Strumenti

Un gestore di password detiene le chiavi di tutta la tua vita digitale: la questione se puoi fidartene conta quindi molto più che per quasi qualsiasi altra app che installi. A differenza di un'app per le note o di un calendario, una cassaforte costituisce un unico punto di guasto catastrofico: se viene compromessa, tutti gli account che protegge sono esposti in un colpo solo. Questo rende ancora più importanti le promesse di sicurezza di un fornitore, e la tua capacità di verificarle.

Il software open source risponde in parte a questa domanda. Quando il codice sorgente è pubblico, ricercatori indipendenti possono leggere esattamente come vengono memorizzati i tuoi segreti, come sono cifrati e cosa lascia il tuo dispositivo. Non credi più a una pagina di marketing sulla parola: l'implementazione è aperta all'esame. Il codice aperto non è una garanzia di perfezione, ma riduce notevolmente lo spazio in cui una debolezza nascosta o una porta sul retro discreta potrebbe sopravvivere senza essere notata.

Tre casseforti open source da conoscere

Bitwarden è l'opzione open source più nota. Le sue applicazioni client e il suo server sono rilasciati con licenze aperte, e l'azienda ha commissionato audit di sicurezza indipendenti i cui risultati sono pubblici. Una caratteristica determinante è che puoi ospitare tu stesso il backend se vuoi il pieno controllo su dove risiedono i tuoi dati cifrati, pur usando le stesse app curate. Per la maggior parte delle persone, l'offerta gratuita ospitata è generosa: copre un numero illimitato di password su un numero illimitato di dispositivi, il che elimina un motivo frequente per scendere a compromessi sulla sicurezza.

KeePassXC adotta un approccio fondamentalmente diverso, interamente locale. Non c'è alcun componente cloud: la tua cassaforte è un unico file di database cifrato che memorizzi e sincronizzi tu stesso, con l'archiviazione di cui già ti fidi. Questo attrae le persone che non vogliono alcun coinvolgimento di terzi e che si trovano a proprio agio nel gestire i propri backup e sincronizzazioni. Il compromesso è la comodità — la sincronizzazione tra telefono e portatile è qualcosa che organizzi manualmente anziché qualcosa che avviene da solo.

Per chi vuole crittografia open source senza gestire la propria infrastruttura, Proton Pass è una solida opzione gestita. È sviluppato dal team dietro Proton Mail, usa la crittografia end-to-end, e le sue app sono open source: ottieni così una sicurezza verificabile con la comodità di una sincronizzazione ospitata tra i tuoi dispositivi. Integra inoltre funzionalità come gli alias hide-my-email, che si inseriscono naturalmente accanto all'archiviazione delle password per le persone già attente alla propria privacy.

Scegliere la tua posizione nello spettro

Questi strumenti illustrano uno spettro utile anziché un'unica risposta. A un estremo c'è il controllo interamente locale con KeePassXC; nel mezzo, la flessibilità ospitato-o-auto-ospitato di Bitwarden; e verso il polo gestito, Proton Pass con le sue impostazioni predefinite orientate alla privacy e la sua comodità ospitata. Dove ti collochi dipende da quanto lavoro operativo sei disposto ad assumerti in cambio del controllo, e dal valore che attribuisci a una sincronizzazione fluida tra dispositivi.

• Bitwarden — open source, verificato in modo indipendente, auto-ospitaggio opzionale, offerta gratuita generosa
• KeePassXC — file di cassaforte cifrato interamente locale, senza cloud, gestisci tu la sincronizzazione e i backup
• Proton Pass — app open source, sincronizzazione ospitata cifrata end-to-end, alias e-mail integrati

Trappole e i limiti del codice aperto

Qualunque sia la tua scelta, diffida di alcune trappole comuni. La prima è il riutilizzo di una password principale debole, che mina anche la crittografia più robusta. La seconda è saltare l'esportazione o il backup, il che ti lascia chiuso fuori se un dispositivo si guasta. La terza è considerare equivalente l'archiviazione delle password integrata nel browser — è comoda, ma di solito le mancano il modello di sicurezza dedicato, la portata multipiattaforma e le funzionalità di alias di un vero gestore.

Vale anche la pena essere onesti su cosa l'open source ti dà e cosa no. Il codice pubblico rende possibile l'audit, ma l'audit deve comunque avvenire davvero, e le app che scarichi devono corrispondere realmente al codice sorgente pubblicato. Per questo la reputazione, una storia di audit commissionati e una comunità attiva contano quanto la licenza stessa. Bitwarden, KeePassXC e Proton Pass superano tutti questa soglia, ciascuno a modo suo.

Abitudini che contano più del marchio

Qualunque cosa tu scelga, i fondamentali sono gli stessi per tutte le opzioni. Usa una password principale lunga e unica che non hai mai usato altrove, attiva l'autenticazione a due fattori per la cassaforte stessa, e lascia che il gestore generi una password casuale unica per ogni sito. Queste tre abitudini contano più del marchio preciso sull'icona.

Lo strumento giusto, in definitiva, è quello che userai davvero con regolarità. Una configurazione teoricamente perfetta che abbandoni dopo una settimana non protegge nulla, mentre un gestore un po' meno ideale che apri ogni giorno protegge tutto. Scegli l'opzione di cui puoi accettare i compromessi, configurala bene una volta per tutte, e lasciala fare il suo lavoro in silenzio da lì in poi.