Come creare una password imbattibile

La prima cosa che capisci quando crei una buona password è di avere una memoria piuttosto tremenda. La seconda cosa che di solito impari è che non te la cavi un granché quando devi fare “cose a caso”. La vera casualità è difficile da prevedere, gli esseri umani invece non lo sono. Anche se non siete tra i milioni di persone che usano password del tipo “12345678” o “password”, potreste comunque essere tra quelli che fanno errori da dilettanti. Per esempio utilizzate un modo di dire come password, ma rimpiazzando le “i” con gli “1”, o la “a” con “@“ e così via. Oppure usate parole molto comuni, aggiungendo alla loro fine lettere e numeri. O ancora riutilizzate la stessa password per siti diversi, senza cambiarla a sufficienza. In breve: qualsiasi soluzione di base che permetta a un essere umano di ricordarsi effettivamente una password.

Va bene, direte ora, ma allora come si supera questa cosa? Qualsiasi password ragionevolmente sicura sarà anche impossibile da ricordare. E qualsiasi password che potrai ricordare sarà probabilmente terribile. È la legge delle password, no?

Come scrive Alexandra Petri del Washington Post: “La password sicura e perfetta da ricordare è come un unicorno: nessuno l’ha mai trovata, e alcuni dubitano addirittura che esista”. Ma due ricercatori della University of Southern California potrebbero avere trovato infine la soluzione perfetta. Marjan Ghazvininejad e Kevin Knight hanno pubblicato uno studio con una nuova soluzione per creare password che siano estremamente difficili da scoprire e al tempo stesso relativamente facili da ricordare: poesie create a caso.

L’ispirazione per la ricerca è derivata da una striscia – realizzata da Randall Munroe di Xkcd – in cui viene dimostrato come una password fatta da quattro parole a caso – come “corretto cavallo batteria graffetta” – sia molto più sicura e più facile da ricordare rispetto alla classica accozzaglia di lettere, numeri e simboli a caso raccomandata dalla maggior parte degli esperti in sicurezza informatica.

Anche se scegli una parola poco comune – come “menestrello” – e cambi alcune lettere con altri simboli, a un computer bastano comunque pochi secondi o nella peggiore delle ipotesi qualche ora per indovinare la password. Ma una combinazione di quattro parole totalmente a caso è difficile per un hacker e al tempo stesso è facile da ricordare: si possono creare piccole storie strambe su un cavallo che riconosce correttamente una batteria e una graffetta per fare in modo di non scordarsi più quei termini, a differenza di usare il nome della moglie di un amico o la data di un anniversario.

Il segreto sta nel fatto che quelle quattro parole sono create sulla base di un numero casuale molto grande, che viene poi spezzato in segmenti, ognuno dei quali corrisponde a una parola nel dizionario: in pratica è come se fosse una forma di crittografia. Per indovinare l’intero numero casuale, un computer dovrebbe testare miliardi e miliardi e miliardi di possibili combinazioni prima di trovare quella giusta, dice il ricercatore Kevin Knight.

Ghazvininejad e Knight non si sono però fermati al suggerimento di Munroe delle quattro parole: sono andati oltre e hanno elaborato un sistema basato su brevi poesie. Sono arrivati a questa conclusione dopo avere analizzato diversi altri metodi, come quello basato sulla creazione di frasi casuali. Usare brevi poesie con parole a caso che fanno rima è il modo migliore per ricordarsi una password.

Come spiegano gli stessi ricercatori, gli esseri umani hanno usato la poesia come metodo per ricordare le cose per migliaia di anni. Non è un caso che i lunghi poemi epici, come l’Odissea con i sui 12mila versi, o le Canterbury Tales con 17mila, fossero state composte in metrica. Molte persone al giorno d’oggi non sanno recitare a memoria le Canterbury Tales, ma hanno comunque alcuni motivetti scolpiti nei loro ricordi, come “trenta giorni ha novembre…”.

Ghazvininejad e Knight hanno realizzato le loro poesie dopo avere associato un codice a ogni parola contenuta in un dizionario di 327.868 parole. Poi hanno usato un software per creare un numero casuale molto lungo, per poi spezzarlo in segmenti e per tradurre quei pezzi in due versi brevi. Il programma che hanno utilizzato si assicura che i versi finiscano in rima, e che l’intera frase sia in tetrametri giambici, così:

Receiver Mathew Halloween
deliver cousin magazine
[Il ricevitore Mathe Halloween
consegna una rivista del cugino]

Queste password possono sembrare un poco strane, ma sono in effetti molto sicure: alle attuali velocità di calcolo, richiederebbero a un computer molti decenni prima di riuscire a identificarle. E sono molto più facili da ricordare rispetto a qualsiasi altro insieme di caratteri che potrebbero essere altrettanto sicuri.

Se ne leggete troppe, vi tireranno un po’ scemi, ma alcune sono divertenti.

The reigning Hagen journeyman
believers mini minivan
[L’operaio in carica Hagen
credenti nei mini minivan]

And teaches scripture bungalow
or celebrate or Idaho
[E insegna le scritture bungalow
o le officia o Idaho]

Altre sono strane ed evocative, suggeriscono storie pazze che attendono solo di diventare memorabili:

And British fiction engineer
Travolta captured bombardier
[E l’ingegnere britannico di fantasia
Travolta catturò un bombardiere]

The latest Union Rodeo
amounts of aiding dynamo
[L’ultimo Union Rodeo
ammonta a una dinamo di aiuto]

Ghazvininejad e Knight hanno realizzato un generatore automatico di queste piccole poesie online, lo potete provare qui. Ricordate però che si tratta di un sito dimostrativo: gli hacker potrebbero scaricare tutte le password generate e provarle per violare gli account, quindi non usatele così come sono. Se volete una poesia personalizzata, potete inserire qui il vostro indirizzo email e il sistema ve ne invierà una sicura, che sarà poi cancellata dal server da cui è stata mandata.

Sfortunatamente molti siti ancora oggi limitano il numero di caratteri che possono essere usate per una password, quindi molte di queste poesie sono probabilmente troppo lunghe. Ma forse un giorno potrete usarle: un numero crescente di siti sta valutando di abbandonare la politica del limite di caratteri, perché le password più brevi sono comunque molto meno sicure.

©2015 The Washington Post