Password manager: come funziona e chi legge le tue password

Un password manager promette la stessa cosa da vent'anni: una password sola da ricordare, lui pensa al resto. Milioni di persone ne usano uno senza averlo scelto apposta: arriva incluso nell'antivirus, o attivato di default nel browser e nell'account che già usano ogni giorno. Quello che cambia da un prodotto all'altro non è quella promessa, ma chi, oltre a te, può aprire l'archivio. Norton e Kaspersky dichiarano nelle loro pagine di assistenza ufficiali di non conoscere la password che protegge il tuo archivio: se la dimentichi, i dati sono persi per sempre, perché nemmeno l'azienda ha la chiave. Google Password Manager, di default, funziona al contrario: la chiave che decifra le tue password resta nel tuo Account Google, e Google stesso la usa ogni volta che le controlli.

Norton e Kaspersky: una password che nessuno può recuperare

Norton lo scrive nella pagina ufficiale di assistenza sul suo password manager: l'azienda non conosce la password che sblocca il tuo archivio, il cosiddetto vault, e per questo non può accedere ai tuoi dati. La stessa pagina aggiunge la condizione che pesa di più: se la dimentichi, non esiste un modo per recuperarla, a meno che tu non abbia già una sessione attiva su un altro dispositivo con impronta digitale o Face ID accesi.

Kaspersky segue lo stesso principio con un dettaglio tecnico in più. Cifra i dati con l'algoritmo AES a chiave simmetrica, e ricava quella chiave dalla tua master password con una funzione chiamata PBKDF2. La documentazione ufficiale è netta su un punto: quella master password non viene salvata né sui tuoi dispositivi né nel cloud dell'azienda. Perderla significa che il calcolo che l'ha generata non si può rifare al contrario, per nessuno.

Google Password Manager: la chiave resta nel tuo Account

Con Google il meccanismo cambia. Nella pagina ufficiale sulla crittografia dei dati, Google spiega che oggi le password salvate vengono cifrate quando viaggiano in rete e quando arrivano sui suoi server, ma la chiave che le decifra resta custodita nel tuo Account Google. È Google stesso a usarla ogni volta che apri le password su passwords.google.com, su un dispositivo abilitato o nelle impostazioni di Chrome, compreso il controllo automatico che verifica se sono comparse in una violazione di dati.

Esiste un'alternativa, ma va attivata a mano: si chiama crittografia sul dispositivo. Una volta impostata, le password si sbloccano solo sul dispositivo con la password Google o lo sblocco schermo, e Google dichiara che a quel punto nessun altro può accedervi. La stessa pagina però avvisa che l'attivazione non si può annullare: è una scelta a senso unico, non un'opzione da attivare e disattivare secondo il momento.

Quale rischio stai davvero accettando

↗ Account Google inattivo: cosa cancella e dopo quanto

Il confronto non ha un vincitore assoluto, ha due rischi opposti. Con Norton e Kaspersky il rischio è dimenticare una password che nessuno, azienda compresa, può restituirti. Con Google Password Manager, finché resta sulle impostazioni di fabbrica, il rischio è l'opposto: recupero facile, ma la chiave non è soltanto tua. Nessuna delle due pagine ufficiali lo mette in fila come confronto: ognuna descrive solo il proprio prodotto.

C'è una conseguenza pratica di questo disegno, ed è la stessa logica per cui le banche non tengono il PIN scritto da nessuna parte: quello che un'azienda non conserva non può essere sottratto dai suoi server, né consegnato per errore, né richiesto con un ordine a cui l'azienda non può opporsi perché tecnicamente non lo possiede. Con Norton e Kaspersky quella chiave semplicemente non c'è, in nessun database. Con Google Password Manager, di default, la chiave esiste ed è nell'Account: più comoda, ma un punto in più da cui, in teoria, potrebbe uscire.

Se usi Google Password Manager e vuoi lo stesso isolamento di Norton e Kaspersky, la strada è una sola: passwords.google.com, sezione Impostazioni, voce Crittografia sul dispositivo. Attivala sapendo che, come dice Google stesso, è un biglietto di sola andata.