Post-it

Per circa tre anni sono stato l'amministratore di sistema di questa baracca, e in quanto tale responsabile anche della sua sicurezza. L'approfondire i motivi per i quali un quasi-avvocato abbia dovuto imparare a configurare un firewall e sviluppare un piano di disaster recovery esula da questo post: serve solo a farvi capire che qualcosina sulla gestione delle password posso dirla con una minima cognizione di causa, anche se da alcuni anni ho ripreso ad occuparmi -per fortuna- di cose legali
Ovviamente in quanto amministratore di sistema avevo tanti account, con tante password, tutte diverse tra loro, complicate e barocche, che conoscevo a memoria e che per sicurezza erano scritte in forma blandamente codificata in un foglietto che tenevo nel portafoglio, just in case, e che non ho mai utilizzato. Ma quello di ricordare le password era parte sostanziale del mio mestiere.
Chi fa analisi di bilancio, o immette rate nel terminale, o si occupa delle spedizioni, invece, ha quella come principale attività. Dovrebbe, anzi deve essere adeguatamente informato sulla necessità di avere delle password un minimo robuste, ma come insegnano le buone regole dovrebbe essere messo in grado di sviluppare un pattern mnemonico talché le proprie password risultino per lui facili da ricordare, ma difficili da indovinare per gli altri.
Se così non è, è automatico che la password venga attaccata al monitor un minuto dopo essere stata assegnata o inserita: per il semplice motivo che la mattina uno che non si occupa direttamente di sicurezza deve iniziare a lavorare: non può, non deve e soprattutto non vuole tirare sempre fuori il portafogli o cercare di ricordare combinazioni di lettere e numeri che a lui non dicono niente; col pericolo poi che esauriti i tentativi di accesso si debba aprire una richiesta di reset, buttando via una mezza giornata di lavoro prima che arrivi la risposta.

L'utente standard qui ha da rammentare due password: quella del dominio windows e quella del sistema informativo legacy. Le nuove policy di sicurezza prevedono che le password:
- scadano ogni 90 giorni;
- debbano essere diverse dalle ultime 18 password utilizzate in precedenza.

Oltre a ciò, sono state poste regole di complessità diverse per i due sistemi: nel primo la password:
-deve essere lunga almeno 8 caratteri
-deve essere composta da almeno 5 caratteri differenti
-deve contenere almeno una maiuscola
-non può avere più di 4 parti ricorsive;
-non deve ricalcare il seguente schema: 2 caratteri alfabetici, 6 caratteri numerici, 1 carattere alfabetico;
-la parola diretta o quella inversa scelta come password non deve essere contenuta in un dizionario contenente circa 77000 parole tra italiane e inglesi e sequenze di numeri.

Nel secondo la password:
- deve essere lunga almeno 8 caratteri;
- può contenere solo caratteri alfanumerici;
- deve contenere caratteri numerici;
- non deve contenere caratteri numerici adiacenti;
- non può contenere alcun carattere che si trovi nella stessa posizione in cui si trovava nella password precedente!

Dopo l'emanazione delle regole di complessità per il primo sistema, in vigore già da qualche mese, è nato un fiorente mercato nero delle password "funzionanti": alti dirigenti e semplici commessi dopo aver tentato cinque o sei volte di cambiare password che venivano sempre rifiutate hanno iniziato a chiamare i fortunati colleghi che erano riusciti, per logica o puro culo, a trovarne una accettata. In pratica mezza banca utilizza tre o quattro password, tutte ugali fra loro.
Con l'entrata in vigore in questi giorni delle regole di complessità per il secondo sistema, il mercato diventerà ancora più fiorente; per intanto è iniziata la corsa all'accaparramento dei post-it.