Generatore di password

Come usare il generatore di password

1. Imposta la Lunghezza, da 4 a 128 caratteri. Per la maggior parte degli account 16 o più è una buona scelta.
2. Seleziona i gruppi di caratteri da includere: Lettere maiuscole (A–Z), Lettere minuscole (a–z), Cifre (0–9) e Simboli (!#$%…).
3. Se dovrai leggere o digitare la password a mano, attiva Escludi caratteri ambigui (0 O o 1 l I |) per eliminare i caratteri che si somigliano, come 0 O o 1 l I |.
4. Lascia attiva l’opzione Includi almeno un carattere di ogni gruppo se un sito impone regole di composizione.
5. Scegli Quante password generare (fino a 50), controlla la Stima dell’entropia e l’indicatore di robustezza, poi copia quella che preferisci nel tuo password manager.

Come lo strumento genera le password

Ogni carattere viene scelto con il generatore di numeri casuali crittograficamente sicuro del browser, crypto.getRandomValues, che fa parte della Web Crypto API. A differenza di Math.random(), è progettato in modo che i suoi risultati non si possano prevedere, nemmeno da chi ha visto i valori precedenti.

Scegliere i caratteri in modo equo è più difficile di quanto sembri. L’approccio ingenuo, che prende un numero casuale e ne calcola il modulo rispetto alla dimensione del gruppo di caratteri, introduce il cosiddetto bias del modulo: alcuni caratteri escono un po’ più spesso di altri. Questo strumento evita completamente il bias del modulo, così ogni carattere ammesso ha esattamente la stessa probabilità.

Tutto avviene sul tuo dispositivo. Le password non passano mai in rete, non vengono salvate né registrate. Quando chiudi o ricarichi la pagina, spariscono.

Capire la stima dell’entropia

L’entropia, misurata in bit, esprime quanti tentativi servirebbero a un attaccante nel caso peggiore. Per una password generata a caso si calcola moltiplicando la lunghezza per il log₂ del numero di caratteri possibili. Ogni bit in più raddoppia il lavoro dell’attaccante.

• Una password di 12 caratteri solo minuscoli (26 caratteri) ha circa 56 bit.
• Una password di 16 caratteri con tutti e quattro i gruppi (circa 90 caratteri o più) ha circa 104 bit.
• Una password di 20 caratteri con gli stessi gruppi supera i 130 bit.

Come riferimento, sotto i 50 bit una password è debole per un account online, da 60 a 80 bit è accettabile, e da 100 bit in su è molto forte, anche contro la forzatura offline di un database di password trafugato. Escludere i caratteri ambigui riduce un po’ l’insieme dei caratteri e quindi la stima; aggiungi uno o due caratteri per compensare. La stima vale per le password create qui a caso; non dice nulla sulle password che inventi tu, che di solito sono molto più deboli di quanto la loro lunghezza lasci pensare.

Consigli sulle password che servono davvero

• La lunghezza batte la complessità. Aggiungere caratteri fa crescere l’entropia più che aggiungere tipi di simboli. Le linee guida attuali, come NIST SP 800-63B, puntano sulla lunghezza e sconsigliano regole di composizione arbitrarie e cambi periodici forzati.
• Usa un password manager. Può conservare una password lunga, casuale e diversa per ogni sito, così devi ricordare solo una passphrase principale robusta.
• Non riutilizzare mai le password. Quando un sito subisce una violazione, gli attaccanti provano la stessa email e la stessa password ovunque. Password uniche bloccano sul nascere questo credential stuffing.
• Attiva l’autenticazione a più fattori ovunque sia possibile, preferibilmente con un’app di autenticazione, una chiave di sicurezza o una passkey piuttosto che con gli SMS.
• Cambia una password quando c’è un motivo, per esempio dopo una violazione, non secondo un calendario arbitrario.