Verifica sicurezza password

Come verificare una password

1. Scrivi o incolla la password in Password da verificare. Il campo nasconde ciò che scrivi; premi Mostra per vederla e Nascondi per mascherarla di nuovo.
2. Il risultato compare mentre scrivi. La barra Robustezza va da 0 (Molto debole) a 4 (Molto forte).
3. Leggi la tabella Tempo stimato per violarla: indica una durata per ciascuno dei quattro scenari di attacco, da un sito che limita i tentativi di accesso fino a un database rubato attaccato con schede grafiche.
4. Controlla Punti deboli e consigli. Indica il problema trovato (una password comune, uno schema da tastiera, una data, una sequenza ripetuta…) e suggerisce come risolverlo. Questi messaggi sono generati dalla libreria di analisi e compaiono in inglese.

La password viene analizzata solo in questa pagina. Non viene mai inviata, salvata o registrata, e il campo si svuota quando lasci la pagina. In ogni caso, l’abitudine più sicura è provare una password simile alla tua invece di quella vera.

Come viene calcolato il punteggio

Lo strumento usa zxcvbn, uno stimatore di password open source creato originariamente da Dropbox (qui nella versione TypeScript mantenuta, zxcvbn-ts). Invece di contare maiuscole e simboli, ragiona come un programma di cracking. Divide la password in pezzi e cerca gli schemi che gli attaccanti provano per primi:

• le password trapelate più comuni, nomi e cognomi e le parole inglesi e francesi più frequenti, anche al contrario e con sostituzioni “l33t” come p@ssw0rd;
• percorsi sulla tastiera come qwerty, azerty o 1qaz2wsx;
• caratteri ripetuti (aaaa), blocchi ripetuti (abcabc) e sequenze (abcd, 9876);
• date e anni recenti.

I dizionari di parole sono in inglese e in francese: una parola italiana comune come ciao o amore non viene riconosciuta come parola di dizionario, a meno che non compaia nell’elenco delle password trapelate più diffuse. Una password basata su parole italiane può quindi risultare più forte di quanto sia davvero, perché gli attaccanti usano anche dizionari italiani.

Lo strumento stima poi quanti tentativi servirebbero a un attaccante per trovare l’intera password, indicati come Tentativi stimati. Il punteggio segue questo numero: meno di mille tentativi dà 0, meno di un milione 1, meno di 100 milioni 2, meno di 10 miliardi 3, e oltre si ottiene 4.

I quattro scenari di attacco

I tempi si ottengono dividendo il numero stimato di tentativi per la velocità di ogni attacco:

Un attacco online significa che qualcuno inserisce i tentativi in un modulo di accesso. Un attacco offline avviene dopo una violazione di dati, quando l’attaccante ha una copia degli hash delle password e può provare i tentativi sul proprio hardware. L’ultima riga è il caso peggiore, ed è quella da guardare per le password che proteggono email, home banking o un password manager. I tempi sono medie: un attaccante può essere fortunato prima.

Stima dell’entropia

La Stima dell’entropia è il classico valore della forza bruta: lunghezza × log2(dimensione dell’insieme), dove l’insieme è la somma dei tipi di caratteri usati (26 minuscole, 26 maiuscole, 10 cifre, 33 simboli e 100 per altri caratteri come lettere accentate o emoji). Con questa formula Qwerty123! ottiene circa 66 bit, eppure zxcvbn le dà 0 (Molto debole) perché è una fila della tastiera seguita da un suffisso comune. L’entropia ha senso solo per le password scelte a caso, per esempio da un generatore di password; per quelle inventate da una persona, fidati del punteggio e dei tempi.