Smettete di cambiare la password ogni mese

Mag 13, 2016 Marco Schiaffino Gestione dati, Intrusione, News, Scenario 0

Contrordine: tutte le buone pratiche per l’uso di password robuste sono da buttare. Almeno secondo il Communications-Electronics Security Group (CESG), ente collegato ai servizi segreti inglesi.

In un documento pubblicato la scorsa settimana, gli esperti inglesi illustrano una serie di buone pratiche nella gestione dei servizi di autenticazione basati su password, rimettendo in discussione alcune delle tradizionali linee guida adottate normalmente dagli amministratori di rete.

Un documento di 16 pagine per cambiare le policy nella gestione delle password. Il governo inglese ha preso la questione molto sul serio.

Il primo dogma sgretolato dal documento del CESG è quello di obbligare i dipendenti a cambiare periodicamente la password.

Il dietro-front deriva dalla considerazione del fatto che gli utenti faticano a memorizzare una nuova password ogni 30 o 60 giorni. Risultato: molti sono tentati di usare password estremamente semplici o a usare varianti della stessa password che, magari, usano anche per i loro account privati.

Senza contare l’ipotesi in cui, per ricordarla, finiscano per violare un’altra delle sacre regole nella gestione delle password: non scriverla su un post-it appiccicato sul monitor.

Obbligare a cambiare la password spesso rischia di aumentare le spese di cancelleria dell’ufficio

Alle difficoltà di memorizzazione gli esperti si appellano anche quando sconsigliano l’uso di password generate automaticamente. Secondo il CESG l’uso dei generatori automatici riduce il rischio che le password siano “indovinate” o individuate attraverso l’uso di dizionari, ma ripropongono le stesse problematiche del cambio forzato.

La password è certamente sicura. Ricordarsela è un altro discorso…

Anche l’imposizione di una lunghezza minima e di una struttura particolare (maiuscole e minuscole, numeri, caratteri speciali) avrebbero fatto il loro tempo.

Il motivo? L’utente medio, di fronte a simili regole, crea le password utilizzando degli schemi logici prevedibili (come il vecchio metodo di utilizzare numeri che “somigliano” alle lettere) che finiscono per pregiudicare il livello di sicurezza delle password stesse.

Bocciati per lo stesso motivo anche i sistemi che visualizzano il livello di sicurezza della password: nome, cognome e data di nascita possono dare un punteggio elevato, ma in quanto a sicurezza è un suicidio.

Nome, cognome e data di nascita: secondo il software è sicura al 91%. Contento lui…

Meglio, secondo il CESG, affidarsi a dei generatori automatici di password che utilizzano una combinazione casuale di parole di senso compiuto, che l’utente può memorizzare più facilmente.

Le raccomandazioni “positive” proseguono con il suggerimento di utilizzare un sistema di lockout che blocchi l’accesso dopo un certo numero di tentativi falliti nell’inserimento della password (ma attenzione: espone al rischio di attacchi DDoS) o di un password manager, che secondo gli 007 inglesi però finirebbe per attirare come mosche eventuali aggressori.

L’ultimo suggerimento nel paper suona più che altro come una stoccata agli amministratori di rete, più abituati a preoccuparsi della trascuratezza degli utenti che della propria: “Non memorizzate le password in chiaro nei database”.

Condividi l'articolo