Una password generata a caso deve avere almeno 12 caratteri, 16 per email, banca e password manager. 8 caratteri non bastano più: con lettere, cifre e simboli valgono circa 48 bit e si indovinano in poche ore. La lunghezza conta più dei simboli: 16 lettere minuscole a caso valgono quasi quanto 12 caratteri con tutti i simboli, e 20 li superano.
Quasi tutti i siti chiedono "almeno 8 caratteri", e molti si fermano lì. Ma il minimo che un sito accetta non è il minimo che ti protegge. Qui vediamo con i numeri quanti caratteri servono davvero, e perché aggiungere lunghezza rende più che aggiungere simboli.
Una password casuale di 8 caratteri con maiuscole, minuscole, cifre e simboli vale circa 48 bit. Contro chi ha rubato un archivio di password e prova 10 miliardi di combinazioni al secondo, cade in circa 5 ore. Se è inventata da una persona, molto prima.
Il limite di 8 caratteri esiste perché le linee guida lo indicano come soglia minima che un sito deve accettare, non come lunghezza consigliata. Le stesse linee guida chiedono ai siti di permettere password molto più lunghe.
Con 12 caratteri casuali si arriva a circa 73 bit: una password forte. Nello stesso scenario d'attacco servirebbero circa 13 mila anni. È la lunghezza giusta per gli account di tutti i giorni: social, negozi online, servizi in abbonamento.
Con 16 caratteri casuali si superano i 97 bit: oltre la portata di qualsiasi attacco conosciuto. Usali per gli account da cui dipendono gli altri: la casella email (da cui si recuperano tutte le altre password), la banca e la password principale del password manager. Il nostro generatore propone 16 caratteri per questo.
La tabella mostra i bit di entropia di una password generata a caso, per lunghezza e per caratteri usati. I valori sono calcolati con lo stesso codice del nostro generatore.
| Caratteri usati | 8 | 12 | 16 | 20 |
|---|---|---|---|---|
| Solo minuscole (26) | 37,6 · debole | 56,4 · accettabile | 75,2 · forte | 94,0 · molto forte |
| Lettere e cifre (62) | 47,6 · accettabile | 71,5 · forte | 95,3 · molto forte | 119,1 · molto forte |
| Standard del generatore (67) | 48,5 · accettabile | 72,8 · forte | 97,1 · molto forte | 121,3 · molto forte |
| Con tutti i simboli (88) | 51,7 · accettabile | 77,5 · forte | 103,4 · molto forte | 129,2 · molto forte |
Si legge così: passare da 12 a 16 caratteri vale molto più che aggiungere tutti i simboli. 16 lettere minuscole (75 bit) valgono quasi quanto 12 caratteri con tutti i simboli (77,5 bit), e 20 minuscole (94 bit) li superano nettamente. Se un sito vieta i simboli, allunga la password: con lettere e cifre 16 caratteri bastano per arrivare a "molto forte".
Alcuni siti vecchi limitano la password a 12 o 16 caratteri, o vietano certi simboli. In quel caso usa la lunghezza massima consentita con tutti i tipi di carattere ammessi, e attiva l'autenticazione a due fattori: compensa una password più corta del dovuto.
Nel nostro generatore le opzioni avanzate permettono di scegliere un set di simboli ridotto o personalizzato, proprio per questi casi.
Chi cerca "esempio di password sicura" trova pagine piene di esempi. Non usarne nessuno: una password pubblicata su una pagina web finisce nei dizionari usati negli attacchi, e da quel momento vale zero bit, per quanto sembri complicata.
Lo stesso vale per le password già finite in una fuga di dati: puoi controllare se una password è nota con il servizio Pwned Passwords. La regola resta una: generala a caso, ogni volta, e salvala nel password manager.
No, non più: anche con lettere, cifre e simboli scelti a caso vale circa 48 bit e, contro un archivio rubato, si indovina in poche ore. Usane almeno 12, 16 per email, banca e password manager.
Sì, se è generata a caso: con lettere, cifre e simboli vale circa 73 bit, una password forte. Va bene per gli account di tutti i giorni; per email e banca meglio 16.
Lunga. Ogni carattere in più moltiplica le combinazioni, mentre i simboli aggiungono poco: 16 lettere minuscole a caso valgono quasi quanto 12 caratteri con tutti i simboli, e 20 minuscole li superano.