Password e Sicurezza: Come tutelarsi sul web

Qualcuno si chiederà: "Perché un articolo sulle password?", ritenendo l'argomento banale. Invece, l'argomento è di grande importanza e attualità, considerando che la password è una delle parti fondamentali della nostra vita sul web.
La password è, per definizione, una "parola d'ordine", formata da una sequenza di caratteri alfanumerici, che ci permette di accedere a tutti i contenuti a noi relativi sulla rete; è infatti usata a protezione dei nostri account su tutti i siti del web che richiedono la registrazione di un nome utente, e in sostanza è ciò che permette a noi utenti di accedere al nostro personale profilo anche su ForumFree.
Mentre per account si intende "quell'insieme di funzionalità, strumenti e contenuti attribuiti ad un nome utente in determinati contesti operativi, spesso in siti web o per usufruire di determinati servizi su Internet." (Wikipedia)
Account e password sono quindi collegati: la password è la chiave d'accesso all'account, che in gran parte dei casi può contenere anche dati personali.
E' possibile che qualche cracker riesca ad accedere al nostro profilo per mezzo di bug o falle di sicurezza, come purtroppo avvenuto diverse volte anche su ForumFree (ulteriori informazioni qui).
Affinché nessuno abbia la possibilità di forzare e prendere possesso del nostro account, è necessario scegliere con cura una password sicura, che deve rispettare alcuni canoni base per essere definita tale.




Il primo criterio da seguire nella scelta della password è sicuramente la composizione di una password complessa, ma che possa essere ricordata facilmente da chi ne fruisce, pur essendo composta di parole non di senso compiuto e contenendo vari caratteri speciali. In alternativa, se volete una password praticamente impossibile da scoprire che però non riuscite a ricordare, potete salvarvene una copia sul PC (c'è un particolare programma molto utile in questo caso, Keepass X) per quando dovrete accedere: l'utilizzo del programma, tuttavia, è sconsigliato, dato che di fatto non è possibile recuperare le password da postazioni diverse dal computer in cui il programma è installato; il programma può comunque essere utile per tenere una sorta di archivio per evitare dimenticanze.
Provate ad eseguire su questo sito un test sulla vostra password (anche se è consigliato non inserire la propria password, nonostante il sito assicuri di non memorizzarla) per capire se è una potenziale password sicura o meno. Un test ancora più accurato può essere effettuato su quest'altro sito. Ricordate inoltre di non usare sempre la stessa password per ogni sito web che frequentate, e di non dire la password a nessuna persona che conosciate, se non per qualche importante motivo.

La composizione della password "perfetta" è generalmente dipendente da 6 criteri:
1) Deve essere composta da lettere maiuscole e minuscole;
2) Deve contenere numeri e simboli (i cosiddetti "caratteri speciali");
3) Deve essere lunga, perché ovviamente una password lunga è molto più difficile da decodificare;
4) Non deve essere nulla di strettamente personale e ricollegabile ad abitudini o passioni a cui è facile risalire con informazioni sulla vostra persona;
5) Ogni password deve essere diversa di sito in sito. E' sconsigliato usare una sola password per più siti, specie nel caso di account importanti (es: Paypal);
6) La password non deve mai essere ceduta ad altri. Nel caso vi arrivino richieste simili su FF, è d'obbligo rivolgersi al Centro Abusi.



Ogni password, dopo essere stata inserita e riconosciuta, viene criptata e, generalmente dopo, salvata in un database.
In sintesi, ogni password viene trasformata in un hash, che è una stringa di caratteri alfanumerici a 256 bit, che è per l'appunto una "codifica" della stringa iniziale; la lunghezza di questa stringa generata è variabile, e dipende dall'algoritmo utilizzato per criptare la password.
Il primo metodo di crittografia utilizzato su ForumFree è stato MD5 (sostituito ormai da qualche anno), molto utilizzato sul web ma comunque meno sicuro rispetto ad altri in circolazione; è propenso a generare collisioni, ovvero restituire lo stesso hash (la stringa priva di senso derivata dalla password) per più valori iniziali (password). Sul web, è ormai comune trovare diversi servizi in grado di decriptare alcuni hash MD5 in pochi secondi.
Attualmente, il metodo di crittografia usato su ForumFree è il Secure Hash Algorithm (più specificamente, uno basato sullo SHA-2) che, rispetto a MD5, è considerato più sicuro in quanto parte dei dati di ogni stringa iniziale, durante la fase di conversione in hash, vengono irrimediabilmente perduti, senza dare quindi la possibilità di risalire alla stringa originale (Traduzione: decriptare SHA-2 è letteralmente impossibile).
Tuttavia, anche SHA-2 ha le proprie debolezze: infatti, la stringa che genera l'algoritmo stesso viene salvata nei cookie per l'identificazione di un utente; trovando quella stringa e inserendola nei propri cookies, in sostanza, è possibile identificarsi per un altro utente, ma anche in questo caso le probabilità che accada sono piuttosto basse (esempio pratico il bug trovato, a tal proposito, da bored e Klo qualche tempo fa).
Dopo essere stata convertita in hash, la password viene salvata in una tabella in Database SQL, in modo da essere disponibile ogni volta che se ne presenta l'occasione (identificazione etc...). Una volta salvato, è difficile risalire all'hash o causare danni se non per mezzo di SQL Injection, vere e proprie "brecce" nel database di FF, con le quali è possibile "autenticarsi con ampi privilegi in aree protette del sito anche senza essere in possesso delle credenziali d'accesso e di visualizzare e/o alterare dati sensibili" (Wikipedia).
Su ForumFree, di episodi pubblici di SQL Injection non ce ne sono, anche se alcuni utenti (perlopiù vicini allo stesso staff) hanno trovato alcune falle che permettevano queste injection, segnalandole prontamente per una risoluzione; ciò non esclude che in futuro qualcuno possa trovarne altre, anche se al momento è una cosa piuttosto improbabile.



In sostanza, le nostre password risultano relativamente sicure, sia su ForumFree che su un sito qualunque.
Soffermandoci più precisamente all'ambiente circoscritto al circuito, la sicurezza è un argomento più volte trattato, sul quale la stessa amministrazione si è espressa ed attivata in passato e di cui c'è poco da discutere, non avendo dati effettivi (se non tentativi e test veri e propri, come quelli portati come esempi nei precedenti paragrafi). Ciò che è certo è che nessun sistema è impenetrabile, tanto meno ForumFree, il quale può garantire una sicurezza discreta, purché l'utenza "collabori" (la scelta di una buona password è uno di quei tipi di collaborazione, nonché una sicurezza in più anche per noi utenti).
Seppur ogni presunta falla viene ovviamente "coperta", c'è da dire che è probabile che possano essercene altre, come può anche darsi che non sia così, ragion per cui non è unicamente in potere degli utenti decidere sulla propria sicurezza su qualsivoglia sito web.
Avere una buona password, comunque, è una garanzia in più per noi utenti, in quanto una password complessa ha comunque minori probabilità di venir scoperta e liberamente utilizzata.
La salvaguardia degli account spetta in primis al servizio, perciò non rimane che porci nelle mani dello staff e sperare bene.