«Minimo otto caratteri, almeno uno maiuscolo, un numero, un simbolo speciale e niente spazi». Questo è un esempio delle classiche restrizioni che molti portali impongono al momento di creare password, e la sua origine è il documento «NIST Special Publication 800-63 Appendix A.», scritto da Bill Burr nel 2003. Quattordici anni dopo, la sicurezza informatica è cambiata molto, e Burr ammette in un certo senso che le sue regole sono riuscite solo a complicare la vita degli utenti, motivo per cui ha deciso di scusarsi pubblicamente.
Il vero problema: le password deboli
La nostra raccomandazione di utilizzare i gestori di password resta intatta. I loro generatori interni sono in grado di creare combinazioni molto più complesse di quanto possiamo immaginare, e la parte migliore è che non dobbiamo ricordarle. Tuttavia, il vero problema per gli addetti alla sicurezza è quel gruppo di utenti che, oltre a non adottare un gestore, utilizza anche password molto deboli. Nel 2003, il NIST statunitense pubblicò un documento noto come «NIST Special Publication 800-63. Appendix A.», sottoposto a diverse modifiche, ma la cui versione originale fu curata da un amministratore dell'istituto chiamato Bill Burr.
Il testo di Burr definisce i requisiti per la creazione di una password sicura, che in pratica impongono l'uso di lettere maiuscole, simboli e numeri, oltre al loro rinnovo ogni 90 giorni. Tali requisiti sono stati adottati da milioni di servizi e portali sul Web e, a dire il vero, non sono scomparsi. Le sue intenzioni erano buone, ma quattordici anni dopo Burr è giunto alla conclusione di aver consegnato informazioni errate. Gli utenti hanno incontrato serie difficoltà nel ricordare e digitare le password, spingendo all'uso di stringhe molto corte e insicure, il cui «rinnovo» dopo tre mesi era il semplice cambio di un numero con un altro.
Le scuse di Burr
Perché è successo? In primo luogo, Burr non è un esperto di sicurezza informatica e, in secondo luogo, le sue fonti di informazione erano state sviluppate negli anni '80, prima che il Web come lo conosciamo oggi esistesse. Ora in pensione e con 72 anni, Burr ha deciso di scusarsi pubblicamente per i disagi causati, ma non possiamo dargli tutte le colpe. Il 2003 è stata un'epoca in cui non si è data grande importanza alla sicurezza. Gli studi disponibili erano limitati quanto a numero e qualità, mentre il mondo usava Windows XP SP1, un vero colino se mai ce ne fu uno.
