La password è Fayleyure

In revisione: selezione della password per Yahoo! Posta ecc.

PokeKey1...ou812$...twasbri11ig!. Erano tutte le mie password preferite molto tempo fa. Il primo è il nome del cucciolo che ho avuto per breve tempo da bambino. Il secondo è stato preso spudoratamente dalla copertina di un album dei Van Halen. Il terzo, ricorderete, si apre Jabberwock y. Devo aver digitato ciascuno centinaia di volte.

Questa storia faceva parte del nostro numero di marzo 2005

• Vedi il resto del problema
• sottoscrivi

Guardando indietro, mi sento un idiota per aver creduto che le mie password argutamente indecifrabili abbiano migliorato la mia sicurezza in modo significativo. La protezione con password è pervasiva, fastidiosa, scomoda e fa ben poco per scoraggiare chiunque abbia intenzione di fare del male. Ma non puoi ottenere un accesso legittimo a molti servizi senza di esso.

La registrazione a Yahoo Mail, ad esempio, ha fatto molta strada dall'essere un invito aperto a spammer e spoofer. Chi sosterrebbe che i suoi promemoria automatici di ID/password non sono un vantaggio per i pigri e gli afasici tra noi? Ma l'incessante affidamento di Yahoo sulla protezione tramite password è una patch di sicurezza che sembra più una sfida per i malfattori che un serio deterrente. E Yahoo Mail è tra i migliori in una situazione piuttosto brutta.

Gli schemi di autenticazione delle password odierni sono poco più che placebo di sicurezza. Ispirano perversamente abusi, abusi e danni criminali rendendo deliberatamente gli utenti l'anello più debole della catena di sicurezza. La maggiore potenza di teleelaborazione ha reso le sequenze di password rubate o craccate sempre più veloci, migliori ed economiche. Il guru della sicurezza Mark Seiden osserva che molti attacchi di hacking non hanno nulla a che fare con la forza di una password di destinazione, perché questi attacchi si basano sulla scoperta forzata di sequenze alfanumeriche. I cattivi stanno davvero attaccando la tua tastiera, dice. Il fatto che gli amministratori del sistema di sicurezza facciano saltare ripetutamente gli utenti attraverso i cerchi digitali per difendere l'integrità delle nostre sequenze da quattro a 12 caratteri cade a metà tra l'insulto e lo scherzo.

Se un'azienda volesse progettare un sistema di sicurezza che si facesse beffe di tutto ciò che sappiamo sul comportamento umano, sulla psicologia cognitiva e sull'analisi crittografica, verrebbe fuori con la nostra moderna babele di password basata su bit. Come ha osservato l'esperto di autenticazione Richard E. Smith, la conclusione logica della maggior parte delle policy sulle password complesse: non utilizzare i nomi dei membri della famiglia o degli animali domestici; non utilizzare compleanni o date di calendario; utilizzare sequenze casuali di caratteri speciali; non utilizzare la password per più di uno o due siti; cambiare le password più volte all'anno; non inserire la/e password/e nel PDA o nel telefono cellulare: è che le password dovrebbero essere impossibili da ricordare e non dovrebbero mai essere scritte.

In qualche modo, i sistemi bancari ATM del mondo sono riusciti a cavarsela con un minimo di frode per oltre 20 anni facendo affidamento solo su codici a quattro cifre. Quindi cosa capiscono i fanatici bancari della gestione delle password?

La risposta ovvia: più forte e complesso è lo schema della password, più pigro e tecnicamente incompetente è l'amministratore del sistema di sicurezza. Come Smith ha dimostrato in una serie di analisi approfondite, l'ascesa della tecnologia sniffer di testo semplice, combinata con una potenza di elaborazione potenziata dal punto di vista computazionale, rende la protezione delle password tradizionale sempre più debole e fragile.

Allora perché chiediamo a milioni di persone di dedicare sempre più tempo e memoria a una procedura di sicurezza che offra sempre meno protezione? Il mondo non ha bisogno di password migliori o più sicure; ha bisogno di svezzarsi da password e PIN come mezzo di autenticazione. Saremmo molto più sicuri con approcci all'autenticazione più stratificati – motori di sospetto alla ricerca di comportamenti devianti – e modi più sottili ma persistenti di tracciare e sfidare le identità online.

La stupidità globale della mentalità delle password è stata magnificamente evidenziata in un sondaggio condotto lo scorso anno che ha rilevato che il 70% degli intervistati ha affermato che avrebbe rivelato le password del proprio computer per una tavoletta di cioccolato. Dolce. Un terzo degli intervistati ha offerto volontariamente la propria password agli intervistatori senza che gli venisse offerta una tangente. Ancora un altro sondaggio ha scoperto che il 79% delle persone intervistate per le strade di Londra ha rivelato dati sensibili alla sicurezza come il nome da nubile e la data di nascita della madre. Siamo sbalorditi dal livello di ignoranza dei consumatori sulla necessità di proteggere la propria identità online, ha annusato un portavoce di RSA, l'azienda pionieristica di crittografia che ha sponsorizzato la ricerca.

In realtà, sono stupito dalla pigrizia delle imprese globali che rendono i loro utenti i principali responsabili della sicurezza e dell'integrità dei sistemi complessi. Se tra un decennio le password sono tanto importanti per l'autenticazione, l'identità e la sicurezza online quanto lo sono oggi, sarà il segnale più chiaro possibile che il mondo virtuale è diventato un luogo ancora più pericoloso e volatile sia per le transazioni che per le interazioni.

Michael Schrage è un ricercatore e consulente in economia dell'innovazione e autore di Gioco serio (2000).

nascondere