Qualcuno ha bisogno della password del Wi-Fi, dell'account di streaming, dell'accesso al gestionale delle fatture. La scrivi in chat, l'altra persona ringrazia, lo scambio è durato tre secondi. Solo che non è finito: quel messaggio resterà su due dispositivi, in un backup nel cloud e forse in un archivio aziendale molto dopo che quella persona ha lasciato il team, la casa o la relazione.
Perché i canali ovvi non bastano
L'istinto è preoccuparsi dell'intercettazione, ed è per questo che la prima domanda è «è cifrato?». Non è la prima domanda giusta. Oggi la posta viaggia in TLS tra i server e le grandi app di messaggistica cifrano end-to-end: il cavo è raramente il punto in cui una password condivisa si perde.
Quello che non regge è la persistenza. Un messaggio è una copia che continua a esistere:
- Resta per impostazione predefinita nei tuoi inviati e nella posta in arrivo dell'altra persona, e nessuno dei due si ricorderà di cancellarlo.
- Viene inghiottito da ogni backup successivo, compresi quelli che non controlli.
- Su un account di lavoro è soggetto alle politiche di conservazione e un amministratore può riportarlo a galla in seguito.
- Sopravvive alla relazione che lo giustificava. Un accesso dovrebbe finire quando finisce il suo motivo; un messaggio non lo sa.
Il post-it attaccato al monitor è la caricatura della cattiva sicurezza, e se lo merita. Ma ha una proprietà che il messaggio non ha: si vede, e si può buttare.
Che cosa serve davvero per condividere in sicurezza
Quattro proprietà, e un metodo vale quanto la più debole che soddisfa:
- Cifrato a riposo, non solo in transito. Il segreto deve essere illeggibile dove è conservato, non soltanto lungo il tragitto.
- Destinato a una persona, non a un dispositivo o a un indirizzo. Un numero si può portare altrove, una casella si può riaprire su un'altra macchina. Un account che puoi nominare è un accesso che puoi revocare.
- Revocabile. Devi poter chiudere l'accesso senza la collaborazione dell'altra persona e senza cambiare la password per tutti gli altri.
- Con scadenza, o almeno finito. Un accesso senza data di fine sopravvive sempre al suo scopo.
E-mail e chat falliscono completamente sui punti 3 e 4. È tutta qui la questione.
I tre metodi che funzionano
Condividere dentro un password manager. Ogni manager serio ha un meccanismo apposta: una cassaforte o una raccolta condivisa, dove l'elemento esiste una volta sola e più persone identificate possono usarlo. La credenziale è conservata cifrata, il destinatario la vede dalla propria cassaforte, e tu revochi l'accesso da un'unica schermata quando non è più giustificato. È la scelta predefinita corretta quando la condivisione è duratura e non occasionale.
Mandare un link cifrato che scade. Per chi non ha un manager, Bitwarden Send crea un link cifrato con data di cancellazione e, se serve, un numero massimo di accessi e una password di apertura. Il destinatario non ha bisogno di un account. Manda il link e quella password su due canali diversi, così che nessuno dei due basti da solo.
Non condividere affatto: delegare. La risposta più solida è spesso che l'altra persona ottenga le proprie credenziali. Un piano famiglia dà a ciascun membro la sua cassaforte, uno strumento aziendale dà a ogni dipendente il suo accesso, e l'SSO dà all'amministrazione un unico punto in cui staccare. Costa un po' di più ed elimina un'intera categoria di problemi: nessuno deve imparare un segreto, quindi nessuno può dimenticarlo.
Il caso in cui condividere è lo strumento sbagliato
Se l'account è professionale e più persone ne hanno bisogno, una password condivisa è un sintomo, non una soluzione. Vuol dire che il servizio è usato fuori dal modello di accesso per cui è stato progettato, e produce la tracciabilità che nessuno vuole: azioni attribuite a un account invece che a una persona. Quando la risposta a «chi è stato?» è «l'utenza condivisa», il metodo di condivisione non era il vero problema.
Dopo lo scambio
Se la password è uscita da un canale che non puoi ripulire, cambiala quando l'urgenza è passata. Non per paranoia, ma perché la copia è permanente e non costa nulla conservarla, mentre il cambio ti costa un minuto. E se hai condiviso tramite un manager, fai la cosa noiosa che dà senso a tutto il resto: revoca l'accesso quando il suo motivo scompare, non il giorno in cui ti ricordi che esiste.
Domande frequenti
Qual è il modo più sicuro per condividere una password?
La funzione di condivisione di un password manager, non un'app di messaggistica. La credenziale viaggia cifrata, è destinata a un account identificato e non a un numero di telefono o a una casella di posta, e l'accesso può essere revocato in seguito senza che nessuno debba ricordare che cosa è stato inviato. Se l'altra persona non usa un manager, la seconda scelta migliore è un link cifrato che scade da solo, come Bitwarden Send.
Si può mandare una password via e-mail?
No, e il motivo non è l'intercettazione durante il transito, ormai rara presso i grandi provider. Il problema è la persistenza: il messaggio resta per anni nella tua cartella inviati e nella posta in arrivo dell'altra persona, finisce in ogni backup e segue l'account nelle esportazioni e nelle migrazioni di casella. Una password inviata nel 2023 è ancora leggibile oggi da chiunque entri in una delle due caselle.
E WhatsApp o Signal, che cifrano end-to-end?
La cifratura end-to-end protegge il messaggio mentre attraversa la rete, cioè proprio la parte che era già meno esposta. Non fa nulla contro la copia che resta poi su entrambi i telefoni, contro i backup delle conversazioni nel cloud, né contro il fatto che il telefono del destinatario può essere sbloccato da qualcun altro. Cifrare il trasporto e controllare la copia sono due problemi diversi, e condividere un segreto li richiede entrambi.
Come condivido una password con chi non usa un password manager?
Con un link che scade. Bitwarden Send crea un link cifrato con una data di cancellazione e, se vuoi, un numero massimo di accessi e una password di apertura; il destinatario non ha bisogno di alcun account. Manda il link e quella password su due canali diversi e, se l'account conta, considera la credenziale da rinnovare una volta concluso lo scambio.
Le passkey si condividono come le password?
Non allo stesso modo e non ovunque. Diversi manager permettono ormai di condividere una passkey dentro una cassaforte o un'organizzazione, ma il supporto cambia da fornitore a fornitore e da piattaforma a piattaforma: verifica che cosa documenta il tuo invece di darlo per scontato. Le passkey nascono come credenziali personali, ed è per questo che l'accesso delegato è di solito la risposta migliore quando più persone devono raggiungere lo stesso account.
Bisogna cambiare la password dopo averla condivisa?
Se è passata da un canale che non puoi ripulire, sì. Una password inviata per e-mail o in chat va considerata esposta in modo duraturo a chiunque entri più avanti in uno dei due account: cambiala quando l'urgenza è passata. Se è stata condivisa tramite un manager e poi revocata, cambiarla serve solo se hai motivo di pensare che sia stata copiata fuori.