Un password manager vi fa usare centinaia di password diverse senza impazzire, ed è una delle scelte di sicurezza più utili che possiate fare. Ma c'è una domanda che quasi nessuno si fa al momento di sceglierlo: dove sta, di preciso, il vostro archivio? E se un giorno volete cambiare, o il servizio sparisce, come portate via le vostre password?

In questo articolo vi spiego dove vive l'archivio in due modelli molto diversi, che cosa succede quando lo esportate e qual è la prova da fare con calma, in dieci minuti.

Se preferite, vi racconto tutto anche nel video qui sopra.

Indice

Due strade, due prezzi per la stessa comodità

Partiamo da che cosa fa un password manager: conserva tutte le vostre password in un archivio cifrato, che si apre con una sola password principale, l'unica che dovete ricordare davvero. Fin qui si somigliano quasi tutti. La differenza vera sta altrove: in dove si trova quell'archivio, e in chi lo tiene sincronizzato tra i vostri dispositivi.

Per capirlo prendiamo due password manager molto diversi tra loro, KeePassXC e Bitwarden. Sono esempi di due modelli, non una classifica.

KeePassXC: l'archivio è un file

KeePassXC tiene tutto in un file. L'archivio, cioè, è un oggetto che vedete e spostate, salvato nel formato KDBX della famiglia KeePass (il programma supporta KDBX4 e KDBX3).

Il file sta dove decidete voi, e lo possono aprire anche altri programmi compatibili. Il codice è distribuito con licenza GPL-2 o GPL-3, come spiega la documentazione di KeePassXC.

E la cosa che a me piace tantissimo è proprio questa: il file lo avete in mano voi, e sapete esattamente dove si trova.

Il prezzo da pagare? La sincronizzazione tra i dispositivi e le copie di sicurezza sono un lavoro vostro: dovete decidere come portare il file sul telefono, con quale programma aprirlo e dove tenerne le copie.

Bitwarden: l'archivio sta sul server

Bitwarden conserva l'archivio cifrato sul server e sincronizza i dispositivi attraverso il servizio. Il server, volendo, si può anche ospitare in proprio, cioè installare su una macchina vostra.

Il telefono, il computer di casa e quello del lavoro vedono le stesse password senza che dobbiate spostare niente. Qui la comodità è altissima, ma la dipendenza si sposta sull'account e sulle sue regole.

E allora qual è il migliore? Secondo me è la domanda sbagliata: non esiste «il migliore» in assoluto, esiste quello di cui conoscete il prezzo. Sono due prezzi diversi per la stessa comodità, e io preferisco sapere sempre quale sto pagando.

L'esportazione che vi lega all'account

Bitwarden permette di esportare l'archivio in un file JSON cifrato, cioè un file di testo strutturato e protetto. Le modalità sono due, descritte nella guida all'esportazione e nella pagina sulle esportazioni cifrate.

  • Account restricted, cioè limitata all'account: si reimporta solo nello stesso account o nella stessa organizzazione che l'ha generata, nemmeno in un account con la stessa email su un altro server.
  • Protetta da password: cifrata con una password scelta da voi, si può importare in qualsiasi account Bitwarden.

Vedete la differenza? Se il vostro obiettivo è uscire dal servizio, o avere una copia che vi salvi se perdete l'account, la prima modalità non fa al caso vostro. La documentazione precisa anche che i dati vengono decifrati localmente dal client, cioè dall'app sul vostro dispositivo, prima dell'esportazione.

E questa è la cosa importante, che vale per qualsiasi programma: se avete fatto un'esportazione, non è detto che riusciate ad andarvene. Dovete guardare che tipo di file avete ottenuto, con che cosa lo potete aprire e che cosa vi serve per farlo. La buona notizia è che la documentazione di Bitwarden spiega questa differenza in modo chiaro: basta leggerla prima, e non dopo.

Con KeePassXC, invece, il file KDBX è già l'archivio. Il rischio, qui, è un altro: tenerne una sola copia su un solo disco. Se quel disco si rompe, o vi rubano il portatile, le password spariscono tutte insieme.

Per questo io, con un archivio sul computer, terrei sempre almeno una copia in un altro posto, cifrata come l'originale, e mi annoterei come recuperarla. Qualche passaggio in più, certo, ma molto più sicuro, perché il controllo resta tutto nelle vostre mani. Voi non potete garantire che un soggetto terzo, che sta lì in mezzo, sia inespugnabile: è più sicuro avere le cose in locale e in più copie.

La password principale

E se il server viene violato? È già successo. A dicembre 2022 LastPass ha comunicato che erano stati copiati i backup degli archivi dei clienti.

Le password restavano cifrate con la password principale, ma alcuni dati, come gli indirizzi dei siti, non lo erano. La lezione, quindi, è doppia: la cifratura ha fatto il suo lavoro, ma chi aveva una password principale debole ha dovuto cambiare in fretta le credenziali più importanti.

Lo dico da persona che ha studiato con un indirizzo in cybersecurity: in un sistema cifrato fatto bene nessuno può recuperarvi la password principale, nemmeno chi vi offre il servizio, perché la chiave per decifrare l'archivio nasce proprio da quella password.

È il punto di forza della cifratura, ed è anche il suo rischio più grande. Quindi la password principale non è un dettaglio: va scelta con cura e custodita in un posto che resti raggiungibile anche nel giorno storto.

E le passkey?

Molti password manager oggi conservano anche le passkey, cioè le nuove credenziali che vi fanno entrare senza password. KeePassXC, per esempio, le supporta tramite l'integrazione con il browser.

Questo rende ancora più importante sapere dove vive l'archivio, perché lì dentro ci sono le chiavi per entrare in tutto il resto.

La prova dei dieci minuti

Ecco la prova che vi propongo, da fare con calma e senza cancellare niente:

  1. scrivete in una frase dove sta il vostro archivio, per esempio «un file KDBX sul mio computer, con una copia sul disco esterno»;
  2. fate un'esportazione, o una copia del file, e controllate di che tipo è;
  3. provate ad aprirla in un posto diverso dal solito, cioè su un altro computer o con un altro programma compatibile.

Se arrivate in fondo, le vostre password sono davvero vostre. Se invece vi bloccate, avete trovato la cosa da sistemare: meglio oggi, con calma, che il giorno dell'emergenza.

La regola da portarvi via

Insomma, la regola è questa: un password manager ci protegge davvero solo se sappiamo dove stanno le nostre password e come portarle via. La sicurezza delle password è importantissima, ma senza una strada per tornare indietro rischiamo di chiuderci fuori casa da soli.

Per me questa è la differenza tra usare uno strumento e averne la padronanza.

Per approfondire

Una precisazione a cui tengo: ho citato Bitwarden come esempio concreto di come funzionano questi servizi, non come consiglio. Io sono per il software libero e open source, e per me KeePassXC è la scelta migliore, perché vi lascia il controllo di tutto il ciclo di salvataggio, esportazione e condivisione delle vostre password, senza che nessuno possa comprometterle per voi.

Se usate KeePassXC, il punto di partenza è la guida introduttiva ufficiale. Se usate Bitwarden, prima di fare la prova leggete la pagina sulle esportazioni cifrate, così scegliete la modalità giusta.

E voi che password manager usate? Sapreste dire in una frase dove vive il vostro archivio? Scrivetelo nei commenti del video.

Fonti

Le funzioni e le condizioni dei servizi cambiano nel tempo: ricontrollatele prima di fare la prova.