Password robuste e UUID

Lunghezza e casualità

Una password è robusta quando a un malintenzionato servirebbero troppi tentativi per trovarla. Contano soprattutto due cose: quanto è lunga e come è stata scelta. Ogni carattere in più moltiplica il numero di possibilità, quindi la lunghezza di solito aiuta più che aggiungere un altro tipo di simbolo.

Il modo in cui una password viene scelta conta altrettanto. Le persone tendono a scegliere parole, nomi, date e sostituzioni prevedibili come "P@ssw0rd", e i malintenzionati provano per primi proprio questi schemi. Una password generata da una fonte casuale sicura evita questi schemi. Il generatore di LeedyBox usa il generatore di numeri casuali della Web Crypto API del browser invece di Math.random(), che non è progettato per la sicurezza.

Questa guida fornisce informazioni generali, non una consulenza professionale sulla sicurezza. Segui i requisiti della tua organizzazione o del servizio a cui ti stai registrando.

Cosa significano i bit di entropia

L’entropia, misurata in bit, stima quanti tentativi richiederebbe una password casuale. Per una password di lunghezza L estratta in modo uniforme da N caratteri possibili, l’entropia è L × log₂(N). Ogni bit in più raddoppia lo spazio di ricerca.

La stima ha dei limiti. Ha senso solo quando ogni carattere è stato scelto a caso. Una password inventata da te, come "Summer2026!", secondo questa formula può sembrare avere molti bit, ma è molto più facile da indovinare. L’entropia inoltre non dice nulla su come un servizio memorizza le password, se la password è stata riutilizzata o se è stata carpita tramite phishing.

Gestori di password e password univoche

Le password casuali sono difficili da ricordare, ed è qui che aiuta un gestore di password: genera, memorizza e inserisce una password diversa per ogni sito. Usare una password univoca ovunque è importante perché le violazioni di dati avvengono, e una password riutilizzata permette a un malintenzionato di provare le stesse credenziali su altri servizi. Per le poche password che devi ricordare, come la password principale del gestore stesso, un approccio comune è una passphrase lunga composta da diverse parole scelte a caso.

Autenticazione a due fattori

Anche una password robusta può essere rubata tramite phishing o malware. L’autenticazione a due fattori (2FA) aggiunge una seconda verifica, come un codice di un’app di autenticazione, una chiave di sicurezza hardware o una passkey. Attivarla per email, banca e altri account importanti riduce i danni che può causare una password rubata. Conserva i codici di recupero in un luogo sicuro.

UUID v4 e UUID v7 a confronto

Un UUID (universally unique identifier, identificatore univoco universale) è un valore a 128 bit scritto con 36 caratteri, come 550e8400-e29b-41d4-a716-446655440000. La cifra dopo il secondo trattino indica la versione.

• UUID v4 è in gran parte casuale (122 dei suoi 128 bit). Non rivela nulla su quando o dove è stato creato, e la probabilità che due UUID coincidano è trascurabile a fini pratici.
• UUID v7, definito nella RFC 9562, inizia con un timestamp Unix in millisecondi seguito da bit casuali. I valori creati dopo vengono ordinati dopo quelli precedenti, il che può rendere gli indici dei database più efficienti rispetto a v4. Il rovescio della medaglia è che chiunque veda un UUID v7 può risalire approssimativamente al momento della sua creazione.

Lo strumento di LeedyBox può generare entrambe le versioni, e il suo analizzatore di UUID ti permette di esaminare un UUID che incolli.

Gli UUID sono identificatori, non segreti

Un UUID è progettato per essere univoco, non segreto. Molti UUID finiscono in URL, log e risposte delle API, e un UUID v7 contiene il proprio momento di creazione. Non usare un UUID da solo come password, chiave API o token per il ripristino della password; usa un token casuale dedicato prodotto da un generatore sicuro, insieme a controlli di accesso adeguati.

Domande frequenti