La password non scade più: cosa dice davvero NIST SP 800-63B-4
Nel luglio 2025 il NIST ha pubblicato la versione definitiva delle sue linee guida sull'autenticazione digitale. Il risultato ribalta due dogmi che ci portiamo dietro da vent'anni: la complessità obbligatoria e il cambio password periodico. Ecco cosa cambia, e perché conviene guardarci dentro anche se non siete un'agenzia federale statunitense.
Tutti odiamo la password. È fastidiosa, non ce la ricordiamo mai, e ogni novanta giorni qualche sistema ci costringe a inventarne una nuova che finisce puntualmente per essere la precedente con un numero in più alla fine. Eppure resta il baluardo più elementare della sicurezza: rubare una password è ancora oggi il modo più facile per un criminale di entrare in un sistema, molto più di qualsiasi vulnerabilità zero-day.
Proprio per questo fa notizia che l'ente che per anni ha ispirato le regole "una maiuscola, un numero, un simbolo" abbia deciso di smontarle. Con la pubblicazione della versione finale della Special Publication NIST SP 800-63B-4 — Digital Identity Guidelines: Authentication and Authenticator Management — il National Institute of Standards and Technology chiude l'era della complessità imposta e sposta il baricentro su un principio più semplice: conta la lunghezza, non gli acrobatismi tipografici.
Cosa cambia, in concreto
I requisiti principali per un sistema di autenticazione basato su password, secondo la nuova guida:
Lunghezza minima: 15 caratteri — ma con una precisazione che spesso viene persa. I 15 caratteri sono obbligatori quando la password è l'unico fattore di autenticazione. Se la password è solo uno dei fattori all'interno di un processo multi-fattore (MFA), può essere più corta, con un minimo di 8 caratteri. È una distinzione che vale la pena tenere a mente quando si riscrive una policy.
Lunghezza massima: almeno 64 caratteri. Il sistema deve accettare passphrase lunghe, non troncarle o rifiutarle. Serve a rendere praticabili le frasi di accesso, molto più memorizzabili di una sequenza casuale.
Tutti i caratteri sono ammessi. ASCII stampabili, spazio incluso, e caratteri Unicode: in pratica qualsiasi carattere di qualsiasi alfabeto mai usato da un essere umano. Nessuna restrizione arbitraria su quali simboli si possano inserire.
Vietate le regole di composizione. Niente più obbligo di mescolare maiuscole, minuscole, numeri e simboli secondo uno schema. E qui c'è un dettaglio linguistico che pesa: la guida passa dal precedente "should not" (sconsigliato) all'attuale "shall not" (vietato). Non è più un consiglio, è un requisito.
Vietata la scadenza periodica. Le password non devono più essere cambiate a intervalli regolari. Il cambio si impone solo in caso di compromissione accertata.
Vietati i suggerimenti e le domande di sicurezza. Niente più "qual era il cognome da nubile di tua madre?": sono meccanismi facilmente aggirabili tramite informazioni pubbliche o social engineering.
Ammessi (e incoraggiati) i password manager con autofill. La ricerca mostra che gli utenti adottano volentieri password lunghe e uniche se hanno uno strumento che le genera e le ricorda per loro.
A queste si aggiungono un timeout di sessione ragionevole, la ri-autenticazione periodica per le sessioni lunghe, e soprattutto lo screening obbligatorio contro blocklist di password compromesse, comuni o prevedibili: una password che compare in un database di credenziali violate va rifiutata a priori. Sul fronte conservazione, resta ovvio ma va ribadito che le password non si memorizzano mai in chiaro, ma solo dopo salt e hash con un algoritmo moderno, come protezione dagli attacchi offline.
Perché abolire la scadenza è la cosa giusta
Il cambio password obbligatorio ogni novanta giorni è probabilmente la regola più controversa di tutta la sicurezza informatica, e la sua abolizione è la parte più contro-intuitiva della nuova guida. La logica è però solida: costringere le persone a cambiare spesso non le rende più sicure, le spinge a comportamenti prevedibili. Primavera2025! a gennaio diventa Estate2025! ad aprile. L'utente sceglie lo schema più comodo per ricordarsi la sequenza, e quello schema è esattamente ciò che un attaccante sa indovinare.
Lo stesso vale per la complessità imposta: obbligare a un simbolo e a un numero produce Password1!, non una password forte. Le regole nate per aumentare la sicurezza finiscono per ridurla, perché lavorano contro il modo in cui funziona la memoria umana. NIST prende atto, dopo anni di dati sul campo, che il re è nudo.
Cosa cambia oggi per un'azienda italiana?
Sul piano dell'obbligo diretto, nulla. NIST è l'ente di standardizzazione statunitense e la SP 800-63B è pensata per i sistemi informativi del governo federale USA: non è una norma vincolante per un'impresa italiana o europea.
Ma la sua influenza va ben oltre i confini americani. OWASP allinea le proprie raccomandazioni a questo documento, e agenzie come la tedesca BSI e la francese ANSSI si stanno progressivamente adeguando. Nella pratica, la SP 800-63B è diventata uno standard de facto, un riferimento internazionale riconosciuto.
Ed è qui che diventa interessante per chi si occupa di governance della sicurezza. Se un'organizzazione decidesse oggi di aggiornare la propria password policy interna seguendo questi requisiti — adottando quindi una best practice internazionale documentata — difficilmente potrebbe essere accusata di aver trascurato le misure di sicurezza necessarie, salvo vincoli normativi specifici che impongano altro. Allinearsi a un riferimento autorevole è, in sé, una forma di tutela.
Il consiglio pratico: prima di riscrivere la vostra policy, verificate che non esistano requisiti settoriali o contrattuali che vi obblighino a mantenere la complessità o la rotazione (alcuni schemi legacy lo fanno ancora). Fatto questo controllo, la direzione tracciata da NIST è quella verso cui si sta muovendo tutto il settore: lunghezza sopra la complessità, screening delle password violate al posto delle regole cosmetiche, e rotazione solo quando serve davvero.
Il documento completo è disponibile sul sito NIST: SP 800-63B-4, Digital Identity Guidelines (versione finale, luglio 2025).
Commenti
Posta un commento