Il documento è diventato una sorta di codice di Hammurabi delle password, un manuale di comportamento per agenzie federali, università e aziende alla ricerca di regole sulla sicurezza digitale. Il problema è che, in molti casi, i consigli non hanno funzionato. Cambiare la password ogni novanta giorni? Purtroppo, dice Burr, la maggior parte delle persone fa dei cambiamenti minimi. Passare da Pa55word!1 a Pa55word!2 non aiuta a proteggersi dagli hacker. Un altro errore è stato quello d’imporre l’uso di una minuscola, un numero, una maiuscola e un carattere speciale, come un punto esclamativo o di domanda. “Mi pento di quel che ho fatto”, dichiara Burr, oggi in pensione. A giugno il suo documento è stato sottoposto a una profonda revisione, che ha cancellato alcune di queste regole.

Paul Grassi, il consulente dell’Nist che ha diretto il lavoro di revisione durato due anni, racconta che all’inizio pensava che il documento avrebbe avuto bisogno solo di leggere modifiche. “Alla fine lo abbiamo riscritto”, racconta. Nel nuovo documento non si consiglia più di cambiare spesso le password o di usare caratteri speciali: più che aumentare la sicurezza, questi suggerimenti complicavano solo le cose agli utenti. Oggi le frasi lunghe e facili da ricordare sono considerate più sicure dei caratteri speciali. Inoltre, bisognerebbe cambiare pass­word solo se si pensa che un account sia stato forzato.

Secondo gli esperti, è più difficile indovinare una serie di quattro parole che una parola composta da caratteri speciali. In una nota vignetta, Randall Munroe (autore del fumetto online Xkcd) ha calcolato che ci vogliono 550 anni per violare una password “correct horse battery staple” (corretto cavallo batteria graffetta) scritta senza separazioni. Una password come Tr0ub4dor&3, che invece segue le regole di Burr, può essere hackerata in tre giorni.

Bill Burr, che durante la guerra in Viet­nam aveva programmato un sistema informatico per l’esercito, voleva che il suo documento si basasse su dati reali, ma nel 2003 c’erano poche informazioni sull’argomento. Chiese allora agli amministratori dell’Nist se poteva accedere alle loro pass­word, ma questi si rifiutarono per motivi di privacy. Senza dati reali, Burr si affidò a un libro scritto a metà degli anni ottanta – molto prima che fosse possibile comprare dvd e altre cose in rete – e i suoi consigli diventarono per molti un riferimento.

Nell’ultimo decennio c’è stata un’esplosione di violazioni dei sistemi informatici. Gli hacker hanno rubato e diffuso in rete centinaia di milioni di password di aziende come LinkedIn e Gawker. Proprio questi dati hanno permesso ai ricercatori di studiare le password e di farci capire che, per quanto possiamo pensare che le nostre siano astute, non lo sono: continuiamo a seguire sempre lo stesso schema.

Nel 2003 Burr non aveva i dati necessari per capire il fenomeno, ma oggi la situazione è chiara a esperti di tecnologia come Lorrie Cranon, che insegna all’università Carnegie Mellon. Dopo anni passati a studiare combinazioni pessime, ha stampato 500 delle password più diffuse su un vestito che ha indossato durante un vertice sulla sicurezza informatica che si è tenuto nel 2015 all’università di Stanford. Vestita di parole come princess, monkey o iloveyou, il suo abito ha generato attenzione e imbarazzo. “C’era chi lo guardava e sembrava voler dire, ‘accidenti, devo cambiare subito pass­word’”, racconta.

Le regole dell’Nist avrebbero dovuto creare imprevedibilità, invece hanno dato vita a una generazione di pass­word goffe e comuni come Pa$$w0rd.

“Non c’è niente d’imprevedibile nell’usare tutti la stessa parola”, afferma il ricercatore della Microsoft Cormac Herley. Secondo Paul Grassi, però, Bill Burr non dovrebbe essere così duro con i suoi consigli del passato. “Il suo documento sulla sicurezza ha resistito per più di dieci anni”, sostiene. “Posso solo sperare che anche il mio duri così a lungo”. ◆ ff