Generatore di Password

Consigli sulle Password

Come usare il generatore di password

1. 1. Imposta la lunghezza. Il cursore va da 8 a 64 caratteri e parte da 16.
2. 2. Scegli i caratteri. Minuscole, maiuscole, cifre e simboli sono tutti attivi di default; almeno uno deve restare attivo. Seleziona Escludi caratteri ambigui per eliminare 0, O, 1, l e I.
3. 3. Leggi la riga di robustezza. La barra mostra una fascia — Debole, Discreta, Robusta o Molto robusta — con l'entropia in bit.
4. 4. Genera e copia. Una password compare al caricamento della pagina; Genera Nuova ne crea un'altra e Copia la mette negli appunti. Salvala subito in un gestore di password.

Come vengono create le password

• Casualità sicura. Ogni carattere viene scelto con crypto.getRandomValues, il generatore crittografico del browser, mai con Math.random. I valori vengono estratti per campionamento con rifiuto, così nessun carattere è più probabile di un altro a causa degli arrotondamenti.
• Uno per ogni set. Se selezioni tutti e quattro i set, la password contiene per certo almeno una minuscola, una maiuscola, una cifra e un simbolo — una regola che molti siti ancora impongono. Le posizioni restanti vengono riempite con tutti i caratteri selezionati, poi l'intera password viene mescolata così che i caratteri garantiti non stiano tutti in testa.
• Il set di simboli è !@#$%^&*()-_=+[]{};:,.?, 23 caratteri. Se un sito ne rifiuta alcuni, deseleziona i Simboli e aggiungi lunghezza.
• Nulla lascia la pagina. La password viene generata e tenuta nella memoria del browser e non viene inviata da nessuna parte. La cronologia degli appunti del sistema operativo, se ne tiene una, può conservare ciò che copi.

La lunghezza batte la complessità

La stima della robustezza è l'entropia di una password scelta in modo uniforme a caso: lunghezza × log₂(dimensione del set di caratteri). Con tutti e quattro i set (85 caratteri) ogni carattere aggiunge circa 6,4 bit; con le sole minuscole, 4,7. Lo strumento arrotonda il risultato e lo etichetta Debole sotto i 40 bit, Discreta da 40, Robusta da 60 e Molto robusta da 80 — regole empiriche di questo strumento, non uno standard del settore.

La lunghezza conta più della varietà. Venti lettere minuscole (94 bit) sono più robuste di dodici caratteri presi dai quattro set (77 bit), perché ogni carattere in più moltiplica le possibilità, mentre un set di caratteri più grande alza solo la base. La stima vale solo per le password generate casualmente. Una password che inventi tu — o una con sostituzioni come p@ssw0rd — ha una robustezza reale molto inferiore a quanto suggerisca la lunghezza.

Cosa dicono le linee guida attuali

Lo standard statunitense per l'identità digitale, NIST SP 800-63B (revisione 4), afferma che i servizi dovrebbero richiedere almeno 15 caratteri per le password usate da sole (8 quando usate con un secondo fattore), consentirne almeno 64, e non imporre regole di composizione come mescolare tipi di carattere o forzare cambi periodici. Si aspetta anche che i servizi accettino i gestori di password e l'incolla, e che controllino le nuove password rispetto a liste di password comuni e violate. In pratica: scegli la password più lunga che il sito consente, rendila unica per quel sito, conservala in un gestore di password e attiva l'autenticazione a due fattori.

Di quale strumento hai bisogno?

Usa questa pagina per creare una nuova password casuale. Per verificarne una che hai già, usa il Password Strength Checker, che cerca password comuni, parole e schemi e non invia nulla. Per un identificatore unico anziché un segreto, usa il Generatore di UUID; un UUID è unico ma non è pensato per essere segreto.

Domande frequenti

È sicuro generare una password su un sito web?

Qui sì: la password viene creata nel tuo browser dal suo generatore crittografico casuale e non viene inviata in rete né memorizzata, quindi CitationEasy non la vede mai. Come per ogni strumento, usa un browser di cui ti fidi e inserisci il risultato direttamente in un gestore di password.

Quanto dovrebbe essere lunga la mia password?

Almeno 15 caratteri per un account protetto solo da una password, secondo NIST SP 800-63B, e più lunga dove il sito lo consente. Per la password principale di un gestore di password, usa una lunga frase d'accesso. Il cursore qui arriva a 64 caratteri.

Cosa significa la stima della robustezza?

È il numero di bit di entropia: quante ipotesi binarie servirebbero per essere certi di trovare la password, supponendo che sia stata scelta a caso tra i caratteri selezionati. Ogni bit aggiunto raddoppia il lavoro. Le fasce sono regole empiriche: sotto 40 debole, da 40 a 59 discreta, da 60 a 79 robusta, 80 e oltre molto robusta.

Cosa fa Escludi caratteri ambigui?

Rimuove 0, O, 1, l e I, che in molti caratteri si assomigliano. È utile se devi leggere la password ad alta voce o digitarla a mano, e costa pochissima robustezza: 16 caratteri presi da tutti e quattro i set passano da 103 a 101 bit.

Perché un sito rifiuta la password che ho generato?

Di solito perché limita la lunghezza o non accetta alcuni simboli. Deseleziona i Simboli o allunga la password, poi genera di nuovo. I siti che rifiutano password lunghe o insolite conviene evitarli quando hai una scelta.

Dovrei usare la stessa password su più siti?

No. Quando un servizio subisce una violazione, gli aggressori provano le password trapelate su altri servizi. Una password unica per ogni sito limita il danno a un solo account.

Dovrei usare invece una frase d'accesso?

Diverse parole casuali possono essere sia robuste sia facili da ricordare, e sono adatte a una password principale. Questo generatore crea password di caratteri; per una frase d'accesso, scegli le parole a caso invece di sceglierle tu.