Microsoft: cambiare password con frequenza è una richiesta 'arcaica e obsoleta'

I cambiamenti periodici delle password possono causare più danni che benefici. A dirlo è stata Microsoft all'interno di un post pubblicato alla fine di maggio e tornato in auge in queste ore grazie ad alcuni siti specializzati americani, in cui si legge che il requisito è in realtà solo una forma di "mitigazione di scarso valore, arcaica e obsoleta". Si tratta, però, di una prassi che la stessa Microsoft ha continuato a consigliare per decenni interi.

Nel post Microsoft ha dichiarato che con May 2019 Update ha rimosso il cambio password dai requisiti basilari di sicurezza. Il motivo del cambio di prospettiva sull'argomento è che nel corso del tempo è stato ampiamente dimostrato che le password più facili da "crackare" sono quelle semplici da ricordare, come ad esempio nomi o citazioni di frasi di film o libri. Gli aggressori spesso utilizzano dizionari di milioni di parole che vengono dati in pasto a GPU ottimizzate per lo scopo di "indovinare" le possibili password per tentativi, partendo da eventuali hash rubati, se presenti, che rappresentano le password in chiaro.

Non basta, inoltre, neanche scambiare le lettere con numeri analoghi (le "o" con 0, ad esempio, o le "i" con 1), visto che è semplicissimo creare delle "regole" per modificare in maniera semplice le parole tradizionali con i numeri. Ad oggi le password considerate più sicure sono quelle che contengono almeno 11 caratteri, meglio se scelti casualmente fra lettere maiuscole e minuscole, simboli e numeri. Gli stessi esperti di sicurezza hanno sottolineato che cambiare password periodicamente può essere più deleterio che altro visto che spinge gli utenti a scegliere di volta in volta password più deboli.

Varie aziende hanno però, negli anni, continuato a consigliare il cambio periodico della password, e fra queste anche Microsoft. Nel suo post, però, l'azienda fa adesso notare che "la scadenza della password periodica è una difesa solo contro la probabilità che una password (o un hash) venga rubata durante il suo intervallo di validità e verrà utilizzata da utenti non autorizzati. Se una password non viene mai rubata non è necessario sostituirla". E, se consideriamo che la scedenza della password su Windows è adesso configurata a 42 giorni, si capisce bene quanto questa pratica sia inutile nel caso in cui sia stata rubata.

I cambiamenti non riguardano, comunque, le richieste di lunghezza, cronologia e complessità della password, con l'azienda che continuerà a consigliare l'autenticazione a più fattori anche nel caso di password estremamente complesse e considerate sicure.