Salvare password e login dei Siti in modo sicuro

Dimenticare le password è frustrante, ma usare la stessa ovunque è un rischio enorme. Ci sono sistemi ottimi per gestire gli accessi

Conosciamo tutti quella sensazione di vuoto quando appare la scritta "Credenziali errate". Si prova la prima parola d'ordine, poi quella con la lettera maiuscola, poi quella con l'anno di nascita. Niente. Si preme il tasto per il recupero, si crea un nuovo codice e il sistema risponde con la beffa finale: "La nuova password non può essere uguale a quella vecchia". È un loop infinito che spinge molti a fare due errori colossali: usare la stessa parola per l'home banking e per il sito della pizzeria, oppure scrivere tutto su un post-it attaccato al monitor.

Ogni giorno sentiamo di milioni di account che vengono bucati in attacchi massivi. Quando un sito viene hackerato, i criminali non cercano solo i dati di quel sito, ma provano a usare quelle stesse combinazioni su Gmail, Amazon o PayPal. Per comodità, la maggior parte di noi affida i dati a Google Chrome, Edge o Safari. Appare la finestrella in alto a destra, si clicca su "Salva" e il problema sembra sparito. In realtà, abbiamo solo spostato il rischio in un posto meno visibile.

LEGGI ANCHE: Controlla se gli account con email e password sono stati rubati

Perché salvare le password nel browser è un rischio

I navigatori di internet sono comodissimi perché compilano i moduli in un secondo, ma la loro cassaforte ha una porta di cartone. Le credenziali salvate su Chrome o Edge sono protette quasi solo dal PIN o dalla password che usate per accendere il computer. Se vi alzate dalla scrivania lasciando il PC acceso, chiunque passi di lì può entrare nelle impostazioni del browser, cliccare sull'iconcina a forma di occhio e leggere in chiaro ogni vostro accesso.

C'è poi un rischio più silenzioso. Molti virus moderni sono programmati per fare una cosa sola: appena entrano nel PC, vanno a cercare i file dove i browser conservano le password per rubarle tutte in un colpo solo. Anche se Chrome crea password sicure in automatico, il problema resta dove queste password vengono conservate. Per stare tranquilli serve un programma a parte, una cassaforte indipendente che non sia legata al sistema operativo.

I gestori di password e il sistema "Zero Knowledge"

L'unico modo per gestire decine di account senza perdere il sonno è usare un Password Manager. Immaginatelo come il portiere di un hotel di lusso: voi ricordate solo il codice del portone principale (la Master Password), e lui vi consegna la chiave della stanza giusta solo quando serve.

La differenza vera rispetto al browser è il sistema Zero Knowledge (conoscenza zero). In parole povere: chi ha creato il programma non ha le chiavi per aprire il vostro archivio. Tutto viene criptato sul vostro telefono o computer prima di essere mandato su internet. Se anche i server dell'azienda venissero hackerati, i criminali troverebbero solo una serie di numeri e lettere senza alcun senso.

Le soluzioni gratuite che funzionano davvero

In passato c'erano molte opzioni, ma alcune aziende hanno iniziato a chiedere abbonamenti costosi solo per poter sincronizzare i dati tra PC e smartphone. Fortunatamente esistono ancora alternative oneste e trasparenti.

Bitwarden è probabilmente la scelta migliore oggi. È un progetto open source, il che significa che esperti di tutto il mondo controllano il codice per assicurarsi che non ci siano falle. La versione gratuita è generosa: potete salvare infiniti accessi e averli sincronizzati su Windows, Mac, Android e iPhone senza pagare nulla. È l'ideale per chi vuole una soluzione solida senza costi nascosti.

Se invece non vi fidate del cloud e volete il controllo totale, c'è KeePass (o la sua versione più moderna KeePassXC). Questo programma non tocca mai internet. Crea un file criptato che sta solo sul vostro disco fisso. Siete voi a decidere se metterlo su una chiavetta USB o in una cartella privata. Per chi usa Android, app come Keepass2Android rendono l'uso molto più semplice. È la scelta per chi vuole l'isolamento totale, anche se l'interfaccia è un po' spartana.

Un'altra opzione interessante è Proton Pass. Arriva dalla Svizzera, dove le leggi sulla privacy sono severissime. Oltre a salvare le password, crea delle email "finte". Quando vi iscrivete a un sito che vi sembra sospetto, Proton crea un indirizzo che inoltra i messaggi alla vostra vera posta. Se il sito inizia a mandarvi spam, basta spegnere quell'indirizzo e il problema sparisce.

Infine c'è Enpass, un'alternativa valida per chi cerca una via di mezzo. Permette di salvare password illimitate su un dispositivo e offre la possibilità di sincronizzare i dati usando il proprio spazio su iCloud o OneDrive, evitando di affidarsi ai server dell'azienda produttrice.

Il trucco per non farsi fregare dalle domande di sicurezza

C'è un punto debole che rovina anche le difese più alte: le domande per il recupero dell'account. "Come si chiamava il tuo primo cane?" o "In che città è nata tua madre?". Queste risposte oggi si trovano in due minuti guardando un profilo Facebook o Instagram.

Per chiudere questo buco, la rotta di Navigaweb suggerisce di mentire spudoratamente. Quando un sito vi chiede il nome del vostro primo animale, non scrivete "Fido". Aprite il vostro gestore di password, fate generare una sequenza casuale come "kP9!mZ2" e scrivetela come risposta, salvandola nelle note del contatto. Nessun hacker al mondo riuscirà a indovinare che il vostro cane si chiama kP9!mZ2.

Dubbi comuni e consigli rapidi

Ecco cosa succede spesso quando si decide di fare ordine negli accessi digitali:

• L'uso dell'impronta digitale: Digitare una frase lunga ogni volta è noioso. Quasi tutti i gestori permettono di sbloccare l'archivio con l'impronta o il riconoscimento facciale del telefono. È veloce e sicuro.
• Se perdo la password principale: Questo è l'unico vero rischio. Se dimenticate la Master Password, i dati sono persi per sempre perché l'azienda non ha una copia. L'unico modo è impararla a memoria o scriverla su un foglio da nascondere in un posto sicuro in casa.
• Passare dal browser al gestore: Non dovete copiare tutto a mano. I programmi come Bitwarden hanno una funzione di importazione: leggono i dati di Chrome o Safari e li spostano nella nuova cassaforte in pochi secondi.
• I codici a sei cifre (2FA): Per una sicurezza massima, usate l'autenticazione a due fattori. Invece degli SMS, usate app come Proton Authenticator o Aegis per generare i codici sul telefono.
• Controllare le violazioni: Se volete sapere se i vostri dati sono finiti nel dark web, usate Have I Been Pwned. Inserite la vostra email e vi dirà subito se siete stati coinvolti in qualche attacco.

Se riceverete un avviso di password compromessa da Google, non ignoratelo: è il momento di fare pulizia e spostare tutto in un gestore dedicato.

diario di bordo di Navigaweb

Per anni ho usato un sistema basato su schemi mentali: prendevo il nome del sito, aggiungevo l'anno e un paio di simboli. Pensavo di essere un genio, finché il database di un vecchio forum dove ero iscritto è stato bucato. Ho capito che, analizzando un paio di mie password, un software poteva ricostruire il mio "schema" e indovinare tutti i miei altri accessi. Da quel giorno ho smesso di usare la testa e ho iniziato a usare la tecnologia. Ora ho una frase lunghissima come chiave principale e lascio che il computer inventi codici assurdi di 20 caratteri per ogni sito. La pace mentale di non dover più cliccare su "password dimenticata" non ha prezzo.