Le password complicate? Inutili

Bill Burr, l’uomo che ha scritto il manuale per la gestione delle password, ha una confessione da fare: ha sbagliato tutto. Nel 2003, in qualità di manager intermedio dell’Istituto Nazionale di Standard e Tecnologia americano (Nist), è stato autore di Nist Special Publication 800-63 - Appendix A. Si trattava di un testo elementare di otto pagine che dava consigli su come proteggere i propri conti online, inventando nuove parole scomode con caratteri oscuri, lettere maiuscole e numeri; e con la password che andava cambiata regolarmente. Quel documento è diventato una sorta di Codice di Hammurabi del mondo delle password, una guida per le agenzie federali, le università e le grandi aziende che cercavano un insieme di regole da seguire in materia di impostazione delle password.

Il problema è che quei consigli in gran parte si sono rivelati sbagliati, dice oggi Burr. Cambiare la password ogni 90 giorni? La maggior parte delle persone fa piccoli cambiamenti facili da indovinare, lamenta l’autore dell’Appendix A. Cambiare da «Pa55word!1» a «Pa55word!2» non tiene certo a bada gli hacker. Deludenti anche gli altri consigli: nella stessa password andava inserita una lettera, un numero, una lettera maiuscola e un carattere speciale, per esempio un punto esclamativo o un punto interrogativo. Risultato: dita che si intrecciano di continuo. «Molto di quello che ho fatto mi rincresce», dichiara Burr, 72 anni, che ora è in pensione.

Lo scorso mese di giugno la Special Publication 800-63 ha riscritto totalmente le regole, eliminando i peggiori tra i comandamenti del passato. Paul Grassi, un consulente di standardizzazione e tecnologia del Nist, che ha coordinato la riscrittura, durata due anni, ha dichiarato che il gruppo aveva pensato all’inizio che il documento richiedesse solo qualche leggera modifica. «E invece abbiamo finito con il ripartire da zero», ha aggiunto Grassi.
Nuove linee guida, che stanno già filtrando nel mondo digitale, aboliscono la raccomandazione di un frequente cambio di password e il requisito di caratteri speciali, ha precisato Grassi. Queste regole hanno fatto poco per la sicurezza: «E hanno effettivamente avuto un impatto negativo sulla facilità d’uso», ha detto. Al loro posto ora sono consigliate frasi lunghe e facili da ricordare, preferibili rispetto all’utilizzo di caratteri speciali, e gli utenti dovrebbero essere costretti a cambiare le password solo se vi fossero segnali di un loro trafugamento, sostiene l’agenzia federale Nist, che aiuta a fissare gli standard industriali negli Stati Uniti.

Amy LaMere aveva già sospettato che stava perdendo tempo: ogni mese aveva bisogno di un’ora per tenere traccia delle centinaia di password da usare nel suo lavoro come client resources manager per una società di eventi e fiere a Minneapolis. «Quelle regole rendono più difficile ricordare la tua password», ha detto. «E quando ci sei riuscito la devi ricambiare di nuovo e tutto ciò prende più tempo. Quando è stata informata che i comandamenti sulla password stavano cambiando, tuttavia, non si è infuriata. Invece ha detto solo di sentirsi meglio. «Avevo ragione» a proposito delle regole precedenti. «Non avevano senso».

Gli accademici che hanno studiato le password sostengono che con una serie di quattro parole si rende più difficile la vita agli hacker, più che con una parola più corta ma piena di caratteri strani. Un gran numero di lettere rende le cose più difficili rispetto a un numero minore fatto di lettere, caratteri e numeri. In un articolo ampiamente diffuso, il fumettista Randall Munroe ha calcolato che occorrerebbero 550 anni per scoprire la password «correct horse battery staple», scritta senza spazi come se fosse una sola parola. La password Tr0ub4dor, un esempio tipico del vecchio modo consigliato da Burr, potrebbe invece essere hackerata in tre giorni, secondo i calcoli di Munroe, verificati da specialisti della sicurezza informatica.

Burr, che in passato aveva programmato i computer dell’esercito durante la guerra del Vietnam, aveva voluto fondare le sue raccomandazioni su dati empirici ricavati dalle vere password in giro per il mondo. Ma nel 2003 i dati erano pochi e Burr era sotto pressione affinché pubblicasse rapidamente la guida. Chiese allora agli amministratori dei computer del Nist il permesso di dare un’occhiata alle password effettive presenti sulla loro rete. Rifiutarono di condividerli, ha detto, citando la privacy. «Si erano scandalizzati solo per il fatto di averlo chiesto», ha detto Burr. Senza dati empirici sulla sicurezza delle password per computer Burr aveva finito per basarsi su un libro bianco scritto a metà degli anni 80, prima che i consumatori scoprissero dvd e cibo per gatti online. Le linee guida pubblicate erano le migliori che poteva realizzare. «Alla fine probabilmente la comprensione era troppo complicata per molte persone e la verità è che si stava abbaiando all’albero sbagliato», ha sostenuto Burr.

Ciononostante il documento del Nist è diventato molto influente, non solo all’interno del governo federale ma anche su reti aziendali, siti web e dispositivi mobili. Secondo Cormac Herley, ricercatore capo di Microsoft, l’umanità trascorre l’equivalente di oltre 1.300 anni ogni giorno digitando password. La sua azienda in passato aveva seguito il codice di Burr per le password, ma poi non vi dato seguito. Il motivo più importante: le regole non funzionavano bene. «Fanno solo impazzire le persone, che poi finiscono per non scegliere password efficaci, non importa quanto ci provino», ha detto lo stesso Burr.

Il decennio passato ha registrato un boom delle violazioni di dati. Gli hacker hanno rubato e pubblicato centinaia di milioni di password prelevate da aziende come MySpace, LinkedIn e Gawker Media. Indirettamente queste pubblicazioni in rete delle password rubate hanno fornito ai ricercatori l’evidenza empirica che cercavano per comprendere come le password si confrontassero contro gli strumenti utilizzati dagli hacker. Conclusione? Pensiamo che le nostre password siano intelligenti, ma non lo sono. Finiamo per gravitare verso le stesse vecchie combinazioni.

Nel 2003 Burr non aveva i dati per capire questo fenomeno. Oggi è cosa ovvia per persone come Lorrie Faith Cranor. Dopo anni di studi su terribili intrusioni di hacker, ha messo 500 delle password più comunemente utilizzate su un abito blu e viola che ha realizzato e che ha indossato a un summit sulla cybersecurity della Casa Bianca svoltosi all’università di Stanford. Adornato con le password più comuni al mondo (principessa, scimmia, Iloveyou e altre che non si possono riferire), l’abito si è rivelato una provocazione che ha creato molto imbarazzo. «Ho visto che la gente lo guardava e si diceva: ops, farei bene a cambiare la mia password», ha dichiarato la Cranor, docente all’Università Carnegie Mellon. Le regole Nist dovevano favorire la casualità, invece hanno generato una generazione di password ampiamente usate e insolite, come «Pa$$w0rd» o «Monkey1!».

«Non sono password casuali se tu e altre 10 mila persone la state usando», ha affermato Herley, ricercatore Microsoft. Grassi, che ha riscritto le nuove linee guida della Nist, pensa però che il suo ex collega Burr sia un po’ troppo duro con se stesso per i consigli dati nel 2003. «Ha scritto un documento di sicurezza che ha retto per 10-15 anni, spero che quello che sto scrivendo io regga così a lungo».