Una password (in italiano anche detta parola d'accesso, parola d'ordine, chiave d'accesso o codice d'accesso[1]) è, in ambito informatico e crittografico, una sequenza di caratteri alfanumerici e di simboli utilizzata per accedere in modo esclusivo a una risorsa informatica (sportello bancomat, computer, connessione internet, casella della posta elettronica, reti, programmi, basi dati, ecc.) o per effettuare operazioni di cifratura. Si parla più propriamente di passphrase se la chiave è costituita da una frase o da una sequenza sufficientemente lunga di caratteri (non meno di 20/30).
Descrizione
Una password è solitamente associata a uno specifico nome utente, al fine di ottenere un'identificazione univoca da parte del sistema a cui si chiede l'accesso.
La coppia nome utente-password fornisce le credenziali di accesso a una delle forme più comuni di autenticazione; tipico il suo uso nelle procedure di accesso o login. Dato lo scopo per il quale è utilizzata, la password dovrebbe rimanere segreta a coloro i quali non sono autorizzati ad accedere alla risorsa in questione. Non è consigliabile che una password sia costituita da una parola di senso compiuto.
L'uso di parole d'ordine come forma di riconoscimento risale all'antichità, soprattutto in ambiente militare. Ad esempio le sentinelle di guardia erano solite chiedere una parola d'ordine a chi si avvicinava, e permettevano il passaggio solo a coloro che ne erano a conoscenza. In tempi più moderni, in ambienti di spionaggio e controspionaggio, alla parola d'ordine doveva essere risposta una contro parola d'ordine.
Odierni comuni esempi di utilizzo di password si hanno nei servizi bancari (i PIN dei bancomat e delle carte di credito non sono altro che password numeriche), nell'ambito della telefonia mobile e in molti altri campi, spesso coperti dal carattere punto(•).
Password dinamiche
Un livello maggiore di sicurezza può essere raggiunto mediante password dinamiche: si tratta di password che variano automaticamente dopo un intervallo di tempo prefissato. In tal caso l'autenticazione al sistema si ottiene quando la password generata automaticamente e quella immessa dall'utente coincidono.
Nella sua forma più semplice tale meccanismo si basa, infatti, su una componente hardware ed una software: la parte software, un programma in esecuzione su di un server o su un altro sistema da proteggere, genera delle password dinamiche a intervalli di tempo prefissati secondo un determinato algoritmo; la parte hardware, un dispositivo (ad esempio una smart card oppure un Token) nel cui firmware è codificato il medesimo algoritmo, è sincronizzata con il server in modo da generare la medesima password nel medesimo intervallo di tempo.
Passwordless o Passkey
La password ha un'intrinseca vulnerabilità perché, specie quando è banale o fissa, può essere facilmente rilevata. Per questo è sempre più diffusa l'autenticazione o l'identificazione mediante metodologie che fanno "a meno della password" (esperienza passwordless o passkey) o, semplicemente, anche del nome utente. Una volta eseguita la registrazione o l'abbinamento sul servizio di autenticazione (tipicamente usando un account web che utilizza un certificato digitale), l'autorizzazione può esere fornita mediante: mail (codice stile OTP) o azione positiva su tasto nel testo del messaggio, telefonata, SMS e relativa azione positiva (OTP o testo risposta o rimando a collegamento a servizio web di raccolta autorizzazione), dispositivo hardware (token stile gettone o chiavetta con visualizzatore o tasto o chiavetta USB da inserire[5]), app di autenticazione, telefonino ovvero il relativo token di sicurezza integrato (notifica bluetooth o segno su bloccaschermo), NFC, codice QR, impronta biometrica, sequenza in bloccaschermo, riconoscimento facciale, servizio autenticazione di terze parti. Perché la procedura passkey sia adeguata occorre che i vari dispositivi o servizi siano supportati da certificati firmati da autorità accreditate. Alcuni di questi strumenti richiedono che sia disponibile la connessione internet o telefonica o la batteria carica e questo potrebbe rappresentare un rischio (il token fisico, ad esempio, supera questo inconveniente). Tali metodi possono richiedere anche un PIN durante il login per fornire l'autorizzazione (tipico quando si usano chiavi hardware di sicurezza) o il consenso nella notifica dello smartphone e comunque tutti necessitano di signup iniziale (enrollment).
Come dice Microsoft[6] "i metodi di autenticazione senza password sono più pratici, perché la password viene rimossa e sostituita con qualcosa che si possiede, una caratteristica fisica o un'informazione nota". Anche Google ed Apple incoraggiano il passwordless. Inoltre, è intrinsecamente molto più sicuro perché il malintenzionato deve avere o accesso fisico o possedere contemporaneamente più elementi di autenticazione in un certo istante e per un lasso di tempo brevissimo: invece la password è un solo elemento, scovabile da remoto, a volte facilmente aggirabile.
Questo sistema rappresenta o integra un metodo MFA ma privo di credenziali con password (a parte quella che protegge l'eventuale app dedicata all'autorizzazione). Spesso è necessario che sia impostata qualche funzione del terminale identificato che fornisce l'autorizzazione (blocco schermo attivato e bluetooth abilitato del telefonino) o applicazione del dispositivo da accedere o una certa versione a salire di un determinato browser. Ovviamente, devono essere impostati altri terminali o elementi di autorizzazione passkey di riserva o procedure di recupero in caso di anomalie o guasti di quello principale o definitiva indisponibilità di indirizzo mail o numero di telefono per cessazione/chiusura/smarrimento utenza (aspetto spesso sottovalutato dalle persone).
