Generatore di password

Perché usare un generatore di password?

Le password deboli o riutilizzate restano la prima causa di compromissione degli account online. Secondo il report Verizon DBIR 2024, l'80% delle violazioni coinvolge credenziali rubate o indovinate. Un generatore di password elimina i bias umani e crea credenziali veramente casuali.

Il problema delle password create manualmente:

Gli esseri umani non sono bravi a generare casualità. Riutilizziamo sempre gli stessi pattern: nome + anno di nascita, nome del cane + "123", parola del dizionario con un "!" alla fine. Queste password cadono in pochi secondi di fronte a un attacco a dizionario.

Cosa risolve un generatore:

• Vera casualità: nessun pattern, parole del dizionario o informazioni personali
• Forza calibrata: regola lunghezza, tipi di caratteri ed entropia in base alle tue esigenze
• Generazione istantanea: crea una nuova password in millisecondi
• Riproducibilità: stesso livello di sicurezza per ogni password generata

Come usare il generatore in 3 passi

Passo 1: scegli la modalità di generazione

Sono disponibili due modalità:

• Casuale: caratteri individuali mescolati (es: k7#Qm9!xR2pL$wN4). Entropia massima per carattere. Ideale quando un gestore di password conserva la password per te.
• Memorizzabile: frasi di accesso composte da parole casuali (es: Sloppily8-Rosy3-Unlocking8-Angelic4). Più facile da ricordare e digitare, con un'entropia elevata grazie al numero di parole.

Passo 2: regola i parametri

In modalità Casuale:

• Lunghezza: da 4 a 128 caratteri (consigliato: 16+ per account sensibili)
• Tipi di caratteri: maiuscole, minuscole, cifre, simboli
• Esclusioni: caratteri simili (0/O, 1/l/I), caratteri personalizzati

In modalità Memorizzabile:

• Numero di parole: da 3 a 10 (consigliato: 4+ parole)
• Separatore: trattino, spazio, punto, personalizzato
• Opzioni: maiuscole, aggiunta di cifre tra le parole

Passo 3: copia e usa

Clicca sul pulsante copia. La password viene copiata negli appunti. Usala subito nel tuo gestore di password o nel modulo di registrazione del servizio.

L'indicatore di forza mostra in tempo reale l'entropia (in bit), il punteggio di sicurezza e il tempo stimato di crack brute-force.

Casuale vs. Memorizzabile: quando usare ogni modalità

Quando scegliere Casuale:

• Account web salvati in 1Password, Bitwarden o KeePass
• Chiavi API e credenziali di servizio
• Qualsiasi password che non dovrai mai digitare manualmente

Quando scegliere Memorizzabile:

• La password master del tuo gestore (l'unica che memorizzi)
• I codici di sblocco che digiti frequentemente (schermata di blocco)
• Le password condivise che devi comunicare a voce

Capire l'entropia delle password

L'entropia misura l'imprevedibilità in bit. Ogni bit raddoppia il numero di combinazioni possibili. La formula è: entropia = log2(numero_di_combinazioni).

Esempio concreto:

• Una password di 8 caratteri tra 26 lettere minuscole: log2(26^8) = 37.6 bit
• La stessa con maiuscole + minuscole + cifre (62 chars): log2(62^8) = 47.6 bit
• Con simboli in più (95 chars): log2(95^8) = 52.6 bit
• 16 caratteri tra 95 chars: log2(95^16) = 105.2 bit

La soglia di 10¹² tentativi/secondo corrisponde a un attacco brute-force con hardware GPU moderno (tipo cluster di schede grafiche). Per un servizio online con rate limiting, il tempo reale sarebbe considerevolmente più lungo.

Buone pratiche di sicurezza delle password

Raccomandazioni NIST SP 800-63B (2024)

Il National Institute of Standards and Technology (NIST) ha aggiornato le sue raccomandazioni sulle password. I cambiamenti principali rispetto alle vecchie pratiche:

Le 5 regole essenziali

1. Una password unica per ogni servizio: se un servizio viene compromesso, gli altri restano protetti
2. Lunghezza > complessità: correcthorsebatterystaple (25 chars, ~58 bit) è più sicura e più memorizzabile di P@$$w0rd (8 chars, ~30 bit)
3. Usa un gestore di password: 1Password, Bitwarden o KeePass per conservare centinaia di password uniche
4. Attiva la 2FA ovunque: TOTP (Google Authenticator, Authy) o chiave di sicurezza FIDO2 su tutti gli account critici
5. Verifica le fughe di dati: consulta Have I Been Pwned per sapere se le tue credenziali sono state esposte in una fuga di dati

Esempi di password e la loro forza

Il compromesso ideale per la maggior parte degli utenti: una password casuale di 16+ caratteri conservata in un gestore, con una frase di accesso di 5+ parole come password master.

Come funziona la generazione?

Generazione crittografica (CSPRNG)

Il nostro generatore utilizza crypto/rand di Go, un CSPRNG (Cryptographically Secure Pseudo-Random Number Generator) che si basa sulle fonti di entropia del sistema operativo:

• /dev/urandom su Linux
• CryptGenRandom su Windows
• SecRandomCopyBytes su macOS

A differenza dei generatori pseudo-casuali classici (Math.random() in JavaScript, random in Python), un CSPRNG produce un output imprevedibile anche per un attaccante che conosce i valori precedenti.

Processo di generazione

1. Calcolo del pool di caratteri: in base alle opzioni attivate (maiuscole, minuscole, cifre, simboli), il pool contiene tra 10 e 95 caratteri
2. Estrazione casuale: per ogni posizione della password, un byte casuale viene estratto dal CSPRNG e convertito in un indice nel pool
3. Calcolo dell'entropia: log2(dimensione_pool^lunghezza) fornisce l'entropia in bit
4. Stima del tempo di crack: basata su 10¹² tentativi/secondo (attacco GPU offline)
5. Trasmissione sicura: la password viene restituita via HTTPS e non viene né memorizzata, né loggata, né messa in cache

Strumenti complementari

Risorse utili

• NIST SP 800-63B: Digital Identity Guidelines: raccomandazioni ufficiali sulle password
• OWASP Password Storage Cheat Sheet: buone pratiche di conservazione lato server
• Have I Been Pwned: verifica se le tue credenziali sono presenti in una fuga di dati
• Diceware Passphrase: metodo originale di generazione di frasi di accesso
• Passkeys vs password: confronto tra passkeys e password tradizionali