeno cinque, meglio sei parole casuali.
• Non la usa da nessun'altra parte.
• Dopo una violazione presso il fornitore cambia la password principale e anche le password degli account più importanti. La vecchia cassaforte rubata, infatti, è cifrata con la vecchia password principale.

L'autenticazione a due fattori sulla cassaforte protegge da chi conosce la Sua password principale e vuole accedere tramite il sito web. Non protegge dalla forzatura di un file cassaforte rubato. Lo dice anche l'NCSC olandese: la 2FA sul gestore non giustifica una password principale debole.

Proteggere la password principale

Con un buon gestore, dimenticare la password principale è spesso definitivo: il fornitore non può recuperarla. Organizzi quindi tutto in anticipo:

• Scriva la password principale su carta e la conservi a casa in un luogo sicuro. Per l'NCSC olandese va benissimo, purché non annoti a che cosa serve.
• Crei il kit di recupero o il codice di emergenza offerto dal gestore, lo stampi e lo conservi insieme al foglio.
• Digiti la password principale solo nell'app o nell'estensione del gestore stesso, mai su un sito web che la richiede.
• Attivi il blocco automatico dopo pochi minuti di inattività.

Perché la compilazione automatica aiuta contro il phishing

Un gestore di password collega ogni password all'indirizzo del sito web. Su https://mijnbank.example inserisce la Sua password. Su un sito sosia come https://rnijnbank.example (rn al posto di m) o https://mijnbank-veilig.example non fa nulla, perché quegli indirizzi non sono associati alla voce.

Spesso una persona non nota la differenza tra rn e m. Il gestore confronta i caratteri e non è mai stanco o di fretta. È una vera protezione, ma solo se lo lascia lavorare:

Il Suo gestore all'improvviso non compila nulla su un sito dove lo ha sempre fatto? Non aggiri il problema copiando la password a mano. Prima osservi con molta attenzione l'indirizzo. È proprio il momento in cui il gestore La sta avvisando.

A volte esiste anche un buon motivo per la mancata compilazione: un servizio che si è trasferito a un nuovo indirizzo. In quel caso lo verifichi per un'altra via, per esempio digitando Lei stesso l'indirizzo che già conosceva.

Condividere in un team

In una piccola impresa ci sono sempre account usati in comune: il negozio online su webwinkelplatform.example, l'account presso koeriersdienst.example, i social media dell'attività. La soluzione migliore è che ognuno abbia un proprio account (modulo 7). Se non è possibile, usi una cassaforte condivisa:

• Crei casseforti o cartelle per argomento ("Negozio online", "Finanza", "Social media") e dia accesso solo a chi ne ha bisogno.
• Non condivida mai tramite e-mail, chat o un foglio di calcolo. Chi ha accesso alla cassaforte condivisa vede lì la password.
• Qualcuno lascia l'azienda? Lo rimuova dalla cassaforte e cambi le password che poteva vedere. Rimuoverlo dalla cassaforte non basta: potrebbe averle trascritte o salvate.
• Organizzi l'accesso di emergenza: che cosa succede se Lei, il titolare, è malato o non è più disponibile? Molti gestori offrono una funzione con cui una persona di fiducia ottiene l'accesso dopo un periodo di attesa. Oppure conserva i dati di recupero in una busta sigillata presso una seconda persona.

In pratica: passare al gestore in un pomeriggio

1. Scelga un gestore e lo installi su computer e telefono, insieme all'estensione del browser.
2. Crei una password principale (passphrase), la scriva e conservi il kit di recupero.
3. Attivi l'autenticazione a due fattori sulla cassaforte.
4. Importi le password che il browser aveva già salvato. Un'esportazione è spesso un file non cifrato: lo elimini subito dopo l'importazione, anche dal cestino.
5. Inizi dagli account più importanti e assegni a ciascuno una nuova password casuale: la casella di posta (info@example.com), l'hosting e la registrazione del dominio, la banca e la contabilità (per esempio su boekhoudpakket.example).
6. Aggiorni gli altri quando vi accede comunque. Gli avvisi sulle password duplicate La aiutano.

Usa un servizio nell'ambiente WebOké, come una casella di posta o Nextcloud, con app sul telefono? In quel caso a volte crea una password per le app separata (vedere Base di conoscenza 436). Anche quella va conservata nel gestore, nella voce corretta. Con altri fornitori funziona in modo analogo.

Riepilogo

• Un gestore di password crea, conserva e inserisce password uniche; Lei ricorda solo la password principale.
• Tipi: integrato nel browser o nel sistema, app separata con cloud, locale, open source o in self-hosting. Scelga in base a dispositivi, condivisione, crittografia e recupero.
• Con la crittografia end-to-end la password principale è l'ultima difesa se il fornitore viene violato.
• Se il gestore non compila, controlli l'indirizzo invece di copiare la password.
• Condivida tramite una cassaforte condivisa e cambi le password quando qualcuno lascia l'azienda.

Quiz

Esercizio

Esercizio D2.2: Configurare il Suo gestore di password. Scelga un gestore di password, crei una password principale e un kit di recupero, attivi l'autenticazione a due fattori sulla cassaforte e assegni ai Suoi cinque account più importanti una nuova password unica. Spunti la checklist e risponda alle domande di riflessione. Non deve inserire alcuna password.

Per approfondire

I passaggi negli articoli di WebOké valgono per l'ambiente WebOké; con altri fornitori funziona in modo analogo.

• Guida DirectAdmin 3.7: Password sicure e cosa fare in caso di password trapelata
• Creare una password per app (necessaria per collegarsi ad app e dispositivi)
• Guida a Nextcloud 3.5: Password di applicazione: quando e come
• ACN (Agenzia per la Cybersicurezza Nazionale), indicazioni e risorse sulla sicurezza informatica: https://www.acn.gov.it/
• CSIRT Italia, avvisi e raccomandazioni di sicurezza: https://www.csirt.gov.it/
• Password manager e passkey: come gestire i Suoi accessi in modo sicuro
• Il password manager nella pratica 1.1: Perché un gestore di password e cosa Le insegna questa guida
• Il password manager nella pratica 1.2: Proton Pass, 1Password o il Suo browser: quale fa per Lei?
• Il password manager nella pratica 1.3: La Sua password principale: crearla, conservarla e non perderla mai
• Il password manager nella pratica 1.4: Tutti i gestori di password più noti a confronto: Paese, funzioni, recensioni e punteggi