Un nuovo dibattito anima le menti degli esperti: il password masking.
Per password masking si intende la pratica di sostituire i caratteri digitati durante l’inserimento della password su un sito Web (o in una applicazione) con pallini neri.
La domanda che oggi ci si pone è: questa tecnica aumenta il livello di sicurezza? Oppure è al contrario dannosa perché insicura e addirittura causa un “costo” superiore?
La discussione nasce da un articolo di Jakob Nielsen, ripreso poi da Bruce Schneier e dal blog Download Squad.
La tecnica del password masking nasce per evitare che qualcuno, alle spalle dell’utente, veda la password in chiaro. Ma, dice Nielsen, questo può essere ovviato: è sufficiente guardare la tastiera e vedere quali tasti vengono digitati. Inoltre, si interroga: quante volte abbiamo una persona alle nostre spalle mentre accediamo ad un sito protetto?
La teoria di Nielsen è che il password masking non aumenta la sicurezza, anzi, a causa dell’errato inserimento della password, costituisce un costo e un danno per il “business” associato. La critica di Nielsen si basa su due punti.
Il primo: l’utente, non vedendo ciò che digita, commette più facilmente un errore e si sente meno confidente. Da questo si hanno almeno due conseguenze negative: un calo del business (es.: l’utente non può accedere a un determinato sito Web) e un aumento delle chiamate al supporto.
Secondo aspetto critico, in parte conseguenza del primo descritto sopra, è che gli utenti tendono a scegliere password semplici (per evitare di sbagliare) oppure fanno un semplice copia&incolla da un file di testo con le password in chiaro. Tutto ciò a discapito della sicurezza.
Voi cosa ne pensate? È meglio mascherare la password oppure lasciarla in chiaro?
