Generatore di passphrase facili da ricordare (metodo Diceware)
Combina parole comuni scelte a caso per generare una passphrase facile da ricordare e da comunicare a voce. Potete indicare il numero di parole, il separatore, l'uso delle maiuscole e l'aggiunta di cifre finali; la generazione avviene interamente nel browser.
Il metodo Diceware
Diceware è una tecnica di generazione di password che consiste nell'estrarre a caso — in origine tirando dei dadi — più parole da un elenco e concatenarle. È molto più facile da memorizzare di una sequenza casuale di lettere, cifre e simboli, e aumentando il numero di parole la robustezza contro gli attacchi a forza bruta (l'entropia) cresce in modo lineare.
Che cos'è la generazione di passphrase?
Una passphrase è una password formata unendo più parole comuni, anziché una stringa breve infarcita di simboli. Per una persona è facile da ricordare come sequenza di parole, eppure aggiungere parole ne innalza in modo lineare la resistenza alla forza bruta. Questo strumento genera una passphrase sul momento, una volta stabiliti numero di parole, separatore, uso delle maiuscole ed eventuale aggiunta di cifre.
La generazione impiega casualità crittograficamente sicura e tutto avviene nel vostro browser. Nulla viene inviato a un server né conservato: copiate quindi subito la stringa mostrata. Ricaricando la pagina si ottiene una combinazione diversa. La robustezza stimata mostrata accanto è un valore indicativo, ricavato dalla dimensione della lista di parole e dal numero di parole.
Come creare una passphrase
- Stabilite il numero di parole Se ne raccomandano sei o più. L'elenco di questo strumento ha 853 parole, quindi ogni parola vale circa 9,7 bit; sei parole danno circa 58 bit, più di una password casuale di 8 caratteri con lettere, cifre e simboli (circa 52 bit).
- Scegliete il separatore Un trattino si legge bene ad alta voce, il che aiuta quando dovete trasmettere la passphrase a voce. Per i servizi che non ammettono spazi, scegliete un altro simbolo.
- Impostate maiuscole e cifre aggiunte Servono ad adattare il risultato ai servizi che richiedono una maiuscola o una cifra. Soddisfate il requisito restando comunque in grado di ricordarla.
- Generate e copiate Potete rigenerare finché non compare una combinazione che vi piace. Una volta scelta, copiatela subito e registratela dove conservate le password.
Consigli per sfruttarlo al meglio
- Si consigliano almeno sei parole. Quattro parole (circa 39 bit) valgono solo quanto una password casuale di 6 caratteri con lettere, cifre e simboli.
- Quando dovete dettare o annotare la password — per esempio quella del Wi-Fi — il trattino come separatore è più facile da leggere ad alta voce e riduce gli errori di digitazione.
- «Aggiungi due cifre in fondo» serve per i servizi che richiedono almeno una cifra. Le cifre non sono simboli: se un servizio impone un simbolo, scegliete come separatore un simbolo come il trattino o il punto.
- La passphrase generata viene soltanto mostrata e mai salvata. Ricaricando la pagina cambia: se intendete usarla, copiatela subito.
Quando una passphrase torna utile
Impostare una password Wi-Fi
Poiché spesso dovete dettarla agli ospiti, una sequenza di parole si trasmette in modo incomparabilmente più semplice di una fila di simboli. La separazione con trattini si presta alla lettura ad alta voce.
La password principale di un gestore di password
È l'unica password che dovete davvero ricordare voi stessi. Una passphrase vi dà la lunghezza restando memorizzabile.
Una passphrase per un file cifrato
Come segreto di uno ZIP o della cifratura di un disco, potete scegliere una forma facile da trasmettere e difficile da digitare male.
Una password condivisa temporaneamente
Ben adatta a ciò che si condivide brevemente all'interno di un gruppo. Incollata in una chat, rischia molto meno di essere letta male.
I termini delle passphrase
- Passphrase
- Una password creata unendo più parole. Consente di raggiungere facilmente la lunghezza voluta ed è semplice da ricordare e da pronunciare.
- Diceware
- Un metodo che sceglie parole da un elenco usando dadi o un'altra fonte di casualità. Questa idea è il fondamento della generazione di passphrase.
- Entropia
- Un indicatore, espresso in bit, di quanto sia difficile indovinare qualcosa. Ogni bit in più raddoppia il numero di tentativi richiesti da una ricerca esaustiva.
- Attacco di forza bruta
- Un attacco che prova a turno ogni combinazione immaginabile. La lunghezza di una passphrase si traduce direttamente in resistenza.
- Attacco a dizionario
- Un attacco che prova parole di uso comune e password trapelate in passato. Scegliere le parole a caso è ciò che lo contrasta.
- Web Crypto API
- Il servizio crittografico integrato nei browser. È quello che questo strumento usa per generare casualità difficile da prevedere.
Domande frequenti
A proposito — il capovolgimento portato da «correct horse battery staple»
Il metodo Diceware fu ideato nel 1995 da Arnold Reinhold, ma a renderlo noto al grande pubblico fu la vignetta numero 936 di «xkcd», pubblicata nel 2011. Metteva a confronto una password complicata ma difficile da ricordare come «Tr0ub4dor&3» con la passphrase «correct horse battery staple», semplice sequenza di quattro parole comuni, mostrando che la seconda è teoricamente più robusta contro la forza bruta pur essendo molto più facile da memorizzare.
Il paradosso si spiega con l'entropia della teoria dell'informazione. Guadagnare bit aumentando le possibilità di ogni singolo carattere rende meno che scegliere alcune parole da un elenco ampio: una lista di 853 voci fornisce circa 9,7 bit per parola, e quattro parole arrivano a circa 38,9 bit, più o meno quanto 6 caratteri casuali fra lettere, cifre e simboli (circa 39,3 bit) e meno di 8 caratteri dello stesso tipo (circa 52,4 bit). Se volete superare la robustezza di una simile password di otto caratteri, scegliete 6 parole (circa 58,4 bit) o più.
Ci sono però avvertenze pratiche. Una passphrase è lunga e si presta agli errori di battitura; inoltre, se la si riutilizza su più servizi, una sola fuga di dati espone tutti gli account. Tenete presente che la robustezza indicata è calcolata supponendo che l'attaccante conosca già l'elenco di parole, quindi conoscerlo non la riduce (anche gli elenchi Diceware sono pubblici). Per gli account importanti conviene non usare direttamente la passphrase generata qui, ma affidarsi a un gestore di password e riservare questo metodo alle poche password principali che occorre ricordare a memoria.