Come i siti conservano davvero le password
Un sito fatto bene non conserva le password in chiaro. Usa invece hashing, sale e meccanismi di protezione moderni.
Perché i siti web non necessitano di password in testo semplice
Non è necessario che un servizio sia in grado di leggere la tua password per accedere. Deve solo verificare se la voce corrisponde alle prove precedentemente archiviate.
Per questo motivo, idealmente, le password non vengono memorizzate in modo reversibile, bensì convertite in valori di confronto sicuri mediante procedure adeguate.
La solita procedura sicura
- Quando si imposta la password, viene aggiunto un sale e viene creato un hash.
- Nel database non finisce la password in sé, ma solo il valore che ne deriva più i metadati necessari.
- Quando accedi, lo stesso processo viene eseguito nuovamente e confrontato con l'hash memorizzato.
Dove le implementazioni falliscono
I problemi sorgono quando le applicazioni utilizzano algoritmi obsoleti, parametri troppo pochi o addirittura archiviazione reversibile. Quindi le perdite di database diventano molto più pericolose.
Dal punto di vista dell'utente, questo è un altro motivo per non riutilizzare mai le password. Anche se un fornitore è implementato in modo inadeguato, il danno potrebbe non estendersi ad altri account.
Lista rapida
Le azioni più importanti di questa guida, riassunte in breve.
- Utilizza solo procedure moderne di hashing delle password nei tuoi progetti.
- Come utente, utilizza password complesse e univoche perché non controlli mai completamente l'implementazione del server.
- Controlla regolarmente i vecchi account e aggiornali se non sei sicuro.
Domande frequenti
Crea subito una password forte
Usa il generatore di Zenkey.click per creare subito una password casuale forte o una passphrase sicura.
Hashing e crittografia delle password: qual è la differenza?
Se vuoi continuare, questa è la guida consigliata da aprire dopo.
Hashing e crittografia vengono spesso confusi. Per le password, l'hashing è l'approccio giusto perché il server non dovrebbe essere in grado di recuperare la password originale.