Il problema del riutilizzo delle password
Una password compromessa in una violazione di dati diventa pericolosa per tutti gli account dove è stata riutilizzata, anche a distanza di anni. Chi attacca account online sa bene che moltissime persone usano la stessa password — o piccole varianti — su decine di siti diversi, e sfrutta proprio questo comportamento con tecniche di "credential stuffing": prova automaticamente le combinazioni email/password trapelate da una violazione su centinaia di altri servizi, sperando che qualcuno le abbia riutilizzate.
Cosa fa davvero un password manager
Un password manager risolve il problema alla radice: genera una password lunga e casuale diversa per ogni sito, la memorizza in un archivio cifrato e la inserisce automaticamente al momento del login. L'unica password che resta da ricordare è quella master, usata per sbloccare l'archivio: per questo va scelta lunga, unica e mai riutilizzata altrove, e idealmente protetta a sua volta con l'autenticazione a due fattori.
Cloud o locale: due filosofie diverse
I password manager più diffusi, come Bitwarden o 1Password, sincronizzano l'archivio cifrato nel cloud, permettendo di accedere alle proprie password da qualsiasi dispositivo con la semplice password master: comodo, ma richiede fiducia nell'infrastruttura del fornitore (che comunque non può leggere le password, cifrate lato client prima dell'invio). Alternative come KeePass mantengono invece l'archivio in un unico file locale cifrato, che l'utente sincronizza a piacere (o non sincronizza affatto): massimo controllo, ma nessuna comodità automatica multi-dispositivo senza configurazione aggiuntiva.
La funzione più sottovalutata: il generatore
Oltre a memorizzare le password esistenti, la funzione più importante di un password manager è il generatore automatico: quando si crea un nuovo account, invece di inventare una password "abbastanza sicura", il generatore ne crea una lunga, casuale e praticamente impossibile da indovinare o forzare, che l'utente non deve nemmeno vedere o ricordare. È l'abitudine che elimina davvero il rischio del riutilizzo.
Come iniziare senza stravolgere tutto
Non serve migrare centinaia di account in un pomeriggio: la maggior parte dei password manager importa le password già salvate nel browser con pochi click, e da lì si può procedere gradualmente, sostituendo le password più deboli o più riutilizzate una alla volta, a partire dagli account più critici (email principale, home banking, account di lavoro).