211service.com
Sei stato fuorviato su ciò che rende una buona password
La password deve includere lettere maiuscole e minuscole e almeno un carattere numerico. Un rimprovero comune lanciato da siti Web o software quando si apre un account o si modifica una password e che una nuova ricerca suggerisce è fuorviante.
Uno studio che ha testato tecniche all'avanguardia per indovinare le password ha scoperto che la richiesta di numeri e caratteri maiuscoli nelle password non fa molto per renderle più forti. Allargare una password o includere simboli era molto più efficace.
Gli attacchi sono ora più sofisticati e quelle contromisure di best practice sono un po' fuori sincrono, afferma Matteo Dell'Amico, ricercatore presso Symantec Research. Ha lavorato con Maurizio Filippone presso l'istituto di ricerca francese Eurecom . La coppia si è presentata un documento sul loro lavoro alla conferenza ACM Computer and Communications Security la scorsa settimana.
I consigli sull'inclusione di una combinazione di casi, simboli e numeri nelle password hanno origine nell'idea che riduce le possibilità di un'ipotesi corretta da parte di un software che prova sistematicamente ogni combinazione di caratteri, afferma Dell'Amico. I misuratori di password che forniscono feedback sulla forza di una password funzionano sulla stessa base.
Ma l'ultimo software per indovinare la password è più intelligente del semplice indovinare a caso. Invece viene addestrato utilizzando elenchi trapelati di milioni di password per fare ipotesi che provano le password o gli schemi trovati nelle password più comunemente usati per primi. I software per indovinare le password possono essere utilizzati per cercare di rivelare password crittografate in modo errato trapelate online, come i 130 milioni presi da Adobe nel 2013, o per accedere direttamente a software o dispositivi protetti da password che non limitano i tentativi di indovinare.
Dell'Amico e Filippone hanno escogitato un nuovo modo per misurare la forza di una password che ne tenga conto. Hanno addestrato un software di attacco, lo hanno utilizzato per generare elenchi di password e hanno inventato un modo per utilizzarle per assegnare una sorta di punteggio di indovinabilità a una determinata password. Hanno utilizzato 10 milioni di password trapelate per addestrare diversi tipi di software di attacco e hanno testato il loro metodo di indovinabilità su altri 32 milioni di password.
I risultati mostrano che allungare una password o aggiungere simboli è un modo migliore per rafforzarla rispetto all'aggiunta di caratteri maiuscoli o numeri. Questo perché le persone tendono ad aggiungere caratteri maiuscoli all'inizio delle password e numeri alla fine e i metodi di attacco delle password possono trarne vantaggio, afferma Dell'Amico. Fondamentalmente devi rendere le tue password meno prevedibili, dice. Il nuovo metodo potrebbe essere utilizzato per creare modi più accurati per dare alle persone un senso della forza di una password, afferma Dell'Amico.
Un buon modo per farlo è importante ma si è dimostrato a lungo inafferrabile, afferma Mark Burnett, un ricercatore di sicurezza che ha pubblicato uno dei database di ricerca delle password utilizzati nello studio. Non ho visto un modo perfetto, ma questo è probabilmente il miglior tentativo che abbia mai visto, dice. Questo tipo di ricerca ci aiuta a essere più intelligenti su ciò che rende le password più forti, i consigli che diamo e vedere dove dobbiamo andare ora.
Il consiglio di Burnett per la prossima volta che scegli o cambi una password è che una volta che ne trovi una dovresti trovare un modo per allungarla, magari aggiungendo una o due parole. Il suo consiglio per l'industria informatica è di trovare alternative all'uso delle password ampiamente come facciamo oggi. Le password stanno diventando sempre più lunghe e stiamo arrivando al punto in cui perderanno la loro utilità, dice.