L'entropia delle password spiegata: bit, lunghezza e quanto tempo serve per violarla

Cosa significa davvero un bit di entropia

L'entropia conta quante possibilità ugualmente probabili una password avrebbe potuto avere, espresse su scala logaritmica. Un bit significa due possibilità, due bit ne significano quattro, dieci bit ne fanno 1024. Poiché la scala è logaritmica, aggiungere un solo bit raddoppia lo spazio di ricerca che un attaccante deve percorrere. Una password da 40 bit si nasconde tra circa mille miliardi di candidati, mentre 60 bit raggiungono il trilione.

La formula vale solo quando la password è scelta a caso. Se la sceglie una persona, l'entropia reale crolla, perché le persone preferiscono nomi, date e sostituzioni prevedibili come uno zero al posto della lettera O. Uno strumento stima l'entropia a partire dal set di caratteri e dalla lunghezza, ma quel numero è un limite superiore: presuppone che ogni posizione sia stata estratta in modo indipendente, cosa che un gestore di password fa e una persona stanca no.

La lunghezza batte la complessità

Aggiungere un tipo di carattere allarga l'alfabeto, ma una volta sola. Passare dalle minuscole (26 simboli) alle minuscole più cifre (36) e poi a un set misto di 94 simboli stampabili porta l'entropia per carattere da circa 4,7 bit a 5,2 e a 6,6. Aggiungere un carattere in più, invece, somma di nuovo quei bit per ogni posizione extra. Dodici minuscole casuali portano più entropia di otto caratteri del set completo.

Ecco perché le passphrase funzionano. Quattro parole casuali da un elenco di 7776 parole portano circa 51 bit, all'incirca la forza di una zuppa di 10 simboli, ma sono molto più facili da digitare e ricordare. La lezione: allungare prima e allargare l'alfabeto solo quando la lunghezza è esaurita, perché la lunghezza si accumula mentre i cambi di alfabeto no.

Dai bit al tempo di violazione

Per trasformare l'entropia in tempo, si divide il numero di possibilità per la velocità di tentativi dell'attaccante. Una macchina con GPU di fascia media può provare miliardi di tentativi al secondo contro un hash veloce, quindi una password da 44 bit, circa 17 mila miliardi di combinazioni, cade in ore. Aggiungi 20 bit fino a 64 e la stessa macchina impiega migliaia di anni, perché quei 20 bit moltiplicano il lavoro per circa un milione. Ecco perché piccoli aumenti di lunghezza producono balzi enormi di sicurezza.

Il tempo di violazione dipende anche da come la password è memorizzata. Un hash lento e con sale come bcrypt o Argon2 limita di proposito la velocità di tentativi a migliaia al secondo, garantendo un margine enorme. Un database trafugato che usava un hash veloce senza sale non offre tale protezione, quindi la stessa password che sembra sicura in un sistema è banale in un altro. Considera le stime del tempo di violazione come i casi peggiori offline e scegli una lunghezza che li superi.

Domande frequenti

Quanti bit di entropia bastano?

Per account protetti da un hash lento e limitazione dei tentativi, 60-70 bit sono comodi. Per segreti di alto valore o esposizione a un hash veloce, punta a 80 bit o più, il che di solito significa una lunga passphrase casuale o una stringa generata da un gestore.

Aggiungere simboli aiuta davvero meno della lunghezza?

Sì. Allargare l'alfabeto aumenta l'entropia per carattere una sola volta, mentre ogni carattere in più aggiunge entropia ancora e ancora. Oltre un set misto, un carattere in più di solito batte un tipo di simbolo in più.

Una password riusata su più siti è ancora sicura se ha alta entropia?

No. L'entropia protegge dall'indovinare, non dal riuso. Se un sito rivela la password in chiaro o con un hash debole, gli attaccanti la provano ovunque. Usa una password unica ad alta entropia per ogni sito.

Perché un verificatore valuta debole la mia password ingegnosa?

I buoni verificatori modellano le abitudini umane, quindi scontano parole da dizionario, schemi di tastiera e sostituzioni leet prevedibili. La tua password può essere lunga, ma se la struttura è indovinabile l'entropia effettiva è molto sotto il massimo teorico.