Ciò che un gestore di password non può misurare

La cifra riguarda l'estrazione, non la stringa

L'entropia in bit è il log2 del numero di esiti equiprobabili. Per una password è la lunghezza moltiplicata per il log2 della dimensione dell'alfabeto, e l'aritmetica è banale: 12 caratteri su 62 simboli fanno 71,5 bit, 15 su 95 fanno 98,5, 20 su 76 fanno 125,0. Ciò che non è banale è la condizione allegata. Quella formula conta uno spazio di possibilità, ed è l'entropia della password solo se questa è stata davvero prodotta da un'estrazione uniforme dentro quello spazio. L'entropia è una proprietà del processo che ha fabbricato la stringa, non della stringa che stai guardando.

È per questo che un indicatore che conta le classi è pericoloso, e non solo impreciso. Misura lo spazio da cui avresti potuto estrarre e lo annuncia come lo spazio da cui hai estratto. Un attaccante non percorre l'alfabeto in ordine: la ricerca è su candidati ordinati per frequenza, e una stringa inventata da una persona sta in cima a quell'ordine, qualunque classe di caratteri soddisfi. Lo strumento di questa pagina fa quindi tutt'altro, e la differenza merita uno sguardo prima di fidarsi della cifra di un indicatore qualsiasi.

Cosa restituisce lo strumento per P@ssw0rd! — e perché la pagina mostra due cifre

P@ssw0rd! soddisfa ogni regola di composizione mai scritta: nove caratteri, maiuscola, minuscola, cifra, simbolo. L'aritmetica per classi ne fa 9 × log2(95) = 59,1 bit, che quasi tutti gli indicatori stampano come «forte». Questo restituisce 6,6 bit e un punteggio di 4 su 100. Non spezza nemmeno la stringa: trova P@ssw0rd! intero nella sua lista ordinata di password comuni, dopo aver ripiegato le sostituzioni leet @ in a e 0 in o, e addebita 96 tentativi per il tutto. Tutte e tre le righe di crack dicono «istantaneo», compresa la riga online che consente solo 100 tentativi al secondo. Password1! torna a 19,8 bit, Motdepasse123! a 26,6, Contrasena1! a 19,8, Passwort!2024 a 16,4. Nessuno è salvato dal simbolo finale.

C'è una cosa da sapere su questa pagina, e lo strumento non te la dirà: porta due cifre di entropia diverse. Il widget in cui scrivi è lo stimatore per tentativi descritto sopra. Gli esempi generati sotto usano lunghezza × log2(set) — la formula dell'estrazione casuale — e per questo sono etichettati come la lunghezza di una password generata a caso. Entrambi hanno ragione su domande diverse. Il widget risponde a «quanto in fretta cade una stringa scelta da una persona»; gli esempi rispondono a «quanto è grande lo spazio da cui estrae un generatore». Leggili come due strumenti e non portare mai una cifra dall'uno all'altro.

Il soffitto misurato: 300 password casuali, 300 sottostime

Lo strumento porta il proprio generatore, e quel generatore è solido: usa il campionamento per rifiuto su crypto.getRandomValues invece di un modulo, quindi nessun carattere è favorito. Prendi 300 delle sue uscite da 20 caratteri sul set completo di 95 simboli — 131,4 bit reali ciascuna — e ridalle all'indicatore della stessa pagina. L'indicatore ha sottostimato tutte e 300. La media è tornata a 124,8 bit, l'estrazione migliore a 130,7 e la peggiore a 102,5, cioè 28,9 bit in meno. A 15 caratteri il divario medio è di 5,0 bit; a 24 caratteri, di 7,3.

Non è un bug, è la forma dello strumento. Uno stimatore per tentativi cerca la lettura più economica della stringa, e in venti caratteri casuali troverà sempre una sequenza di tre lettere che per caso è una parola, o due caratteri vicini che per caso si ripetono. Addebita la lettura economica. La stima è quindi un limite inferiore: può dimostrare che una password è debole, mai che è forte. La regola pratica ne discende. Non incollare una password generata in un indicatore per decidere se è abbastanza lunga: l'indicatore la sottovaluterà sempre. Decidi la lunghezza al generatore, a partire dall'alfabeto e dal numero, e leggi l'indicatore solo per stringhe inventate da una persona.

Dov'è la soglia, e cosa chiede davvero la norma

La NIST SP 800-63B-4 è diventata definitiva a luglio 2025, e vale la pena leggerla per ciò che ha smesso di chiedere. I verificatori DEVONO esigere un minimo di 15 caratteri quando la password è l'unico fattore, e POSSONO permetterne 8 quando è inserita in un'autenticazione a più fattori. DOVREBBERO permettere almeno 64 caratteri e DOVREBBERO accettare ogni carattere ASCII stampabile, lo spazio e Unicode. NON DEVONO imporre regole di composizione: niente miscele obbligatorie di tipi di caratteri. NON DEVONO richiedere cambi periodici, solo un cambio forzato in presenza di indizi di compromissione. E DEVONO confrontare una password nuova con un elenco di valori noti, comuni o compromessi.

Rileggi quell'elenco e nota che l'entropia non c'è. La lunghezza sì. Un elenco di valori compromessi anche. È la norma che ti dice dove sta la soglia e cosa sostituisce la cifra oltre di essa. Quindici caratteri casuali fanno 89,3 bit su lettere e cifre, 98,5 bit sul set stampabile completo. Con il modello di crack che lo strumento stesso applica — metà dello spazio in media, dieci miliardi di tentativi al secondo su un hash veloce — 98,5 bit sono dell'ordine di 10 elevato a 11 anni. Passare da 98,5 a 131 bit trasforma un numero irraggiungibile in un numero irraggiungibile più grande. Non compra nulla di spendibile.

Le tre cose che l'entropia non vede

Uno: il riuso. Una password da 130 bit di entropia che hai usato anche su un forum finito in una fuga nel 2021 vale zero bit di fronte a chi possiede quel dump. L'attaccante non la indovina, la consulta. L'entropia non ha alcun termine per il numero di altri posti in cui la stringa esiste, ed è esattamente per questo che la norma aggiunge un requisito separato di lista nera invece di alzare il numero di bit. Una password monouso di 15 caratteri casuali batte una magnifica usata due volte.

Due: cosa ne fa l'altro capo. L'entropia dà un prezzo a un attacco offline contro un hash rubato, e il costo di quell'attacco è fissato tanto dalla scelta di derivazione di chiave del sito quanto dai tuoi bit. La stessa password vale sei ordini di grandezza di lavoro in più contro una derivazione lenta e salata che contro un singolo hash veloce, e non vale nulla contro un sito che l'ha salvata in chiaro. Non puoi vedere con quale hai a che fare, non puoi cambiarlo, e nessun indicatore di nessuna pagina lo sa nemmeno. Tre: tutto ciò che non passa mai dall'indovinare — una pagina di accesso convincente, un operatore di assistenza che reimposta l'account, malware sulla tua stessa macchina, o un token di sessione rubato che salta del tutto l'autenticazione. Una password da 130 bit viene consegnata con la stessa prontezza di una da 30 da chi crede di essere sul sito vero.

La decisione, in ordine

Genera, non inventare. Qualsiasi password che componi tu è un candidato nella lista ordinata di qualcuno, e l'indicatore qui sopra ti dirà a che profondità. Quindici caratteri usciti da un generatore superano la soglia a fattore singolo della norma; venti è il valore predefinito sensato quando non c'è nulla da digitare a mano. Unica per sito, senza eccezioni, perché è l'unica variabile che trasforma una fuga in un problema e non in tutti. Poi un secondo fattore ovunque sia offerto, preferendo un'app o una chiave hardware all'SMS. Poi confronta gli account che contano con un corpus di fughe e cambia solo ciò che compare — non a calendario, cosa che la norma ora vieta per la ragione che ci si aspetta: la rotazione programmata porta le persone a scegliere password peggiori.

La password principale del gestore stesso è l'unico posto dove la cifra si guadagna ancora lo stipendio, perché è l'unica password che nessuna lista nera protegge e che nessun secondo fattore sostituisce del tutto. Falla lunga, falla casuale o fanne una passphrase di parole davvero estratte a caso, e non riusarla da nessuna parte. Tutto ciò che sta sotto può allora essere venti caratteri senza senso che non vedrai mai, ed è tutto il senso dell'impianto: smetti di ottimizzare una cifra e cominci a togliere i modi di guasto che quella cifra non ha mai misurato.

Domande frequenti

A quanti bit devo puntare?

Punta a una lunghezza, non a un numero di bit, perché la lunghezza è ciò che puoi davvero impostare. Quindici caratteri casuali è la soglia che la NIST SP 800-63B-4 richiede a una password usata da sola, e sono 89,3 bit su lettere e cifre o 98,5 sul set stampabile completo. Venti caratteri, quello che un gestore dà di default, sono da 125 a 131 bit. Entrambi superano il punto in cui un attacco offline è una minaccia reale, quindi i bit in più sono un'assicurazione contro un futuro che non sai valutare, non una difesa contro qualcosa di oggi.

L'indicatore dà alla mia password generata meno bit di quanto dica il calcolo. Quale ha ragione?

Il calcolo, se la password viene davvero da un'estrazione uniforme. Uno stimatore per tentativi è un limite inferiore per costruzione: cerca la descrizione più economica della stringa e addebita quella, quindi ogni parola o ripetizione accidentale dentro una stringa casuale le toglie bit. Misurato qui, ha sottostimato 300 estrazioni da venti caratteri su 300, in media di 6,6 bit e fino a 28,9. Usa l'indicatore su stringhe inventate da una persona, e l'alfabeto e la lunghezza del generatore su quelle fatte da una macchina.

Una password mai violata ma riusata è comunque sicura?

No, ed è il guasto verso cui l'entropia è più cieca. Una password riusata vale solo quanto il sito più debole che la conserva, e quei siti non puoi verificarli. Il giorno in cui uno qualsiasi di essi va in fuga, la stringa passa da spazio di ricerca a tabella di consultazione, e il suo numero di bit diventa irrilevante. Il riuso trasforma inoltre una singola compromissione in una cascata su tutti i servizi che condividono la password. Il rimedio non è più bit, è una password per sito, cosa che resta praticabile solo con un gestore.

I simboli e i numeri aiutano davvero?

Aiutano un generatore e quasi non aiutano una persona. In un'estrazione casuale, allargare l'alfabeto da 62 a 95 simboli aggiunge circa 0,6 bit per carattere: è reale, ma un solo carattere in più vale più di tutto l'allargamento a quella lunghezza. Aggiunti da una persona non aiutano quasi nulla: misurato qui, Sommer2024! si ferma a 28,8 bit e Password1! a 19,8, perché lo stimatore addebita la parola, poi l'anno come data, poi il simbolo come un carattere economico. È per questo che la NIST SP 800-63B-4 ora vieta senz'altro le regole di composizione.

Se l'entropia è così limitata, perché tenere il calcolatore nella pagina?

Perché risponde con precisione a una domanda che si pone ancora: quanto è grande lo spazio da cui estrae un generatore, e quindi che lunghezza impostare. Dodici caratteri su 62 simboli fanno 71,5 bit, sedici ne fanno 95,3, venti su 95 ne fanno 131,4 — è questo il calcolo da fare prima di premere genera. Ciò che non sa fare è giudicare una stringa che hai digitato, e non vede né il riuso, né la conservazione, né un secondo fattore. Tienilo per dimensionare un'estrazione; usa l'analizzatore sopra di esso per tutto ciò che ha inventato una persona; e non dare a nessuno dei due l'ultima parola sulla sicurezza di un account.