Dove sono le tue password salvate, e chi altro può aprirle

Pubblicato il di David Carrero

Se hai mai cliccato «Salva password» in quella finestrella che compare in basso, usi già un gestore di password. Nessuno te l’ha detto, non ne hai scelto nessuno, e ne hai uno lo stesso. Probabilmente con cento voci dentro.

Questo spiega perché la domanda più ripetuta sulle password non è «come ne faccio una buona», ma «dove sono le mie». La gente non cerca un manuale di sicurezza: cerca un elenco che sa che esiste e non riesce a trovare.

L’elenco esiste. Ma dove è conservato conta molto meno della risposta alla domanda successiva, quella che quasi nessuno fa: cosa serve per aprirlo?

Dove sono, a seconda di cosa usi

In Chrome sono nel gestore delle password di Google. Vivono in due posti insieme: una copia sul computer e un’altra nel tuo account Google, sincronizzate. Si vedono su passwords.google.com o dalle impostazioni del browser.

Su Safari, iPhone e Mac sono nel portachiavi iCloud, che da poco ha anche una sua app, Password. Stessa idea: sul dispositivo e nel tuo account Apple.

In Firefox sono in due file dentro il tuo profilo, e i nomi vale la pena conoscerli: logins.json, dove stanno nomi utente e password cifrati, e key4.db, dove sta la chiave che li decifra. Mozilla lo documenta esattamente così, con quei nomi.

In Edge sono nel tuo account Microsoft, con lo stesso schema di Chrome. E su Android è lo stesso gestore di Google che usa Chrome, anche se lo apri dalle impostazioni del telefono.

Fin qui la risposta che cercavi. Ora la parte che cambia qualcosa.

Tre modelli, e perché non sono equivalenti

Tutti dicono «le tue password sono cifrate». È vero in tutti e tre i casi e non significa la stessa cosa in nessuno, perché quello che cambia è chi ha la chiave.

Il portachiavi di Apple è cifrato end-to-end. Le chiavi che lo aprono Apple non le conosce; esistono solo sui tuoi dispositivi fidati. Apple lo pubblica nella sua documentazione di sicurezza e aggiunge un dettaglio che si apprezza: il sistema limita i tentativi, proprio perché nemmeno dall’interno della propria infrastruttura si possa andare a tentativi. Non c’è niente da attivare. È già così.

In Google quella modalità esiste, ma è facoltativa. Per impostazione predefinita le tue password viaggiano cifrate e vengono conservate cifrate, ma con chiavi gestite da Google. Puoi cambiarlo: una passphrase di sincronizzazione —o la crittografia sul dispositivo, a seconda da dove entri— lascia le chiavi soltanto nelle tue mani. La differenza pratica è enorme e la maggior parte delle persone non l’ha mai attivata, perché nessuno le ha spiegato che esisteva. Ha un prezzo, e va detto per intero: se dimentichi quella passphrase, le tue password salvate non le recupera nessuno. È esattamente il significato della parola «solo tu».

In Firefox, senza password principale, la cifratura non ti protegge da chi ha i tuoi file. È la parte più scomoda di questo articolo, e la dice Mozilla, non noi: senza una password principale impostata, chiunque copi logins.json e key4.db dal tuo profilo può leggere le tue credenziali. I due file viaggiano insieme: uno porta il lucchetto, l’altro la chiave. Mettere una password principale è ciò che cifra quella chiave e spezza la coppia.

Lo scenario reale non è un film

Quando uno immagina che gli rubino le password, immagina qualcuno che attacca dei server. In pratica i due casi che succedono sono molto più domestici.

Il primo: qualcuno con accesso al tuo computer sbloccato. Non serve saper fare nulla. L’elenco è a due clic nelle impostazioni del browser, e anche se chiede la password di sistema per mostrarle in chiaro, quella password la sa chi vive con te o ti ha visto digitarla.

Il secondo: un programma che copia il profilo del tuo browser. Non sfonda niente. Si porta via i file e li apre altrove con calma. È un tipo di software così diffuso da avere un nome proprio nel settore, infostealer, ed è la ragione esatta per cui «ma tanto sono cifrate» richiede sempre la domanda successiva: cifrate, va bene — e la chiave dov’è?

Contro quel secondo scenario il modello di Apple regge, quello di Google regge se hai attivato la passphrase, e Firefox senza password principale non regge niente.

Cosa fare, in ordine di quanto cambia

Uno. Se usi Firefox, mettici una password principale. È una casella nelle impostazioni sulla privacy ed è, di gran lunga, il cambiamento che protegge di più per il minimo sforzo di tutto questo elenco.

Due. Se usi Chrome o Android, entra nel gestore di Google e attiva la crittografia sul dispositivo o la passphrase di sincronizzazione. Annotala da qualche parte di fisico prima di attivarla, e capisci cosa stai firmando: da quel momento quella frase è l’unica porta.

Tre. Guarda la password dell’account che custodisce tutto il resto. Il tuo account Google, il tuo ID Apple o il tuo account Microsoft hanno smesso di essere «un account come un altro» nel momento in cui hai iniziato a salvarci dentro delle password: adesso sono la chiave del resto. Se quella password te la sei inventata tu otto anni fa, passala nel controllo e guarda cosa dice. E se ti viene voglia, sostituiscila con una del generatore.

Quattro. Attiva il secondo fattore su quell’account. È il passo che trasforma «sanno la tua password» in «non entrano lo stesso».

Basta così, o mi serve un gestore vero?

Dipende per cosa, e qui la risposta onesta non è quella che vende.

Per la maggior parte delle persone il gestore del browser con la cifratura configurata bene basta, ed è infinitamente meglio dell’alternativa reale, che non è un gestore migliore: è la stessa password ripetuta su quaranta siti.

Un gestore dedicato vince quando compaiono cose che quello del browser fa male o non fa: usare due browser diversi senza impazzire, condividere una password con la tua compagna senza mandarla su WhatsApp, conservare cose che non sono password, uscire da un ecosistema senza perdere tutto, o poter controllare il codice di chi custodisce i tuoi segreti. Ne parliamo in un altro articolo, e il riassunto è che il salto grande non è da un gestore a un altro: è da nessuno a uno qualsiasi.

Quello che stavi cercando davvero

Cercavi un elenco. È su passwords.google.com, nell’app Password del tuo iPhone o nelle impostazioni del tuo browser, a seconda di cosa usi.

Ma già che ci sei, guarda un’altra cosa: quante volte la stessa password si ripete in quell’elenco. Tutti e tre i gestori te lo dicono, se glielo chiedi. Quel numero spiega la tua situazione reale meglio di qualunque cosa tu possa leggere sulla cifratura, questo articolo compreso.


Fonti: documentazione di sicurezza di Apple sul portachiavi iCloud —cifrato end-to-end con chiavi che Apple non conosce e con limitazione dei tentativi— · guida di Google Chrome su sincronizzazione, passphrase di sincronizzazione e crittografia sul dispositivo · documentazione di Mozilla su come Firefox salva le password (logins.json e key4.db) e sulla password principale.

Foto di Ron Lach · Pexels

← Torna al blog