Calcolatore di robustezza della password

L'entropia della password è lo standard di riferimento per misurare l'efficacia di una chiave d'accesso. Il nostro strumento mostra esattamente quanti bit di casualità racchiude la tua password.

Più bit di entropia significano un aumento esponenziale delle combinazioni che un malintenzionato deve testare. Punta ad almeno 80 bit per gli account importanti.

Quanto tempo occorrerebbe per violare la tua password? Il nostro calcolatore del tempo di brute force stima i tempi necessari basandosi sulle prestazioni dei moderni cluster GPU (10 miliardi di tentativi al secondo).

Scopri la differenza radicale tra una password di 6 caratteri (pochi minuti) e una di 16 caratteri (secoli).

Le password migliori uniscono lunghezza e complessità. Utilizza oltre 12 caratteri alternando maiuscole, minuscole, numeri e simboli, oppure scegli una passphrase formata da almeno 4 parole casuali.

Evita informazioni personali, vocaboli d'uso comune e schemi prevedibili. Il nostro strumento per testare la robustezza mostra chiaramente i punti di forza e le vulnerabilità della tua chiave d'accesso.

L'entropia della password è una misura di imprevedibilità, espressa in bit, che stima quanto sia arduo indovinare una password. Si calcola con la formula E = L × log2(R), dove L rappresenta la lunghezza della password e R la dimensione dell'insieme di caratteri possibili (26 minuscole, 26 maiuscole, 10 cifre e circa 33 simboli comuni).

Ogni bit di entropia in più raddoppia il numero di tentativi richiesti a chi attacca. Questo modello fondato sulla teoria dell'informazione risale al lavoro cardine di Claude Shannon, e lo standard NIST SP 800-63B analizza la robustezza delle password in termini di resistenza ai tentativi di indovinarle, anziché imporre rigide regole di composizione.

Un'entropia più elevata garantisce sempre una password più solida e resiliente.

Un attacco brute force viola le password provando sistematicamente ogni combinazione di caratteri fino a individuare quella corretta. Chi attacca, tuttavia, raramente procede alla cieca: adopera dapprima attacchi a dizionario e basati su regole tramite strumenti come Hashcat o John the Ripper, testando elenchi di password trapelate e sostituzioni comuni prima di passare a una ricerca esaustiva.

I cluster GPU di ultima generazione elaborano miliardi di hash al secondo, motivo per cui le password brevi cadono rapidamente. Stando alle linee guida OWASP, chi gestisce i sistemi di autenticazione dovrebbe ostacolare gli aggressori memorizzando le password con algoritmi memory-hard come bcrypt, scrypt o Argon2, anziché hash rapidi come MD5 o SHA-1.

L'entropia determina in ultima istanza quanti tentativi deve compiere un attacco a forza bruta.

La lunghezza della password ne aumenta la robustezza molto più rapidamente rispetto all'aggiunta di caratteri speciali, poiché l'entropia cresce linearmente con la lunghezza ma solo logaritmicamente con l'ampiezza del set di caratteri. Aggiungere un singolo carattere a una password di sole lettere minuscole moltiplica approssimativamente lo spazio di ricerca, mentre sostituire una lettera con un simbolo aggiunge solo una frazione di bit.

La linea guida NIST SP 800-63B recepisce questo principio eliminando le regole di complessità forzata e incoraggiando invece l'uso di password e passphrase più lunghe, fino a 64 caratteri o più. Una frase di 20 caratteri interamente in minuscolo può risultare molto più sicura di una password di 8 caratteri infarcita di simboli.

Per ottenere una protezione efficace e facile da ricordare, dai sempre priorità prima alla lunghezza e solo dopo alla varietà dei caratteri.

Le passphrase sono spesso più sicure e pratiche da usare rispetto alle password corte e complesse, poiché la loro lunghezza garantisce un'elevata entropia pur rimanendo facili da memorizzare. Una passphrase formata da quattro o più parole realmente casuali, estratte da un ampio vocabolario come gli elenchi Diceware di EFF, offre una solida entropia senza costringerti a memorizzare astruse combinazioni di simboli.

L'elemento fondamentale è la casualità: una citazione cinematografica o un modo di dire comune offrono ben poca protezione, poiché i malintenzionati includono queste frasi nei loro dizionari di attacco. Lo standard NIST SP 800-63B incentiva esplicitamente l'impiego di segreti memorizzati lunghi e ammette l'uso degli spazi.

Scegli parole indipendenti tra loro e selezionate a caso, anziché una frase di senso compiuto.

L'hashing delle password protegge le credenziali archiviate trasformando ciascuna password in un valore irreversibile a lunghezza fissa, in modo che un'eventuale violazione del database non esponga i dati in chiaro. Il salt, un valore casuale univoco aggiunto a ciascuna password prima dell'hashing, impedisce l'uso di rainbow table precalcolate e garantisce che password identiche producano hash differenti.

OWASP raccomanda funzioni lente e a elevata intensità di memoria (memory-hard) come Argon2id, bcrypt o scrypt, calibrate in modo che ogni singolo calcolo risulti computazionalmente oneroso. Gli algoritmi veloci come MD5 e SHA-1 non sono adatti per le password, perché permettono agli aggressori di verificare miliardi di combinazioni al secondo.

Questa calcolatrice online stima la difficoltà nel decifrare la password, non la robustezza dell'hashing implementato lato server.

No, non dovresti mai riutilizzare la stessa password su più account, poiché una singola violazione basterebbe a compromettere ogni servizio che condivide quella credenziale. Gli aggressori sfruttano questo schema attraverso il credential stuffing, reinserendo le coppie di username e password trapelate da un sito su molte altre piattaforme tramite strumenti automatizzati.

OWASP classifica il credential stuffing tra le cause principali di furto degli account; le password uniche costituiscono la difesa essenziale. Un gestore di password risolve il problema della memorizzazione generando e conservando una chiave diversa e ad alta entropia per ogni servizio.

Abbinare password univoche all'autenticazione a più fattori, come raccomandato da NIST e OWASP, riduce drasticamente l'impatto di qualsiasi data breach.

I risultati integrano tre parametri complementari:

• un valore di entropia in bit
• una valutazione qualitativa del livello di sicurezza
• una stima del tempo di violazione

L'entropia rappresenta la misura oggettiva di riferimento, mentre il giudizio qualitativo (da debole a molto forte) e la stima del tempo necessario per decifrare la password traducono i bit in indicazioni intuitive, basate su un tasso ipotetico di tentativi al secondo. Poiché le risorse hardware a disposizione degli attaccanti variano enormemente, le stime temporali forniscono ordini di grandezza indicativi e non certezze matematiche, in armonia con i criteri di resistenza agli attacchi descritti in NIST SP 800-63B.

Utilizza il valore di entropia per confrontare diverse password: considera rischioso qualsiasi punteggio inferiore a 60 bit per gli account importanti e punta ad almeno 80 bit per i servizi più critici.

Gli errori più frequenti derivano da scelte prevedibili che i sistemi di attacco riescono facilmente ad anticipare:

• Evita termini presenti nel dizionario, sequenze sulla tastiera come qwerty o 123456 e informazioni personali come nomi propri, date di nascita o nomi di animali domestici, facilmente reperibili sui social network o nei database compromessi.
• Le semplici sostituzioni di caratteri (@ al posto di a, 3 al posto di e) aggiungono un'entropia irrisoria, poiché i software di cracking applicano queste regole in automatico.
• Non limitarti ad aggiungere un numero o un punto esclamativo in fondo a una parola comune e non riutilizzare mai una vecchia password.

OWASP raccomanda di verificare le nuove password confrontandole con gli elenchi di credenziali già compromesse, mentre il NIST consiglia di scartare a monte le chiavi presenti nei database di violazioni note.