Gestore di password

Un gestore di password (in inglese password manager) è un software che conserva nomi utente e password in un archivio chiamato cassaforte delle password (password vault). La cassaforte è pensata per essere cifrata e la sua chiave di cifratura deriva di solito da una password principale (master password) scelta dall'utente. La maggior parte dei gestori di password sa generare password, salvare le credenziali mentre vengono digitate e inserirle di nuovo quando l'utente torna sul sito. Alcuni possono anche sincronizzare i dati tra più dispositivi, condividere credenziali con altri utenti e conservare i dati delle carte di pagamento, note e documenti.

Un gestore di password può essere un'applicazione autonoma, un'estensione del browser, una funzione inclusa nel browser o un servizio integrato nel sistema operativo. La cassaforte può restare su un solo dispositivo, essere sincronizzata tramite i server di un fornitore oppure essere copiata da un dispositivo all'altro con un servizio di archiviazione di file separato. Generando e conservando una password diversa per ogni account, un gestore di password può ridurre la necessità di memorizzare molte password o di usare la stessa password per più account.

Poiché una sola cassaforte può contenere le credenziali di molti account, la cassaforte e la sua password principale sono bersagli appetibili per gli attacchi. La sicurezza dipende da come è protetta la cassaforte e da funzioni come la compilazione automatica, la sincronizzazione, la condivisione e il recupero dell'account. Gli utenti possono anche evitare i gestori di password, o smettere di usarli, per timori legati alla sicurezza o al controllo, per scomodità o per problemi di compatibilità con i siti web.

I gestori di password esistono dagli anni novanta. In seguito sono comparsi come componenti dei browser, applicazioni per dispositivi mobili, servizi basati sul cloud e funzioni integrate nel sistema operativo. Alcuni gestori di password possono anche creare e conservare le passkey, credenziali di accesso basate sulla crittografia asimmetrica che possono sostituire le password o fare da fattore di autenticazione aggiuntivo.

Conservazione delle password e compilazione automatica

Un gestore di password conserva le credenziali di accesso, come nomi utente e password, in un archivio detto cassaforte delle password. Idealmente la cassaforte è cifrata con una chiave generata a partire da una password scelta dall'utente, di solito chiamata password principale. Alcuni gestori di password offrono l'autenticazione a più fattori per accedere al database delle password. I gestori di password basati sul cloud in genere conservano cifrati i dati della cassaforte sul server, mentre la cifratura e la decifratura avvengono nel client dell'utente. Il client invia al servizio i dati cifrati e decifra in locale quelli che riceve.

La generazione di password è una funzione comune dei gestori di password moderni: l'utente può impostare caratteristiche come la lunghezza, i caratteri ammessi e i requisiti di composizione. Dato che il risultato viene salvato nella cassaforte, l'utente può assegnare una password generata diversa a ogni account senza doverle memorizzare. Alcuni gestori di password segnalano anche le password duplicate o le credenziali che potrebbe essere necessario cambiare. Quando l'utente digita a mano una password in un modulo di accesso, il gestore di password può proporgli di aggiungere quella credenziale alla cassaforte. Al ritorno dell'utente, il gestore può associare il dato salvato al sito e compilare i campi del nome utente e della password. La compilazione automatica può avvenire da sola o richiedere un'azione dell'utente, a seconda del gestore di password e del contesto. Se per un sito sono salvati più account, l'utente può scegliere quale usare.

I gestori di password basati sul cloud possono sincronizzare una cassaforte cifrata in modo che gli stessi dati siano disponibili su più dispositivi. Alcuni servizi cloud permettono di condividere i dati della cassaforte con altri utenti autorizzati, anche all'interno di gruppi familiari o di organizzazioni, e possono offrire funzioni di recupero dell'account. Le casseforti possono contenere anche informazioni diverse dalle credenziali di accesso, come i dati delle carte di pagamento, note e documenti personali.

Supporto delle passkey

Alcuni gestori di password possono anche fare da fornitori di passkey, creandole, conservandole e gestendole per conto dell'utente. Una passkey è una credenziale di accesso basata sulla crittografia asimmetrica: il servizio conserva una chiave pubblica e l'autenticatore dell'utente custodisce la chiave privata corrispondente. A differenza delle password, le passkey non richiedono all'utente di inviare al sito web un segreto condiviso. L'utente approva invece l'accesso tramite il dispositivo o il gestore di password, e il servizio verifica una risposta crittografica.

Una passkey può restare su un solo autenticatore oppure essere sincronizzata da un fornitore su più dispositivi dell'utente. La sincronizzazione può rendere disponibili le passkey esistenti su un dispositivo sostitutivo, senza che l'utente debba registrare una passkey separata per ogni dispositivo. Una passkey sincronizzata e configurata correttamente è legata al sito per cui è stata registrata, quindi una risposta di autenticazione ottenuta da un sito di phishing non può essere riutilizzata sul servizio legittimo. Se però un fornitore basato sul cloud conserva una copia di backup delle passkey sincronizzate, la compromissione di quell'archivio può esporne le chiavi private di firma.