Se hai mai cliccato «Salva password» in quella finestrella che compare in basso, usi già un gestore di password. Nessuno te l’ha detto, non ne hai scelto nessuno, e ne hai uno lo stesso. Probabilmente con cento voci dentro.
Questo spiega perché la domanda più ripetuta sulle password non è «come ne faccio una buona», ma «dove sono le mie». La gente non cerca un manuale di sicurezza: cerca un elenco che sa che esiste e non riesce a trovare.
L’elenco esiste. Ma dove è conservato conta molto meno della risposta alla domanda successiva, quella che quasi nessuno fa: cosa serve per aprirlo?
Dove sono, a seconda di cosa usi
In Chrome sono nel gestore delle password di Google. Vivono in due posti
insieme: una copia sul computer e un’altra nel tuo account Google, sincronizzate.
Si vedono su passwords.google.com o dalle impostazioni del browser.
Su Safari, iPhone e Mac sono nel portachiavi iCloud, che da poco ha anche una sua app, Password. Stessa idea: sul dispositivo e nel tuo account Apple.
In Firefox sono in due file dentro il tuo profilo, e i nomi vale la pena
conoscerli: logins.json, dove stanno nomi utente e password cifrati, e
key4.db, dove sta la chiave che li decifra. Mozilla lo documenta esattamente
così, con quei nomi.
In Edge sono nel tuo account Microsoft, con lo stesso schema di Chrome. E su Android è lo stesso gestore di Google che usa Chrome, anche se lo apri dalle impostazioni del telefono.
Fin qui la risposta che cercavi. Ora la parte che cambia qualcosa.
Tre modelli, e perché non sono equivalenti
Tutti dicono «le tue password sono cifrate». È vero in tutti e tre i casi e non significa la stessa cosa in nessuno, perché quello che cambia è chi ha la chiave.
Il portachiavi di Apple è cifrato end-to-end. Le chiavi che lo aprono Apple non le conosce; esistono solo sui tuoi dispositivi fidati. Apple lo pubblica nella sua documentazione di sicurezza e aggiunge un dettaglio che si apprezza: il sistema limita i tentativi, proprio perché nemmeno dall’interno della propria infrastruttura si possa andare a tentativi. Non c’è niente da attivare. È già così.
In Google quella modalità esiste, ma è facoltativa. Per impostazione predefinita le tue password viaggiano cifrate e vengono conservate cifrate, ma con chiavi gestite da Google. Puoi cambiarlo: una passphrase di sincronizzazione —o la crittografia sul dispositivo, a seconda da dove entri— lascia le chiavi soltanto nelle tue mani. La differenza pratica è enorme e la maggior parte delle persone non l’ha mai attivata, perché nessuno le ha spiegato che esisteva. Ha un prezzo, e va detto per intero: se dimentichi quella passphrase, le tue password salvate non le recupera nessuno. È esattamente il significato della parola «solo tu».
In Firefox, senza password principale, la cifratura non ti protegge da chi ha i
tuoi file. È la parte più scomoda di questo articolo, e la dice Mozilla, non
noi: senza una password principale impostata, chiunque copi logins.json e
key4.db dal tuo profilo può leggere le tue credenziali. I due file viaggiano
insieme: uno porta il lucchetto, l’altro la chiave. Mettere una password
principale è ciò che cifra quella chiave e spezza la coppia.
Lo scenario reale non è un film
Quando uno immagina che gli rubino le password, immagina qualcuno che attacca dei server. In pratica i due casi che succedono sono molto più domestici.
Il primo: qualcuno con accesso al tuo computer sbloccato. Non serve saper fare nulla. L’elenco è a due clic nelle impostazioni del browser, e anche se chiede la password di sistema per mostrarle in chiaro, quella password la sa chi vive con te o ti ha visto digitarla.
Il secondo: un programma che copia il profilo del tuo browser. Non sfonda niente. Si porta via i file e li apre altrove con calma. È un tipo di software così diffuso da avere un nome proprio nel settore, infostealer, ed è la ragione esatta per cui «ma tanto sono cifrate» richiede sempre la domanda successiva: cifrate, va bene — e la chiave dov’è?
Contro quel secondo scenario il modello di Apple regge, quello di Google regge se hai attivato la passphrase, e Firefox senza password principale non regge niente.
Cosa fare, in ordine di quanto cambia
Uno. Se usi Firefox, mettici una password principale. È una casella nelle impostazioni sulla privacy ed è, di gran lunga, il cambiamento che protegge di più per il minimo sforzo di tutto questo elenco.
Due. Se usi Chrome o Android, entra nel gestore di Google e attiva la crittografia sul dispositivo o la passphrase di sincronizzazione. Annotala da qualche parte di fisico prima di attivarla, e capisci cosa stai firmando: da quel momento quella frase è l’unica porta.
Tre. Guarda la password dell’account che custodisce tutto il resto. Il tuo account Google, il tuo ID Apple o il tuo account Microsoft hanno smesso di essere «un account come un altro» nel momento in cui hai iniziato a salvarci dentro delle password: adesso sono la chiave del resto. Se quella password te la sei inventata tu otto anni fa, passala nel controllo e guarda cosa dice. E se ti viene voglia, sostituiscila con una del generatore.
Quattro. Attiva il secondo fattore su quell’account. È il passo che trasforma «sanno la tua password» in «non entrano lo stesso».
Basta così, o mi serve un gestore vero?
Dipende per cosa, e qui la risposta onesta non è quella che vende.
Per la maggior parte delle persone il gestore del browser con la cifratura configurata bene basta, ed è infinitamente meglio dell’alternativa reale, che non è un gestore migliore: è la stessa password ripetuta su quaranta siti.
Un gestore dedicato vince quando compaiono cose che quello del browser fa male o non fa: usare due browser diversi senza impazzire, condividere una password con la tua compagna senza mandarla su WhatsApp, conservare cose che non sono password, uscire da un ecosistema senza perdere tutto, o poter controllare il codice di chi custodisce i tuoi segreti. Ne parliamo in un altro articolo, e il riassunto è che il salto grande non è da un gestore a un altro: è da nessuno a uno qualsiasi.
Quello che stavi cercando davvero
Cercavi un elenco. È su passwords.google.com, nell’app Password del tuo iPhone
o nelle impostazioni del tuo browser, a seconda di cosa usi.
Ma già che ci sei, guarda un’altra cosa: quante volte la stessa password si ripete in quell’elenco. Tutti e tre i gestori te lo dicono, se glielo chiedi. Quel numero spiega la tua situazione reale meglio di qualunque cosa tu possa leggere sulla cifratura, questo articolo compreso.
Fonti: documentazione di sicurezza di Apple sul portachiavi iCloud —cifrato
end-to-end con chiavi che Apple non conosce e con limitazione dei tentativi— ·
guida di Google Chrome su sincronizzazione, passphrase di sincronizzazione e
crittografia sul dispositivo · documentazione di Mozilla su come Firefox salva le
password (logins.json e key4.db) e sulla password principale.
Foto di Ron Lach · Pexels