Home / Glossario della sicurezza delle password

Glossario della sicurezza delle password

Definizioni in linguaggio semplice dei termini dietro password, hashing e sicurezza degli account.

Attacchi

Forza bruta: Provare ogni valore possibile finché uno funziona. Gli unici limiti sono la velocità dei tentativi e il numero di possibilità: per questo la lunghezza batte la complessità.
Attacco a dizionario: Forza bruta ristretta ai candidati probabili — parole reali, nomi, password trapelate, schemi di tastiera. Molto efficace contro le password inventate dalle persone.
Credential stuffing: Provare automaticamente un nome utente e una password trapelati da un sito su molti altri. Funziona solo perché le password vengono riutilizzate.
Phishing: Indurti a digitare la password in una pagina o un messaggio falsi. Qui la forza della password è irrilevante; aiutano 2FA e prudenza.
Keylogger: Malware o hardware che registra tutto ciò che digiti, catturando le password mentre le inserisci, per quanto forti siano.

Entropia: Quanto è imprevedibile un segreto, misurata in bit — grosso modo il numero di tentativi necessari in media, come potenza di due. Ogni bit in più raddoppia il lavoro per violarlo.
Hash: Una funzione a senso unico che trasforma qualsiasi input in un'impronta di lunghezza fissa. I siti memorizzano l'hash della tua password, non la password.
Salt (salatura): Un valore casuale unico mescolato a ogni password prima dell'hashing. Fa sì che password identiche producano hash diversi e rende inutili le tabelle precalcolate (rainbow).
Key stretching: Hashing volutamente lento (bcrypt, scrypt, Argon2, PBKDF2) che aggiunge un costo elevato a ogni tentativo, rallentando la violazione offline di ordini di grandezza.
CSPRNG: Un generatore casuale crittograficamente sicuro, come crypto.getRandomValues() del browser. Il suo output non può essere previsto o riprodotto, a differenza di Math.random().

Autenticazione a due fattori (2FA): Una seconda prova d'identità oltre alla password — un codice da app, una conferma o una chiave hardware. Blocca un aggressore che ha solo la password.
Passkey (FIDO2): Una credenziale senza password legata al tuo dispositivo con crittografia a chiave pubblica. Nulla di segreto viene inviato al sito, quindi non è soggetta a phishing né a fughe.
Password principale: L'unica password che sblocca un gestore di password. È l'unica da memorizzare, quindi rendila una frase lunga e non riutilizzarla mai.

Frase d'accesso: Una password composta da diverse parole casuali. Facile da digitare e ricordare, e forte quando le parole sono scelte da un software e non da te.
Gestore di password: Un'app che crea, memorizza e compila una password unica per ogni account dietro un'unica password principale — la singola abitudine più efficace per la sicurezza degli account.
Violazione di dati: Un incidente in cui i dati degli utenti di un servizio, spesso inclusi gli hash delle password, vengono rubati e di solito pubblicati. Verifica la tua esposizione con lo strumento di verifica di questo sito.