Password: differenze tra le versioni

Versione delle 19:42, 7 feb 2024

Versione delle 12:24, 25 feb 2024

Riga 27:

* tramite un [[keylogger]] installato da terzi sul terminale personale è possibile registrare l'intera navigazione Internet, vale a dire ogni singolo carattere digitato con la tastiera e ogni click del ''mouse'', abbinadoli ai relativi siti, inclusi user e password di accesso.

* Si sconsiglia l'utilizzo di password e l'invio di informazioni sensibili tramite connessioni non crittografate. Un utente malintenzionato può utilizzare strumenti per eseguire diversi attacchi tra cui man-in-the-middle e/o sniffing, ottenendo così l'accesso a tutte le informazioni scambiate. Durante la visualizzazione di una pagina web accertarsi di visualizzare un'icona con lucchetto verde, che significa che la connessione è crittografata.<ref>{{Cita web|url = https://generatorepassword.win|titolo = Generatore di password|accesso = 2018-04-09|lingua = it|sito = Generatore Password|urlarchivio = https://web.archive.org/web/20180614122113/https://generatorepassword.win/|dataarchivio = 14 giugno 2018|urlmorto = sì}}</ref>

== Passwordless o Passkey ==

La password ha un'intrinseca vulnerabilità perché, specie quando è banale, può essere facilmente rilevata. Per questo è sempre più diffusa l'autenticazione o l'identificazione mediante metodologie che fanno "a meno della password" (esperienza ''passwordless'' o ''passkey'') o, semplicemente, anche del nome utente. Una volta eseguita la registrazione (signup) o abbinamento (enrollment) sul servizio di autenticazione (tipicamente usando un account web che utilizza un certificato digitale), l'autorizzazione può esere fornita mediante: mail (codice stile OTP), telefonata, dispositivo hardware (token o chiavetta), app di autenticazione, telefonino (notifica o segno), NFC, codice QR, impronta biometrica, riconoscimento facciale, servizio di terze parti. Alcuni di questi strumenti richiedono che sia disponibile la connessione internet o telefonica e questo potrebbe rappresentare un rischio. Tali metodi possono richiedere anche un PIN durante il login per fornire il consenso (tipico quando si usano chiavi hardware di sicurezza).

Questo sistema rappresenta o integra un metodo MFA ma privo di credenziali con password (a parte quella che protegge l'eventuale app dedicata all'autorizzazione). Spesso è necessario che sia impostata qualche funzione del terminale identificato che fornisce l'autorizzazione (blocco schermo attivato e bluetooth abilitato del telefonino) o applicazione del dispositivo da accedere o una certa versione a a salire di un determinato browser. Ovviamente, devono essere impostati altri terminali o elementi di autorizzazione passkey di riserva in caso di anomalie o guasti di quello principale.

== Note ==