Quanto è sicura la tua password: entropia e passphrase spiegate

"Sicura" non è una qualità binaria: si misura in bit di entropia, un numero che puoi calcolare esattamente. Vediamo come, con esempi reali — per generarne una subito, con l'entropia calcolata in automatico, usa il generatore di password.

Cos'è l'entropia, in pratica

L'entropia misura quante combinazioni diverse sono ugualmente possibili per una password, espressa in bit: ogni bit in più raddoppia il numero di tentativi necessari per indovinarla per forza bruta. Una password di 8 caratteri solo minuscole ha circa 37,6 bit; una password casuale di 16 caratteri con maiuscole, minuscole, numeri e simboli ne ha circa 102,6 — enormemente più robusta, non "un po' meglio".

Come si calcola per una password casuale

entropia = lunghezza × log₂(dimensione alfabeto)

dove L è il numero di caratteri e N la dimensione dell'alfabeto usato. Con maiuscole, minuscole, numeri e simboli insieme, N vale circa 85 caratteri distinti:

16 × log₂(85) ≈ 102,6 bit

Come si calcola per una passphrase

Per una sequenza di parole scelte a caso da una lista, la logica è la stessa: numero di parole moltiplicato per il logaritmo in base 2 della dimensione della lista.

entropia = numero di parole × log₂(dimensione della lista)

Il generatore di Toolio usa una lista curata di 256 parole italiane comuni (8 bit ciascuna, dato che log₂(256) = 8 esatto):

ParoleEntropia
6 parole48,0 bit
8 parole64,0 bit
12 parole96,0 bit

Aggiungere un numero casuale di 2 cifre in fondo (opzione disponibile nello strumento) aggiunge circa 6,5 bit in più: una passphrase di 6 parole passa così da 48 a circa 54,5 bit.

Perché una lista più piccola richiede più parole

Il vero standard Diceware usa una lista di 7.776 parole, che vale 12,9 bit per parola — bastano quindi 6 parole per superare i 77 bit. Una lista più piccola e curata come quella usata qui (256 parole, scelte per essere comuni, prive di accenti e di termini ambigui) vale invece solo 8 bit per parola: a parità di sicurezza servono più parole. Lo strumento mostra sempre l'entropia reale ottenuta, qualunque numero di parole tu scelga, così sai esattamente a che punto sei — non c'è un valore "finto" nascosto dietro una semplice barra colorata.

Domande frequenti

Quanti bit di entropia servono per essere "al sicuro"?
Non esiste una soglia unica valida per sempre: dipende da cosa proteggi e da quanto tempo/potenza di calcolo un eventuale attaccante può dedicarci. Come orientamento generale, sotto i 40 bit una password è considerata debole, 60-80 bit ragionevoli per la maggior parte degli usi personali, oltre 80-100 bit robusti anche per account sensibili — più alto è sempre meglio, entro i limiti della praticità.
Perché la vostra passphrase usa 256 parole e non le 7776 del Diceware classico?
Una lista da 7776 parole (come lo standard Diceware) dà 12,9 bit per parola, quindi servono meno parole per la stessa sicurezza. Una lista più piccola e curata come questa (256 parole, 8 bit ciascuna) è più semplice da tenere sicura e priva di termini strani, ma richiede più parole per raggiungere lo stesso livello — lo strumento te lo mostra sempre in modo trasparente con l'entropia reale, qualunque lista tu stia usando.
Aggiungere un carattere speciale in fondo a una password debole la rende sicura?
Di poco: un carattere speciale in più aggiunge al massimo qualche bit, mentre allungare la password o aumentare il numero di parole di una passphrase ha un effetto molto più grande, perché l'entropia cresce con ogni carattere o parola aggiuntiva, non linearmente con un singolo simbolo.
Un gestore di password è comunque necessario se uso passphrase memorizzabili?
Sì, se hai decine di account: anche la passphrase più memorizzabile diventa impraticabile da ricordare se ne usi una diversa per ogni sito, come dovresti. Le passphrase sono più utili per i pochi casi in cui devi davvero digitare o dettare la password a mano (es. il WiFi di casa, lo sblocco di un dispositivo), mentre per tutto il resto un password manager resta la soluzione più pratica.

Tool correlati

← Tutte le guide