Caratteri minimi per una password usata come unico fattore
Caratteri minimi per una password usata con un secondo fattore
Lunghezza massima che il sistema dovrebbe accettare
Tentativi falliti consecutivi oltre i quali l’autenticatore va bloccato
Di che documento parliamo
Il NIST (National Institute of Standards and Technology, l’ente statunitense per gli standard tecnici) ha pubblicato il 1° agosto 2025 la revisione 4 delle Digital Identity Guidelines, SP 800-63-4. La parte B, SP 800-63B-4, riguarda l’autenticazione e sostituisce la versione del 2017. Il documento è vincolante per le agenzie federali degli Stati Uniti. In Europa non ha valore normativo, ma è il riferimento tecnico più dettagliato disponibile sulla gestione delle credenziali.
Lunghezza sì, composizione no
La regola più citata riguarda la lunghezza. Una password usata come unico fattore di autenticazione deve avere almeno 15 caratteri. Se la password è solo una parte di un’autenticazione a più fattori, il minimo scende a 8. Il sistema dovrebbe accettare password lunghe almeno 64 caratteri, spazi e caratteri Unicode compresi, perché le frasi lunghe sono più facili da ricordare e più difficili da indovinare.
SP 800-63B-4 – Regole di composizione
NIST SP 800-63B-4, sezione sui requisiti delle password
“Verifiers and CSPs SHALL NOT impose other composition rules (e.g., requiring mixtures of different character types) for passwords.” Il documento vieta cioè di imporre combinazioni obbligatorie di maiuscole, minuscole, numeri e simboli.
Il motivo è pratico. Quando il sistema impone un simbolo e una maiuscola, gli utenti rispondono con schemi prevedibili, come una parola comune con l’iniziale maiuscola seguita da un numero e da un punto esclamativo. Gli strumenti di attacco conoscono questi schemi e li provano per primi. La lunghezza aumenta lo spazio delle combinazioni in modo molto più efficace di un simbolo in più.
Niente scadenze periodiche
Il documento stabilisce che il sistema non deve imporre il cambio della password a intervalli fissi. Deve invece imporlo quando ci sono prove che la password sia stata compromessa. La scadenza ogni 60 o 90 giorni spinge le persone a modifiche minime e prevedibili della password precedente, con un guadagno di sicurezza scarso. Il cambio forzato resta obbligatorio dopo una violazione di dati o un furto di credenziali.
Il controllo contro le password compromesse
Quando una persona sceglie o cambia la password, il sistema deve confrontarla con un elenco di password da rifiutare. Secondo il documento l’elenco contiene le password comunemente usate, prevedibili o compromesse: quelle emerse da precedenti violazioni di dati, le parole del dizionario, i termini legati al servizio e allo username. Il confronto riguarda la password intera. Se la password è nell’elenco, il sistema la rifiuta e spiega il motivo.
Il NIST non indica un fornitore. Uno strumento molto usato è il servizio Pwned Passwords di Have I Been Pwned, che consente il controllo senza trasmettere la password: il sistema calcola l’hash SHA-1 della password e invia al servizio solo i primi cinque caratteri, ricevendo l’elenco degli hash che iniziano allo stesso modo. Il confronto finale avviene in locale.
Password manager, suggerimenti e domande di sicurezza
Il sistema deve consentire l’uso dei password manager e della compilazione automatica. Dovrebbe permettere anche di incollare la password, perché bloccare la funzione “incolla” scoraggia proprio gli strumenti che producono password lunghe e uniche.
Due pratiche diffuse sono vietate. Il sistema non deve permettere di memorizzare un suggerimento consultabile da chi non si è ancora autenticato. Non deve chiedere di rispondere a domande di sicurezza come il nome del primo animale domestico: le risposte si ricavano spesso dai profili social o da una ricerca in rete.
Conservazione delle password
Le password vanno conservate in una forma resistente agli attacchi condotti su una copia sottratta del database. Il documento richiede un hash con sale, calcolato con uno schema adatto alle password, con un sale di almeno 32 bit e un fattore di costo il più alto possibile compatibilmente con le prestazioni. Rinvia per gli schemi approvati alla pubblicazione NIST SP 800-132.
In Italia lo stesso tema è coperto dalle Linee guida sulla conservazione delle password adottate dal Garante per la protezione dei dati personali e dall’ACN (Agenzia per la cybersicurezza nazionale) con il provvedimento del 7 dicembre 2023. Le linee guida indicano fra le funzioni più sicure PBKDF2, bcrypt, scrypt e Argon2. Si rivolgono a tutti i soggetti che conservano credenziali di utenti, comprese le strutture sanitarie e i professionisti che trattano dati particolari.
Livelli di garanzia e passkey
Il documento distingue tre livelli di garanzia dell’autenticazione (AAL, Authenticator Assurance Level). Al livello 1 basta un solo fattore, per esempio una password conforme alle regole viste sopra. Al livello 2 servono due fattori diversi e il sistema deve offrire almeno un’opzione resistente al phishing. Al livello 3 l’autenticazione deve essere resistente al phishing e basata su una chiave che non può essere esportata dal dispositivo.
Le passkey, basate sugli standard FIDO2 e WebAuthn, sono chiavi crittografiche legate al sito per cui sono state create. Per questo un sito contraffatto non può usarle e l’utente non ha nulla da digitare che un attaccante possa intercettare. La revisione 4 disciplina anche gli autenticatori sincronizzabili, cioè le passkey copiate fra i dispositivi di uno stesso utente tramite il suo account. Sono ammessi fino al livello 2 ed esclusi dal livello 3, perché la chiave è esportabile.
Il sistema deve infine limitare i tentativi di accesso falliti. Il documento fissa il tetto a non più di 100 tentativi consecutivi prima di bloccare l’autenticatore. Consente anche misure aggiuntive come ritardi progressivi o verifiche contro i bot.
Cosa significa per il GDPR
L’art. 32 GDPR chiede misure tecniche e organizzative adeguate al rischio, senza indicare quali. Il titolare deve scegliere e dimostrare di aver scelto bene, come richiede il principio di responsabilizzazione dell’art. 5, par. 2. Uno standard tecnico dettagliato e aggiornato serve proprio a questo: permette di motivare la policy sulle password con un riferimento riconoscibile, anziché con abitudini interne.
Il documento del NIST non è vincolante in Europa e le sue regole vanno lette insieme alle linee guida Garante e ACN, che per la conservazione delle credenziali sono il riferimento italiano. Dopo una violazione di dati, una policy che impone ancora la scadenza trimestrale, le regole di composizione e le domande di sicurezza, senza controllare le password compromesse, è difficile da presentare come misura adeguata allo stato dell’arte.
Checklist per chi gestisce un sistema di autenticazione
Conclusioni
Tre punti da portare in azienda
1. Le regole tradizionali sono superate. Scadenze periodiche, simboli obbligatori e domande di sicurezza sono vietati dalla revisione 4. La lunghezza e il controllo contro le password compromesse li sostituiscono.
2. La password da sola non basta per i dati delicati. Per gli accessi ai dati sanitari e agli account amministrativi serve un secondo fattore, meglio se resistente al phishing come una passkey.
3. Lo standard serve a dimostrare. Il NIST non vincola un titolare europeo. Richiamarlo nella documentazione, insieme alle linee guida Garante e ACN, rende difendibile la scelta delle misure davanti all’autorità.
Bibliografia
NIST. (2025). “SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management“.
NIST. (2025). “NIST SP 800-63-4, Digital Identity Guidelines“. Pubblicata il 1° agosto 2025.
NIST. SP 800-132, Recommendation for Password-Based Key Derivation.
Garante per la protezione dei dati personali e Agenzia per la cybersicurezza nazionale, “Linee guida funzioni crittografiche. Conservazione delle password“, provvedimento del 7 dicembre 2023.
Have I Been Pwned, “Pwned Passwords API“, documentazione del servizio.
Regolamento (UE) 2016/679 (GDPR), art. 5, par. 2 e art. 32.
La tua policy sulle password è aggiornata?
Possiamo verificare insieme la policy, la conservazione delle credenziali e l’uso del secondo fattore rispetto alle linee guida NIST e Garante-ACN.
