Regole dei password NIST 800-63B: Linee guida moderne

La normativa NIST 800-63B rappresenta un cambiamento significativo nel modo in cui vengono concepite le password sicure. Molti requisiti tradizionali, come la scadenza obbligatoria periodica delle password o regole di complessità rigide (includere numeri, caratteri speciali o maiuscole in schemi prestabiliti), sono stati riconosciuti come poco efficaci. Tali pratiche spesso portavano gli utenti a scegliere password prevedibili, ripetute o facilmente annotabili, riducendo la sicurezza complessiva.

Un principio fondamentale della nuova guida è l'uso delle passphrase. Piuttosto che richiedere password brevi e complesse, NIST 800-63B incoraggia l'uso di frasi lunghe e memorabili, che aumentano significativamente l'entropia e rendono più difficile per gli attaccanti indovinare la password tramite attacchi a forza bruta o dizionario. Ad esempio, una passphrase come “CieloBluFioriGialli2026!” è lunga, complessa da prevedere e facile da ricordare per l'utente.

La normativa pone grande enfasi sulla usabilità e sicurezza insieme. Gli utenti devono poter scegliere password o passphrase che possano ricordare senza compromettere la protezione. Questo approccio riduce la probabilità di riutilizzo di password o di annotazioni su supporti insicuri, migliorando la sicurezza complessiva.

Un altro elemento centrale è la Autenticazione Multifattore (MFA). Per sistemi ad alto rischio, l'uso di MFA diventa obbligatorio, combinando fattori come: qualcosa che l'utente conosce (password), qualcosa che possiede (token o smartphone) e qualcosa che è (biometria). Questo riduce drasticamente la dipendenza dalle sole password e aumenta la resilienza del sistema.

In aggiunta, NIST 800-63B consiglia di eliminare regole obsolete di complessità e verificare le password rispetto a elenchi di password comuni o compromesse, evitando l’uso di credenziali facilmente indovinabili. L'obiettivo è creare una politica moderna che combini sicurezza reale con facilità d’uso.

In sintesi, NIST 800-63B modernizza le politiche delle password privilegiando passphrase, entropia e MFA, e abbandonando regole di complessità inutili. L’adozione di queste linee guida permette alle organizzazioni di ottenere un equilibrio ottimale tra sicurezza e usabilità, riducendo il rischio di compromissioni dei dati.