Le password sono tradizionalmente considerate il fronte della sicurezza che ci accompagna nella nostra vita digitale, combinazioni alfanumeriche che usiamo ogni giorno per accedere a una molteplicità di servizi, dalla banca al fascicolo sanitario, alla posta elettronica ai social network, e fino all’e-commerce e agli strumenti di lavoro. L’evoluzione del contesto della sicurezza informatica che ruota attorno al modello tradizionale delle password rende però oggi questo paradigma di autenticazione obsoleto e sempre più fragile. Non è infatti più sufficiente scegliere password complesse e robuste, in quanto campagne sempre più sofisticate di phishing sono in grado di sottrarre le credenziali di accesso con metodi fraudolenti, con attacchi sempre più evoluti. Anche il riutilizzo della stessa password per accedere a più servizi rappresenta una pratica che espone a un elevato rischio di compromissione delle credenziali. Infatti, se una password, per quanto complessa, viene utilizzata su più piattaforme, il suo livello di sicurezza risulta equivalente a quello del servizio meno protetto tra quelli in cui è impiegata.
Come evidenziato anche dal Clusit in occasione del World Password Day dello scorso maggio, il credential stuffing – ovvero il riutilizzo di credenziali sottratte a seguito di una violazione dei dati per tentare l’accesso ad altri servizi – rappresenta oggi una delle tecniche di attacco più efficaci e scalabili utilizzate dai cybercriminali.
Il Clusit sottolinea quindi anche come la questione non stia solo nel come vengono scelte e gestite le password, ma dell’intero sistema di tecnologie di sicurezza e del sistema digitale che protegge le informazioni personali nel tempo. Tra gli aspetti a cui gli utenti dovrebbero prestare attenzione vi è anche il modo in cui le password vengono memorizzate. I sistemi informatici, infatti, non archiviano normalmente le password in chiaro, ma le trasformano in un codice crittografico, detto hash, per garantirne una maggiore protezione. Tuttavia, sistemi e servizi meno recenti possono utilizzare algoritmi di hashing ormai superati e più facilmente attaccabili, mentre le piattaforme moderne adottano meccanismi più robusti, in grado di rendere significativamente più complesso il furto delle credenziali di accesso.
A contribuire però ulteriormente al tramonto dell’era delle password, accelerandone la fragilità, è l’avvento dell’intelligenza artificiale. Gli attaccanti oggi impiegano infatti strumenti che sfruttano la AI per indovinare le nostre password basandosi su una quantità enorme di esempi reali. In pratica, questi sistemi sono in grado di imitare il modo con cui le persone scelgono le proprie password, riuscendo in tal modo a indovinarle molto più rapidamente, prevedendo quelle più probabili. In tal senso, anche le password che ci sembrano più creative e difficili da indovinare, rientrano in realtà perfettamente nei pattern che i modelli di AI imparano a replicare nel comportamento umano. Ancora più insidiosa è quindi la personalizzazione degli attacchi: l’AI può infatti raccogliere e utilizzare tutte le informazioni personali che un utente condivide online (social, LinkedIn e altri servizi e piattaforme) per creare dei veri e propri dizionari di attacco personalizzati, per affinare ancora di più gli attacchi, sempre più mirati. Di conseguenza, anche una password che può apparire complessa e originale potrebbe non essere realmente sicura. Gli attaccanti, infatti, sfruttano strumenti potenziati dall’Intelligenza Artificiale e informazioni ricavate dalle preferenze personali e dai dati biografici delle vittime, conoscendo già molte delle sostituzioni prevedibili comunemente utilizzate (ad esempio P@ssw0rd!).
La sicurezza di una password non dipende quindi tanto dalla sua apparente complessità, quanto dalla sua imprevedibilità. Una password realmente efficace deve essere difficile da intuire anche sulla base delle informazioni personali dell’utente, riducendo così la probabilità di successo dei tentativi di compromissione delle credenziali.
Guardando ancora più avanti, l’avvento dei computer quantistici, che non è più qualcosa di lontano e teorico ma una realtà tecnologica che potremmo vedere già tra 10 o 15 anni, infligge un ulteriore colpo verso il declino delle password: i computer quantistici potrebbero infatti rendere obsoleti molti degli attuali sistemi crittografici, per cui i dati sensibili che oggi sono protetti e sicuri potrebbero non esserlo più tra qualche anno. Già oggi molti Stati e attori avanzati stanno infatti intercettando e conservando informazioni protette da crittografia – noto anche come data harvesting -, con la prospettiva di poterle decifrare facilmente in futuro grazie al supporto del quantum computing.
Il cambio di paradigma nella protezione dell’identità richiede allora il passaggio a forme più evolute, più solide e al contempo più semplici di autenticazione, mediante impiego di autenticazione multi fattore, soluzioni biometriche e passkey. Un passaggio che da una parte comporta meno fatica e rischio informatico ridotto per gli utenti, dall’altro una maggior responsabilità nella protezione di identità, dati e account da parte di aziende e istituzioni. Modalità ragionevolmente sicure che affiancano le buone pratiche nell’uso delle password, che constano in una serie di importanti indicazioni di base, sempre valide e preziose:
- Usare password che siano uniche e complesse, e poco prevedibili.
- Attivare sempre la verifica in due passaggi e l’autenticazione a più fattori.
- Utilizzare buoni gestori di password.
- Fare grande attenzione alle minacce di phishing, in quanto anche la password più sicura può venire rubata con l’inganno: il comportamento delle persone è sempre il primo baluardo nella cybersecurity, prima ancora delle tecnologie e delle crittografie all’avanguardia messe in campo.
- Iniziare a familiarizzare con le nuove modalità di accesso che stanno già progressivamente sostituendo le password tradizionali.
Infine, l’intelligenza artificiale viene in soccorso anche sul fronte difensivo quando si tratta di protezione dell’identità digitale: l’impiego oculato di strumenti di AI può infatti aiutare a rilevare anomalie nei comportamenti di login degli utenti (ad esempio, orari insoliti in cui viene effettuato l’accesso, posizione inusuale o modo di digitare sospetto), rendendo in tal modo difficile anche l’uso di credenziali rubate da parte degli attaccanti, anche qualora queste siano corrette e valide.