Password Sicure nel 2025:
Le Regole Aggiornate che Devi Seguire

1. Perche le vecchie regole sulle password non bastano piu

Per anni ci hanno insegnato: usa almeno 8 caratteri, includi maiuscole, minuscole, numeri e simboli, cambia la password ogni 90 giorni. Queste regole sembravano sensate negli anni 2000. Oggi sappiamo che producono password piu deboli, non piu forti.

Ecco perche. Quando si impone complessita arbitraria, le persone reagiscono in modo prevedibile:

• "Password" diventa "P@ssw0rd!" — gli hacker conoscono questi pattern meglio di noi
• Il cambio forzato ogni 3 mesi porta a sequenze prevedibili: "Primavera2025", "Estate2025"
• La complessita imposta porta a riutilizzare la stessa password su piu servizi
• Gli utenti scrivono le password su foglietti o file di testo non protetti

Il NIST (l'ente americano per gli standard tecnologici) ha aggiornato le linee guida nel 2024: basta con i cambi forzati periodici, basta con la complessita arbitraria. Quello che conta davvero e la lunghezza e l'unicita.

2. Come vengono rubate le password (metodi reali)

Data breach di terze parti

Il metodo piu comune. Siti e servizi che hai usato vengono violati e i loro database di password finiscono nel dark web. Se usavi la stessa password su quel sito e sulla tua email aziendale, l'hacker ha ora accesso alla tua email. Puoi verificare se la tua email e in un breach su haveibeenpwned.com.

Attacco brute force e dizionario

Software automatici che testano milioni di combinazioni al secondo. Una password di 8 caratteri con numeri e simboli viene violata in poche ore con hardware moderno. Una passphrase di 4 parole casuali (es. "corvo-limone-stella-finestra") richiederebbe miliardi di anni.

Phishing

L'utente viene ingannato e inserisce le proprie credenziali su una pagina falsa. La password piu complessa del mondo e inutile se la digiti volontariamente in una pagina di phishing. La 2FA e l'unica difesa efficace contro questa tecnica.

Keylogger e malware

Software malevolo installato sul PC registra ogni tasto premuto, comprese le password. Difesa: antivirus EDR aggiornato, aggiornamenti del sistema operativo, attenzione al phishing.

3. Le nuove regole per password sicure nel 2025

Le linee guida NIST SP 800-63B (2024) stabiliscono queste priorita:

1. Lunghezza sopra tutto: almeno 15 caratteri. Piu e lunga, meglio e. Non c'e limite superiore utile.
2. Unicita per ogni account: ogni servizio deve avere una password diversa. Questo e impossibile senza un password manager.
3. Nessun cambio periodico forzato: cambia solo se c'e una ragione (breach sospetto, fine rapporto di lavoro, ecc.).
4. Passphrase invece di password: 4 parole casuali non correlate sono piu sicure e piu facili da ricordare di "P@ssw0rd!".
5. Verifica contro liste di password note: blocca password comuni come "123456", "password", "qwerty".
6. Sempre 2FA sugli account critici: email, banca, gestionale aziendale, cloud.

4. Password manager: confronto (Bitwarden, 1Password, LastPass)

Un password manager genera, memorizza e compila automaticamente password uniche e casuali per ogni account. E la soluzione tecnologica piu impattante per la sicurezza delle credenziali, sia personali che aziendali.

5. Passkey: il futuro delle password

Le passkey sono lo standard di autenticazione del futuro, sviluppato da Apple, Google e Microsoft insieme alla FIDO Alliance. Sostituiscono completamente le password tradizionali con un sistema crittografico piu sicuro e piu comodo.

Come funzionano: quando crei un account con passkey, il dispositivo genera una coppia di chiavi crittografiche. La chiave privata resta sul dispositivo (protetta dal Face ID, Touch ID o PIN del dispositivo), la chiave pubblica viene inviata al server. Per autenticarti, il server manda una sfida che solo la chiave privata puo risolvere — sblocchi il dispositivo con il biometrico e sei dentro. Non c'e nulla da ricordare, nulla da rubare lato server.

Chi le supporta nel 2025: Google, Apple, Microsoft, Amazon, PayPal, GitHub, LinkedIn, Shopify, X (Twitter) e centinaia di altri servizi. I principali browser (Chrome, Safari, Firefox, Edge) le supportano nativamente.

Le passkey sono resistenti al phishing per design: funzionano solo sul dominio per cui sono state create. Una passkey creata per google.com non funziona su g00gle.com. Gli hacker non possono rubarle con una pagina falsa.

6. Policy password per aziende

Una policy password aziendale efficace nel 2025 deve includere:

• Lunghezza minima: 15 caratteri per account standard, 20+ per account privilegiati (amministratori, server)
• Unicita: ogni sistema/servizio deve avere una password diversa — imposta con un password manager aziendale
• Password manager obbligatorio: fornisci e paga il password manager per tutti i dipendenti
• 2FA obbligatoria: su email aziendale, VPN, gestionale, cloud storage, accessi amministrativi
• Verifica delle credenziali compromesse: controlla periodicamente se le email aziendali sono presenti in database di breach (haveibeenpwned.com, monitor del password manager)
• Revoca immediata degli accessi quando un dipendente lascia l'azienda
• Nessuna password condivisa: ogni dipendente deve avere credenziali personali. Se necessario condividere, farlo attraverso il password manager