L'adozione sempre più diffusa dell’energia solare ha messo in luce gravi vulnerabilità di sicurezza informatica legate a inverter, servizi cloud e piattaforme di monitoraggio. Secondo gli esperti, questo ecosistema non sufficientemente protetto potrebbe permettere agli hacker di manipolare la produzione di energia, compromettere le reti elettriche e sottrarre dati sensibili, rappresentando una minaccia concreta per l’infrastruttura energetica globale.

Uno studio condotto da Forescout – Vedere Labs ha individuato 46 nuove vulnerabilità in inverter prodotti da tre importanti aziende del settore: Sungrow, Growatt e SMA. Ricerche precedenti avevano già mostrato che l’80% delle vulnerabilità segnalate era di livello alto o critico, con alcune che raggiungevano i punteggi massimi nel sistema CVSS.

Negli ultimi tre anni sono state segnalate in media 10 nuove vulnerabilità ogni anno, e ben il 32% di queste ha ottenuto un punteggio CVSS di 9.8 o 10, indicando la possibilità per un attaccante di compromettere completamente i sistemi coinvolti.

Milioni di impianti solari sono a rischio di sicurezza

Molti inverter solari sono direttamente connessi a Internet, diventando così bersagli accessibili per i cybercriminali. Gli attaccanti possono sfruttare firmware obsoleti, autenticazioni deboli e trasmissioni di dati non cifrate per ottenere il controllo dei dispositivi.

API esposte consentono di enumerare account utente, reimpostare le credenziali (che idealmente dovrebbero essere protette da password manager) ai valori predefiniti e modificare i parametri degli inverter, con il rischio di provocare interruzioni dell’energia.

Ulteriori falle, come riferimenti a oggetti non sicuri e vulnerabilità XSS (cross-site scripting), possono esporre dati personali come email, indirizzi fisici e consumi energetici, violando normative come il GDPR.

Oltre all’instabilità della rete elettrica, gli inverter compromessi possono causare furti di dati, manipolazioni finanziarie o il controllo non autorizzato di dispositivi smart. Alcune vulnerabilità permettono persino agli hacker di prendere il controllo di caricabatterie per veicoli elettrici e prese intelligenti.

Alcuni scenari includono la modifica dei parametri per influenzare il prezzo dell’energia o la richiesta di riscatti digitali per ripristinare il corretto funzionamento dei sistemi.

Il rapporto raccomanda ai produttori di dare priorità alla distribuzione di patch di sicurezza, adottare buone pratiche di sviluppo sicuro e effettuare test di penetrazione regolari.

Implementare soluzioni come i Web Application Firewall (WAF) e seguire framework come il NIST IR 8259 può aiutare a mitigare i rischi. Allo stesso tempo, si invita le autorità a classificare gli inverter solari come infrastrutture critiche e a imporre standard di sicurezza come l’ETSI EN 303 645.

Per proprietari e operatori di impianti solari, è essenziale isolare i dispositivi solari su reti separate, abilitare il monitoraggio della sicurezza e seguire le linee guida ufficiali, ad esempio quelle del Dipartimento dell’Energia degli Stati Uniti.

Infine, l’installazione di un antivirus affidabile e di soluzioni avanzate di protezione endpoint rappresenta un’ulteriore barriera contro attacchi informatici mirati all’infrastruttura solare.

Un bug nell’app Passwords di iOS 18.2, che ha esposto gli utenti a possibili attacchi di phishing per oltre tre mesi, è stato corretto con un aggiornamento di Apple.

La vulnerabilità è stata scoperta dai ricercatori di Mysk, che hanno notato nel Rapporto sulla Privacy delle App che l’app Passwords aveva contattato 130 siti web utilizzando il protocollo HTTP non sicuro.

L’app apriva i link e scaricava le icone delle app tramite HTTP invece di HTTPS, una connessione crittografata più sicura. Inoltre, impostava di default le pagine di reset delle password su HTTP, esponendo gli utenti a rischi. Secondo i ricercatori, un attaccante con accesso privilegiato alla rete avrebbe potuto intercettare le richieste HTTP e reindirizzare gli utenti verso siti di phishing.

Ora finalmente la Patch

Il rischio principale di questa vulnerabilità era che i cybercriminali potessero sfruttarla per eseguire attacchi di social engineering, reindirizzando le vittime verso siti web non sicuri.

Ora, l’app Passwords utilizza HTTPS per tutte le connessioni di default, quindi è fondamentale aggiornare i dispositivi Apple ad iOS 18.2 o versioni successive per evitare rischi.

Negli ultimi mesi, gli attacchi ai gestori di password sono aumentati in modo significativo, con un incremento triplo del malware progettato per rubare credenziali archiviate nei password manager.

Gli attacchi stanno diventando sempre più sofisticati, con hacker che adottano strategie multi-fase più complesse e prolungate, sfruttando nuove generazioni di malware. Questi strumenti, come gli infostealer, sono più persistenti, discreti e automatizzati rispetto al passato.

Per proteggere le proprie credenziali, è essenziale affidarsi a un password manager sicuro, che non solo memorizza e genera password complesse, ma le compila automaticamente nei siti e nelle app, evitando il rischio di esposizione e semplificando la gestione della sicurezza online.

La natura evolutiva e sofisticata delle campagne di phishing ha permesso alle minacce di cybersecurity via e-mail di penetrare nelle organizzazioni in modo più efficace che mai. Il phishing delle credenziali è stata la minaccia preferita nel 2023, rappresentando il 91% delle segnalazioni di minacce attive pubblicate. Ciò rappresenta un aumento del 67% del volume rispetto al 2022, che può essere attribuito alla maggiore efficacia dei cyberattacchi che sfruttano le credenziali rubate, in particolare in ambienti privi di una solida autenticazione a più fattori (MFA).

Ne è un esempio il cyberattacco di Change Healthcare, in cui le credenziali rubate sono state utilizzate per accedere a un server privo di MFA. Questa mancanza è stata attribuita alla recente acquisizione dell'azienda da parte di UnitedHealth, che stava aggiornando i sistemi. Questa violazione ha esposto i dati sanitari sensibili di milioni di americani, sottolineando la necessità cruciale di un'igiene informatica di base, tra cui una solida gestione delle password e l'MFA.

Andare oltre l'MFA e le password uniche

Sebbene l'implementazione di queste misure di sicurezza fondamentali sia essenziale, esse rappresentano solo una parte di una strategia di sicurezza completa. Affidarsi esclusivamente a password complesse non è sufficiente. Le password non devono essere riutilizzate, poiché la compromissione di una singola password su una piattaforma può lasciare un individuo vulnerabile agli attori delle minacce che tentano spesso di riutilizzare le stesse credenziali su altri account.

Il recente incidente di RockYou2024 ha fatto trapelare quasi dieci miliardi di password uniche su un popolare forum di hacking, ribadendo la necessità di password uniche. Gli esperti di sicurezza sottolineano da tempo la necessità di evitare il riutilizzo delle password e di sfruttare i gestori di password per migliorare la protezione degli account. Alcuni gestori di password offrono persino funzioni avanzate in grado di scansionare i database di password trapelati e di avvisare gli utenti di potenziali vulnerabilità.

Sebbene l'implementazione dell'MFA sia importante per costituire un livello di difesa contro gli attori delle minacce, non è infallibile e deve essere considerata una pratica di sicurezza integrata da altre difese. L'emergere di kit di aggiramento dell'MFA ha dimostrato che queste misure di sicurezza possono essere aggirate. Un esempio recente è rappresentato dai kit di phishing per il bypass di Tycoon 2FA. Quando le persone cadono vittime di questi attacchi sofisticati, concedono inavvertitamente agli attori delle minacce l'accesso ai loro account, aggirando di fatto le protezioni MFA.

Ciò sottolinea il ruolo critico della vigilanza umana nella salvaguardia da queste minacce in evoluzione. In sostanza, questi kit di phishing hanno riportato la corsa agli armamenti del phishing al punto in cui eravamo prima dell'avvento dell'MFA, dove la difesa principale contro la compromissione degli account risiede nella capacità degli individui di riconoscere ed evitare i tentativi di phishing.

La necessità di una vigilanza umana

Gli attori delle minacce sono alla continua ricerca di nuovi modi per violare i sistemi. Gli aggressori sfruttano i punti deboli delle organizzazioni, prendendo di mira i dipendenti con truffe per la scadenza delle password ed e-mail di phishing sempre più realistiche. Per combattere efficacemente questa crescente minaccia, le organizzazioni devono adottare un approccio proattivo completo che vada oltre le misure tecniche. Investire nella formazione e nell'educazione alla sicurezza è fondamentale per mettere la forza lavoro in condizione di diventare la prima linea di difesa contro i cyberattacchi.

La formazione dei dipendenti in tutta l'azienda è una delle azioni più importanti che un'organizzazione può intraprendere per difendersi dagli attori delle minacce, in particolare per educare il personale sui pericoli delle e-mail di phishing provenienti da fonti apparentemente credibili. Tra questi, le richieste urgenti di informazioni personali o di link e allegati sospetti.

L'alfabetizzazione informatica di base sta diventando sempre più comune, ma instillare un vero senso di sospetto quando si tratta di interazioni e attività online richiede tempo e investimenti seri da parte dell'azienda. Dotando i dipendenti delle conoscenze e delle competenze necessarie per riconoscere e segnalare i tentativi di phishing, le organizzazioni possono ridurre significativamente il rischio di attacchi riusciti. La realtà è che un singolo dipendente che cade vittima di un attacco di phishing può avere conseguenze catastrofiche per l'intera organizzazione, con il potenziale di significative violazioni dei dati, perdite finanziarie e danni alla reputazione.

Le organizzazioni devono stabilire un meccanismo di segnalazione diretto e dotare i dipendenti degli strumenti necessari per eliminare rapidamente le minacce di phishing. La formazione dei dipendenti per individuare i messaggi dannosi può ridurre significativamente il rischio di cadere vittima di queste truffe e di compromettere i dati sensibili. L'offerta di formazione continua e di risorse, insieme all'incoraggiamento di una comunicazione aperta sulle potenziali minacce, favorisce una cultura positiva di consapevolezza della cybersecurity. I dipendenti devono sentirsi a proprio agio nel segnalare attività sospette senza timore di essere puniti, comprendendo che la loro vigilanza contribuisce alla sicurezza dell'organizzazione.

Investendo in soluzioni sia tecniche che umane, le organizzazioni possono creare un sistema di difesa più resiliente, in grado di resistere a sofisticati attacchi informatici. Questo approccio completo non solo migliora la sicurezza immediata, ma getta anche le basi per una protezione a lungo termine contro le minacce in evoluzione.

Il miglior password manager è quello che si adatta alle vostre esigenze. Ogni azienda avrà i suoi criteri specifici: alcune cercheranno un password manager gratuito, altre il miglior gestore per password aziendale.

Ma cos'è un password manager? I password manager sono un ottimo modo per dare priorità alla sicurezza e alla privacy su Internet. Permettono di creare password uniche e complesse di lunghezza adeguata per ogni account utente. Uno studio condotto da NordPass rivela che un utente medio di Internet possiede più di 100 account online, il che rende impossibile evitare il riutilizzo delle password senza un gestore di password.

Con tanti eccezionali password manager a pagamento disponibili, può essere difficile determinare quale sia il più adatto alle proprie esigenze. In questo articolo analizzeremo i cinque fattori critici da tenere presenti nella scelta di un password manager.

1. Memorizzazione su cloud o dispositivo?

Il "caveau" delle password è il luogo in cui vengono memorizzate tutte le password. Esistono due modi per memorizzare il caveau: sul dispositivo o su un server cloud.

Si potrebbe pensare di preferire l'archiviazione sul dispositivo rispetto a quella nel cloud, e questo approccio presenta indubbi vantaggi. Ad esempio, quando le password vengono memorizzate sul dispositivo, non ci si deve preoccupare di eventuali violazioni dei dati che interessano i servizi di archiviazione cloud del provider o se le informazioni vengono trasmesse e memorizzate correttamente.

RoboForm è uno dei pochi gestori di password che consente di memorizzare le password solo sul dispositivo, senza alcun intervento sul cloud. Sticky Password, invece, consente di sincronizzare i dispositivi tramite Wi-Fi locale. 

D'altra parte, se il dispositivo viene perso o rubato, si perdono anche tutte le password, senza possibilità di recuperarle. Inoltre, può essere più difficile sincronizzare le password tra i vari dispositivi o spostare tutte le informazioni su un nuovo dispositivo. 

Con il cloud storage è vero il contrario: le password possono essere recuperate rapidamente se si perde l'accesso al dispositivo, ma ci sono ulteriori problemi di sicurezza. La maggior parte dei gestori di password vanta una crittografia ad alto livello nei propri server cloud e i migliori crittografano i dati sul dispositivo prima ancora che vengano trasmessi ai loro server. Dashlane è uno di questi gestori di password.

2. Crittografia a conoscenza zero

La conoscenza zero si riferisce a politiche e architetture che eliminano la possibilità per un gestore di password di accedere alla vostra password. Ricordate che il fatto che i vostri dati siano criptati sul server di un provider non significa che non possano accedervi, ma solo che non lo faranno.

Per questo motivo, alcuni fornitori di password utilizzano una crittografia a conoscenza zero che elimina questa possibilità. Keeper è un esempio di gestore di password robusto che rispetta questo principio. "La versione in chiaro dei dati non è mai disponibile né ai dipendenti di Keeper Security né a terzi", spiega il sito web. "Nell'improbabile caso in cui Keeper venisse violato, gli aggressori potrebbero accedere solo al testo cifrato senza valore".

Tuttavia, la tecnologia non è priva di limiti. In primo luogo, la costruzione di un'architettura di questo tipo è difficile, quindi le aziende non sempre la realizzano al 100%. Più di un fornitore ha ammesso di aver trascurato uno scenario improbabile ma possibile in cui la sua politica di conoscenza zero potrebbe essere compromessa.

In secondo luogo, rende difficili o impossibili alcune delle funzioni più comode dei gestori di password, come l'ereditarietà e l'aggiornamento automatico delle password. Keeper, per esempio, si è rifiutato di implementare l'ereditarietà finché non fosse stato possibile farlo all'interno di una struttura a conoscenza zero, e nessuno ha ancora gestito l'aggiornamento automatico delle password in questo contesto.

3. Opzioni di recupero

Lo svantaggio principale dell'utilizzo di un password manager è che, se si dimentica la password principale, i dati possono essere irrecuperabili. I diversi gestori di password hanno affrontato questo problema in modi diversi. 

LastPass, ad esempio, consente di generare una password unica per accedere al proprio vault e reimpostare la password, anche se è necessario accedere all'indirizzo e-mail utilizzato per creare l'account. Tuttavia, questa comodità si traduce in una minore sicurezza, poiché chiunque abbia accesso al vostro indirizzo e-mail può accedere a tutti i vostri account utente.

In alternativa, 1Password consente il recupero dell'account da parte di un amministratore del team (per le aziende) o di un organizzatore familiare. Queste persone devono solo avviare il processo di recupero dalla dashboard di amministrazione e un'e-mail verrà inviata all'utente per reimpostare la password. Dashlane ha un processo di recupero simile.

Per gli utenti singoli, tuttavia, è più complicato. Se si dispone di un accesso biometrico su un dispositivo, si può essere coperti, ma spesso perdere una master password significa ricominciare da capo. È necessario verificare quali opzioni di recupero offre ciascun gestore e quale offre il giusto equilibrio tra convenienza e sicurezza per la propria situazione.

4. Compatibilità e plugin

La compatibilità dei dispositivi è un altro fattore importante nella scelta di un password manager. Non tutti i gestori sono compatibili con tutti i dispositivi.

Questo è particolarmente importante se state acquistando un gestore di dispositivi per un'azienda, soprattutto se più utenti useranno dispositivi diversi e se avete lavoratori da remoto con dispositivi propri. In questo caso, potrebbe essere necessario un gestore compatibile con Linux, come NordPass. 

Inoltre, assicuratevi che il gestore di password che sceglierete includa un plugin per il vostro browser preferito. Questo non è un grosso problema al giorno d'oggi, poiché la maggior parte dei gestori di password dispone di un solido plugin per i principali browser. Se utilizzate un browser meno diffuso, come Opera, le vostre scelte saranno più limitate. Se state acquistando per un'azienda con più utenti, considerate che i membri del team potrebbero utilizzare browser diversi.

5. Uso personale o aziendale

Anche in questo caso, la decisione può variare in base all'ambiente in cui si intende utilizzare il password manager: personale o aziendale. 

Per un ambiente aziendale con più utenti, è essenziale trovare un software con buone funzioni di gestione degli utenti, come gruppi di utenti e condivisione sicura delle password. Dashlane e Keeper, ad esempio, dispongono di solide funzionalità multiutente, tra cui una dashboard amministrativa centralizzata per la creazione di gruppi di utenti, l'assegnazione di autorizzazioni e password per gruppo o ruolo e il supporto di dispositivi illimitati.

I responsabili IT vorranno garantire pratiche sicure tra i dipendenti, cosa che il giusto gestore di password può aiutare a fare. Ulteriori funzioni di sicurezza, come il generatore di password forti, l'auditor di password e la scansione del dark web, possono contribuire a mantenere le aziende al sicuro.

Conclusioni

La sicurezza degli account utente e delle informazioni online può essere notevolmente migliorata investendo in un buon password manager. Non esistono due servizi uguali, quindi assicuratevi di fare le vostre ricerche e di considerare queste cinque domande importanti prima di prendere una decisione. Tutti i gestori di password citati in questo articolo hanno caratteristiche diverse e sono considerati tra i migliori sul mercato.

SafeInCloud  va forte dal 2012, dunque questo password manager deve senz'altro avere dei pregi. Infatti, basta dare un'occhiata all'elenco delle sue funzionalità per capire che, in effetti, c'è molto da apprezzare.

Tanto per cominciare, non è necessario sottoscrivere un abbonamento per utilizzare SafeInCloud: si paga una sola volta e lo si può usare a vita su tutti i dispositivi che si desidera. La sua sicurezza basata sul principio di zero-knowledge assicura che i vostri dati rimangano al sicuro e criptati, mentre la sincronizzazione nel cloud significa che sarete in grado di mantenere e accedere alle password su più dispositivi.

Abbiamo approfondito SafeInCloud per scoprire se è l'applicazione che dovreste usare per le vostre password e i vostri login più importanti. Inoltre, non dimenticate il nostro approfondimento sui password manager.

SafeInCloud: piani e prezzi

Il password manager SafeInCloud è compatibile con dispositivi Android, iOS, Windows e Mac. Le due applicazioni mobili offrono una prova gratuita di due settimane, mentre le versioni base per Windows e Mac sono gratuite per sempre. 

Le applicazioni per Android e iOS possono essere scaricate rispettivamente dai rispettivi app store. Una licenza Family Pro costa $9,99 / £9,99 / AUD$14,99 a vita e può essere condivisa con un massimo di cinque persone. Gli utenti individuali possono acquistare una licenza Individual Pro a vita per soli 4,99 dollari.

Passando alla versione desktop, le funzioni di base sono gratuite, ma per gli strumenti più avanzati della versione Windows è necessario pagare. Ad esempio, l'integrazione di Windows Hello costa circa 3 dollari.

SafeInCloud: configurazione

La configurazione di un nuovo account SafeInCloud è rapida e molto semplice. Se si utilizza un dispositivo mobile, è sufficiente andare sul marketplace di riferimento e scaricare l'app. L'app per Windows 10 è disponibile sul Microsoft Store, mentre le versioni precedenti dell'app per Windows e tutte le versioni per Mac (si apre in una nuova scheda) sono disponibili per il download dal sito web di SafeInCloud.

Da qui, è necessario impostare una master password efficace prima di poter accedere al proprio account. Non sono richiesti dati personali o altre informazioni. Per importare i dati esistenti, occorre prima esportarli dal programma attualmente in uso e poi importarli direttamente in SafeInCloud.

SafeInCloud: interfaccia e prestazioni

Nonostante sia gratuito su desktop e presenti prezzi molto competitivi per i dispositivi mobili, SafeInCloud offre comunque una grande selezione di funzioni extra. Per cominciare, è in grado di memorizzare le password e di ricordare i numeri di carta di credito, i dati identificativi e praticamente qualsiasi altra informazione sensibile. Queste possono essere aggiunte in modo rapido ed efficiente con uno dei modelli integrati.

SafeInCloud dispone anche di un potente generatore di password e di uno strumento di analisi dell'efficacia delle vostre parole d'accesso. In breve, questo strumento valuta la complessità e il tempo stimato di violazione di ogni password, segnalando quelle troppo facili da indovinare.

Il programma è anche compatibile con gli smartwatch e gli Apple Watch. Sono disponibili estensioni del browser per semplificare l'uso del web e fornire funzionalità di riempimento automatico, ed è anche possibile importare i dati esistenti da altri programmi nell'app desktop. 

Abbiamo testato SafeInCloud con un portatile Windows 10  e l'estensione del browser Google Chrome. L'interfaccia desktop è un po' datata, ma rimane semplice e intuitiva. Le opzioni più importanti sono disponibili nella parte superiore della finestra, le password e gli account sono elencati al centro e le diverse categorie di password/informazioni sono accessibili tramite il pannello a sinistra dello schermo.

Per quanto riguarda le prestazioni, SafeInCloud è ottimo e l'aggiunta di una nuova password è estremamente semplice. È sufficiente digitare il sito web, il nome utente/indirizzo e-mail e la password nell'applicazione e premere Invio. I dati di accesso ai siti web salvati possono essere inseriti con un solo clic sull'estensione del browser.

SafeInCloud: sicurezza

La sicurezza di SafeInCloud è alquanto impressionante. Utilizza un potente sistema di sicurezza zero-knowledge, il che significa che nessuno può accedere ai vostri dati a meno che non conosca la vostra password. Non c'è modo per lo sviluppatore dell'app o per chiunque altro di accedere al back-end.

Inoltre, utilizza un protocollo di crittografia AES a 256 bit in tutti i casi, proteggendo ulteriormente le informazioni. Per accedere all'account è necessaria una master password mentre le app mobili supportano anche il login biometrico. Tutti i dati possono essere salvati nel cloud attraverso Google Drive, Dropbox o altre opzioni. I dati possono anche essere esportati e salvati sul proprio dispositivo o su un'unità esterna, ad esempio un SSD portatile.

SafeInCloud: supporto

Il supporto di SafeInCloud è un po' limitato. È disponibile l'assistenza via e-mail, ma solo in inglese. Inoltre, sul sito web si legge che "le richieste di supporto vengono solitamente evase entro 2 giorni lavorativi". Non è l'ideale se avete un serio problema di sicurezza o altre emergenze.

In compenso, è disponibile una knowledge base completa che include informazioni su un'ampia gamma di problemi e questioni comuni. A meno che non la situazione non sia particolarmente grave, questa può essere tranquillamente la vostra prima risorsa da consultare.

SafeInCloud: la concorrenza

SafeInCloud è un password manager complessivamente valido, tuttavia ci sono molte alternative sul mercato. Ad esempio, Dashlane è un'opzione efficace con una serie di funzioni avanzate, tra cui una VPN integrata e un sistema per modificare le password in blocco. L'accesso a queste funzioni costa di più, ma vale ogni centesimo. Un'altra valida alternativa è LastPass di LogMeIn, che è rivolto agli utenti aziendali e include un'ottima serie di strumenti aggiuntivi.  

SafeInCloud: giudizio finale

SafeInCloud è un ottimo programma per la gestione delle password con una serie di funzioni utili. Certamente non è il programma più potente che abbiamo usato, ma è difficile trovare difetti per gli utenti di tutti i giorni, mentre per quelli più avanzati potrebbe risultare fin troppo basilare.

In ogni caso, SafeInCloud è disponibile su diversi sistemi operativi, tra cui iOS, Android, Mac e Windows. È supportato da adeguate funzioni di sicurezza ed è molto facile da usare. L'assistenza clienti potrebbe essere migliore, ma si tratta di un difetto minore.

I migliori antivirus

Tempo fa, avevamo constatato quanto i password manager fossero ancora sottovalutati. Speravamo che nel tempo, le cose fossero cambiata, ma sembra che non sia affatto così.

Nel frattempo, continuiamo ad accumulare sempre più account digitali e questo rende la sicurezza delle password ancora più cruciale. Con l'arrivo dei password manager e dell'autenticazione a due fattori, si percepisce un certo sforzo per rendere il mondo online più sicuro ma anche più comodo da esperire.

Ciononostante, per vari motivi, molte persone continuano a ignorare i gestori delle password, addirittura molti non sanno nemmeno cos'è un password manager, a cosa serve e come funziona.

Eppure siamo sempre più esposti online. Che sia per leggere le notizie, o sfogliare le offerte del Black Friday, la nostra attenzione è sempre più spesso rivolta ai nostri schermi e alla nostra vita digitale.

Gli ultimi dati

I nostri colleghi anglofoni di TechRadar.com hanno condotto un sondaggio sui password manager in collaborazione con OnePulse. 

Osservando le risposte, oltre il 60% degli intervistati ha dichiarato di riutilizzare le proprie password su vari account. La maggior parte motiva questa scelta affermando di non voler imparare più password o di non riuscire a ricordarle (40%), il resto, invece, tende a sottovalutare il pericolo di violazione (27%). Solo il 33% ha dichiarato di non riutilizzare le proprie parole d'accesso. 

Sebbene i generatori di password siano sempre più facili e intuitivi da utilizzare, il 65% continua a crearsi le proprie password in autonomia. Il motivo potrebbe essere una scarsa consapevolezza della loro esistenza, o una mancanza di fiducia. Forse gli utenti si preoccupano di non poter accedere alle password salvate e restare tagliati fuori dai propri account, poiché troppo complesse da memorizzare.

Indipendentemente dalle motivazioni individuali, il nostro sondaggio ci ha restituito un quadro molto definito. Dunque, non dobbiamo stupirci del fatto che i password manager fatichino ancora ad affermarsi.

Tra chi poi usa i password generator, il 15% preferisce quelli integrati nel browser, il 13% si affida agli strumenti online, mentre solo il 6% sceglie altre fonti.

Confrontando poi le password personali e aziendali, notiamo una certa varietà nei comportamenti: il 34% sostiene di non condividere varie password fra le due categorie, mentre il 30% afferma di farlo ogni tanto. Circa il 20%, poi, dichiara di condividere spesso o sempre le password fra quelle personali e quelle connesse al lavoro.

Consigli sulle password

Uno degli esperti più affermati sulle buone pratiche relative alle password è Bill Burr (da non confondere con il noto comico di stand-up che abbiamo potuto apprezzare anche in The Mandalorian) che ha scritto un noto manuale sull'argomento pubblicato nel 2003 dallo US National Institute of Standards and Technology (NIST).

 Nel testo, viene evidenziata l'importanza di creare password il più casuali possibile, insieme alla buona abitudine di cambiarle con regolarità. In seguito, molti siti web adotteranno requisiti per le password aderenti a tali criteri.

Il problema è che, in pratica, man mano che le persone accumulano sempre più account, queste tendono naturalmente ad adottare password più semplici. Le modifiche avvengono di rado, magari aggiungendo un numero alla fine della password per un login, e riutilizzando la stessa password con un numero diverso alla fine per un altro account e così via.

Nel tempo, però, Bill Burr ha cambiato un po' idea. Infatti, oggi, gli esperti consigliano di utilizzare una stringa casuale ma facilmente memorizzabile di tre parole. Secondo le analisi, le password di questo tipo sono molto più difficili da violare rispetto a quelle che prevedono l'uso di una sola parola insieme a numeri e caratteri speciali. Inoltre, hanno il vantaggio di essere più facili da ricordare. 

• Windows 11 ha un nuovo sistema per proteggere le password (come attivarlo)

• Di che si tratta? Le passkey di Apple verranno adottate da molti utenti dell'azienda, secondo alcune stime
• Perché è importante? La tecnologia passwordless è più sicura e potrebbe innalzare i livelli di protezione degli utenti

Apple ha reso pubblici nuovi dati che indicano che gli sforzi dell'azienda per l'eliminazione delle password sono rivolti verso la giusta direzione.

In una conversazione con 9to5Mac, Apple ha rivelato che il 95% degli utenti iCloud ha già attivato l'autenticazione a due fattori (2FA), un prerequisito per l'adozione del nuovo standard di autenticazione senza password.

Secondo i dati, quasi tutti gli account sono pronti a sfruttare subito le passkey di Apple, una volta che il sistema verrà distribuito con iOS 16, iPadOS 16 e macOS Ventura.

• Le migliori VPN del 2022

Passkey di Apple

Presentate in occasione del WWDC 2022, le passkey di Apple sono un nuovo modo in cui gli utenti possono accedere ad account e servizi, senza la necessità di creare una password.

Basate sugli standard FIDO, le passkey sostituiscono le password tradizionali tramite chiavi digitali uniche per ogni account. Le chiavi sono soggette a crittografia completa (dunque nemmeno Apple può accedervi) e restano sempre sul dispositivo, senza mai essere archiviate su server web.

Per creare una nuova passkey e accedere a un account tramite una esistente, gli utenti Apple dovranno verificare la propria identità tramite Touch ID o Face ID. Inoltre, le passkey si sincronizzano su tutti i dispositivi Apple tramite il portachiavi di iCloud, semplificando ulteriormente le procedure di accesso.

Il nuovo sistema è concepito per correggere vari fattori di inefficienza associati alla tradizionale sicurezza basata su password. L'affidabilità dell'autenticazione biometrica, ad esempio, elimina i problemi connessi alla necessità di ricordare password uniche e complesse per ogni account o il bisogno di utilizzare un password manager. Contemporaneamente, le passkey riducono al minimo il rischio di compromissione degli account. Se gli utenti non devono creare password, non ci saranno elementi possibilmente esposti in caso di violazione.

Il fatto che il livello di adozione della 2FA in tutti i prodotti Apple sia già così elevato significa che il sistema di passkey incontrerà pochi ostacoli, una volta arrivato con le nuove versioni dei vari sistemi operativi dell'azienda.

Inizialmente, solo alcuni servizi Apple e di terzi supporteranno le passkey. Ma l'azienda spera che il nuovo metodo di autenticazione si diffonda a macchia d'olio il prima possibile, una volta che gli sviluppatori avranno modo di integrare la tecnologia nelle proprie app.

• I migliori antivirus del 2022

Si dice che una catena sia forte quanto il suo anello più debole. E quando si parla di sicurezza informatica, l'anello più debole di un'organizzazione sono le password aziendali.

Per gli amministratori informatici, la sicurezza dei dati è sempre la priorità, mentre altri reparti potrebbero non percepire lo stesso senso di responsabilità o non sapere come gestirla correttamente.

È fondamentale promuovere una forte cultura della sicurezza, coinvolgendo direttamente i dipendenti nella protezione dei dati e semplificando tale processo con i giusti strumenti.

• I migliori antivirus del 2021
• Videocamere e sistemi di sicurezza sono altri aspetti importanti da valutare
• Le migliori videocamere di sicurezza del 2021

Qual è la situazione negli ambienti di lavoro?

È utile sapere che peso danno i dipendenti alla sicurezza informatica. Secondo un recente sondaggio, il 59% dei lavoratori negli USA afferma di preoccuparsi maggiormente della protezione degli account personali anziché quelli aziendali. In che modo questo atteggiamento influenza il comportamento? Il 30% degli intervistati  sostiene di riutilizzare le password degli account aziendali, mentre il 22% dichiara di riciclare le password personali per le credenziali aziendali.

Le persone, inoltre, tendono a sopravvalutare le proprie abitudini nell'ambito della sicurezza. Il 69% delle persone intervistate si assegna un voto pari ad A e B circa la protezione degli account online, tuttavia il 65% riutilizza le password per più account. In media, i dipendenti riutilizzano le proprie password per 16 account lavorativi.

Tutto questo ha l'aspetto di un enorme problema da risolvere, ma ci sono anche dei risvolti positivi: il 79% degli intervistati afferma di assumersi personalmente la responsabilità in relazione alla sicurezza complessiva dell'azienda. Ciò significa, probabilmente, che i dipendenti desiderano fare la loro parte nella protezione dei dati aziendali, ma potrebbero essere restii al cambiamento delle proprie abitudini o potrebbero non aver riconosciuto l'importanza del proprio ruolo nella difesa contro le violazioni della sicurezza.

Le soluzioni di sicurezza non sono l'unico punto di riferimento

Magari avete già provato a implementare delle procedure di sicurezza che abbraccino l'intera azienda senza successo. Di solito, i motivi sono alquanto circoscritti:

I dipendenti ignorano i requisiti aziendali per la conservazione delle password
Spesso, la pressione di completare un'attività lavorativa tende a superare quella di adottare le soluzioni di sicurezza, in particolare quando il vostro responsabile vi chiede di completare un lavoro "entro ieri". Adottare nuove abitudini in relazione alle password può interrompere i flussi di lavoro già avviati, anche se ciò può rivelarsi molto efficace nel lungo termine. I dipendenti ignorano le soluzioni di sicurezza delle password per risparmiare tempo e semplificare le giornate lavorative seguendo le proprie abitudini.

I lavoratori non si sentono parte della soluzione
I membri dell'azienda potrebbero ritenere che il software adottato dall'organizzazione sia sufficiente nel contrastare hacker e violazioni. Le soluzioni di sicurezza informatica come il rilevamento delle minacce a livello di endpoint e le relative procedure di intervento, i firewall aziendali e le valutazioni delle vulnerabilità possono garantire la protezione della rete e dei dispositivi. Tuttavia, agli hacker servono le credenziali aziendali per accedere ai dati sensibili. Infatti, le password compromesse e meno efficaci sono la causa principale delle violazioni dei dati da parte dei criminali informatici.

La soluzione di sicurezza non include la manutenzione e gli interventi correttivi
Anche insegnando ai dipendenti come proteggere le proprie password, occorre comunque far sì che seguire le pratiche ottimali sia semplice. Sebbene molti dipendenti comprendano che certi metodi per la condivisione e l'archiviazione delle password non siano sicuri, l'abitudine di salvare le credenziali nei fogli di calcolo o condividerle tramite e-mail è ancora molto diffusa. 

Lo scenario è in continua evoluzione
Nonostante le aziende continuino a investire nella sicurezza informatica, quasi 3.000 violazioni divulgate pubblicamente hanno esposto 36 miliardi di record durante i primi tre trimestri del 2020. Lo scenario digitale continua a introdurre nuovi rischi senza precedenti e implementare un programma di sicurezza basato appunto sui rischi, tramite un password manager, è l'unico modo per gestire effettivamente le priorità in termini di sicurezza. Ciò avrà un impatto sostanziale sulla protezione della vostra azienda. Per questo motivo i password manager sono cruciali: la sicurezza passa prima di tutto dalle password.

Tre modi semplici per coinvolgere i dipendenti nella soluzione di sicurezza dell'azienda:

Aiutateli a capire l'impatto dei loro comportamenti sulla sicurezza e sulla privacy dei dati dell'azienda
L'analogia dell'anello debole non l'abbiamo inventato noi: utilizzatela per per far capire meglio questo punto. Riguardo alla sicurezza informatica, l'efficacia delle best practice, anche le migliori, dipende dalle azioni di tutti. Proteggere le password aziendali è responsabilità di ogni membro dell'organizzazione.

Spiegate loro le best practice in grado di proteggere i dipendenti e l'azienda stessa
È il 2021: basta usare i promemoria o i fogli di calcolo per salvare le password. I programmi di gestione delle password offrono soluzioni di sicurezza complete per dimenticare queste cattive abitudini. Maggiore è la familiarità dei dipendenti con le azioni consigliate e sconsigliate per la sicurezza informatica, maggiore è la probabilità che seguano correttamente le indicazioni. 

Fornite loro degli strumenti che li aiutino a seguire facilmente le best practice senza compromettere la produttività
L'obiettivo di sviluppare una strategia di cyber-sicurezza tramite password manager è configurare e mantenere un'ambiente sicuro sia per l'azienda che per le persone, i partner, i servizi e i prodotti. 

Un password manager aziendale aiuta tutti a condividere i dati e ad accedere in modo sicuro e protetto alla rete. Forse l'aspetto più importante è adottare funzionalità che diano modo ai dipendenti di partecipare attivamente alla sicurezza aziendale, fornendo al contempo agli amministratori tutti gli strumenti necessari per comprendere e migliorare la protezione delle password. Per evitare di subire attacchi e violazioni, è cruciale che le aziende elaborino un processo efficace per la valutazione, la definizione degli standard e il monitoraggio continuo della sicurezza e della protezione delle credenziali in seno all'organizzazione.

• I migliori software aziendali del 2021

Google sta per aggiungere un sistema di autenticazione biometrica alla funzione Chrome Autofill presente sui dispositivi Android per migliorare la sicurezza degli acquisti online.

Gli utenti dovranno comunque inserire le proprie informazioni manualmente quando sceglieranno di utilizzare una nuova carta di credito; una volta registrata, per i successivi acquisti, Chrome per Android consentirà di bypassare il controllo tramite CVV e di autenticare le transazioni tramite face ID o impronte digitali. 

Google Chrome implementerà un processo simile per accedere ai servizi online. La nuova funzione touch-to-fill farà comparire una lista di account collegati alla pagina web alla quale l’utente è attualmente connesso, consentendo quindi di verificare la sua identità utilizzando i dati biometrici. 

• I migliori servizi di web hosting Linux del 2020
• I migliori software per il remote desktop
• Le migliori VPN del 2020

Google Chrome Autofill

Al di là dell’ovvia convenienza di questo sistema, Chrome Autofill rappresenta un grande passo in avanti in termini di sicurezza. 

In precedenza se un utente terzo avesse utilizzato uno dei vostri dispositivi, avrebbe potuto accedere agli account presenti in esso tramite la funzione Autofill (che non richiede alcuna autenticazione aggiuntiva). Grazie all’utilizzo dei dati biometrici questo non sarà più possibile (a meno che non abbiate un fratello gemello). 

Tutti gli utenti che ci tengono alla propria sicurezza, di norma, utilizzano un password manager piuttosto che attivare l’opzione di autocompilazione presente sul browser. Con il prossimo aggiornamento di Chrome per Android non sarà più necessario in quanto le credenziali verranno conservate in modo sicuro.   

Per garantire la sicurezza delle informazioni biometriche, durante la fase di registrazione delle impronte digitali e dei dati facciali, Chrome utilizza lo standard WebAuthn. Google ha infatti rassicurato gli utenti, garantendo che i dati biometrici rimarranno sempre nel dispositivo e non verranno mai trasmessi al cloud. 

La nuova funzione riduce inoltre il rischio di scam tramite attacchi di phishing. Se di norma una pagina "clone" creata su un dominio illegittimo poteva ingannare un utente meno esperto portandolo a inserire i propri dati, con il nuovo Chrome sarà molto più difficile replicare il sistema di log-in. 

Già disponibile su Chrome per Mac e Windows, l’autenticazione biometrica arriverà sui dispositivi Android nelle prossime settimane.

• I migliori antivirus

Via 9to5Google

SplashData ha rilasciato la propria lista annuale in cui elenca le password più comuni nel mondo, mettendo in luce quanto le vecchie abitudini siano difficili da estirpare.

La società di sicurezza ha esaminato gli oltre cinque milioni di password rubate negli ultimi dodici mesi, scoprendo che molte di queste sarebbero facili da scoprire anche per il più imbranato degli hacker.

Forse la notizia più sorprendente è che “password” non è nei primi due posti della classifica, superata dalle dolorosamente semplici “123456” e “123456789”.

• I migliori password manager del 2020: rendete sicuri i vostri login
• La violazione dei dati di Facebook ha reso pubblici i dati di milioni di utenti
• Apple vuole rendere i propri iPhone più sicuri che mai

Complesso 

SplashData stima che quasi il 10 percento delle persone abbia usato, almeno una volta, una tra le 25 password presenti nella lista; quasi il tre percento di questi ha utilizzato “123456”.

La compagnia ha notato come molti programmi al giorno d’oggi non permettano la creazione di password tanto semplici, ma il problema rimane quando si utilizzano applicazioni e siti web più datati che non applicano alcuna misura restrittiva.

Nel 2019 ci sono state alcune new entry come “1q2w3e4r” oppure “qwertyuiop”, semplici schemi che mettono insieme tasti vicini nella tastiera. L’azienda afferma che simili combinazioni sono molto semplici da decifrare.

“La nostra speranza è che pubblicando questa lista ogni anno riusciremo convincere le persone a prendere dei provvedimenti per la loro sicurezza online, e pensiamo che i nostri sforzi stiano già iniziando a dare i loro frutti”, dice Morgan Slain, CEO di SplashData.

“Possiamo dire che nel corso degli anni la gente abbia cominciato a inserire password sempre più complesse, sebbene non sia ancora sufficiente in quanto gli hacker sono ancora capaci di scoprire facilmente queste nuove combinazioni alfanumeriche”.

Ecco le “peggiori password del 2019”

1. 123456
2. 123456789
3. qwerty
4. password
5. 1234567
6. 12345678
7. 12345
8. iloveyou
9. 111111
10.  123123

• Mettetevi al sicuro con i migliori antivirus del 2020