Per quanto il ransomware si sia ormai conquistato i media specializzati, il furto di credenziali sul Web resta un problema serio come sempre. Ogni volta che accade, l'utente deve correre a cambiare le password dei propri servizi più importanti, ma un dubbio resta: sono davvero state compromesse? L'eccellente portale Have I Been Pwned ha appena integrato un database con oltre 300 milioni di password compromesse. Se una delle tue password è finita in copie di liste dannose, questo ti aiuterà a scoprirlo.
Il rapporto tra utenti e password non è migliorato sotto nessun aspetto. I dispositivi e i sistemi operativi più importanti del mercato offrono alternative come la lettura delle impronte digitali e il riconoscimento facciale, ma il resto del Web continua a dipendere dalla combinazione «user-password». Se a questo aggiungiamo il notevole aumento degli attacchi informatici e la portata delle violazioni, la situazione è piuttosto preoccupante. La raccomandazione di utilizzare gestori locali come KeePass rimane valida per due motivi: l'utente non è obbligato a ricordare le password ed evita il riutilizzo.
Tutti capiamo che riutilizzare le password è comodo, ma dal punto di vista della sicurezza è una pessima idea, e se mai dovessero rimanere esposte, colpirebbero più servizi in un solo colpo. Il portale Have I Been Pwned propone di verificare se una delle nostre password si trova già in circolazione sul Web. Il suo responsabile Troy Hunt ci ha sempre permesso di cercare nomi utente e indirizzi email senza fare riferimento alle password, ma ora sta invertendo questo meccanismo. Il nuovo database contiene oltre 300 milioni di password ottenute attraverso decine di attacchi negli ultimi anni. Se cerchi una password, Have I Been Pwned suggerisce che non sia una in uso, o che tu la sostituisca indipendentemente dal risultato.
Un aspetto molto interessante è che possiamo scaricare l'intero database. Il file originale e il suo aggiornamento immediato superano i 5,5 GB compressi, ed eccedono i 12 GB in testo semplice. L'idea è che i principali fornitori trasformino questo database in una blacklist automatica per rifiutare qualsiasi password che sia stata compromessa in precedenza.
