Controllo password di Google: è affidabile? Cosa invia davvero a Google

«Il Controllo password di Google è affidabile?» è una domanda ragionevole prima di affidare qualunque cosa a uno strumento di sicurezza. La risposta breve è sì, è una funzione autentica di Google. Ma ciò che le persone chiedono davvero sta un livello più sotto: se confronta le mie password con database di violazioni, Google vede le mie password?

A quella domanda esiste una risposta precisa e documentata.

Che cos'è

Il Controllo password confronta le credenziali che hai salvato con un insieme di credenziali note per essere comparse in violazioni di dati di terze parti, e ti segnala quando una delle tue emerge. Google lo ha presentato sul proprio Online Security Blog nel febbraio 2019.

La premessa è semplice. Miliardi di coppie nome utente e password sono trapelate negli anni. Se una delle tue è tra queste e la stai ancora usando, chiunque scorra quegli elenchi può entrare in quell'account. Verificare conviene.

Il problema di privacy da risolvere

Ecco la difficoltà, nelle parole di Google. La funzione deve interrogare lo stato di compromissione di nome utente e password senza rivelare l'informazione interrogata. Allo stesso tempo deve garantire che nel processo non trapelino informazioni su altre credenziali non sicure, e che il tentativo per forza bruta non sia praticabile.

Sono requisiti che tirano in direzioni opposte. Un'implementazione ingenua invierebbe la tua password, o un suo semplice hash, a un server chiedendo «è in elenco?». Così si consegnerebbe al server esattamente ciò che non dovrebbe mai ricevere.

Come evita di inviare la tua password

Google descrive l'approccio come basato su più round di hashing, k-anonimato e private set intersection con blinding, una scelta pensata per bilanciare privacy, costo di calcolo e latenza di rete.

Ogni componente svolge un compito preciso:

I round multipli di hashing fanno sì che il valore grezzo non lasci mai il tuo dispositivo e che il valore derivato sia costoso da attaccare per forza bruta.

Il k-anonimato raggruppa la tua richiesta con abbastanza altre da non poter essere collegata a te in particolare. Impedisce inoltre che la verifica riveli informazioni sulle altre credenziali compromesse presenti nel database.

Private set intersection con blinding (intersezione privata di insiemi con mascheramento crittografico) è il nucleo del meccanismo. Permette a due parti di stabilire se un elemento appartiene a un insieme condiviso senza che nessuna delle due riveli ciò che detiene. Il blinding è ciò che mantiene illeggibile per Google il valore che stai verificando, mentre il confronto continua a produrre una risposta corretta.

Il risultato: la risposta torna indietro, e ciò che ha viaggiato non è la tua password.

Cosa non copre

È qui che essere onesti conta più che essere rassicuranti.

Il Controllo password esamina le credenziali che riesce a vedere, cioè quelle salvate nel tuo account Google o nel gestore password del browser. Quel perimetro ha confini concreti:

• le password che non hai mai salvato su Google gli sono invisibili
• le password conservate solo in un gestore diverso sono fuori dalla sua portata
• i vecchi account dimenticati non possono essere verificati, perché nulla sa che esistono
• segnala le violazioni già presenti nel set di dati, quindi una fuga non ancora emersa non comparirà

Nulla di tutto ciò rende lo strumento scadente. Lo rende parziale, e sapere dove uno strumento si ferma è la differenza tra usarlo bene e fidarsene ciecamente.

Cosa significa davvero un avviso

Una corrispondenza ti dice che una credenziale uguale alla tua è comparsa in una violazione da qualche parte. Non afferma che quello specifico account sia stato violato.

La reazione corretta non dipende da questa distinzione:

1. Cambia la password di quell'account, scegliendone una univoca che non hai mai usato altrove.
2. Individua dove altro l'hai riutilizzata. È il passaggio che le persone saltano, ed è quello che conta di più: il riutilizzo è il meccanismo che converte la violazione di un'azienda in cinque tuoi account compromessi.
3. Attiva l'autenticazione a due fattori ovunque sia disponibile, così che una password rubata da sola non basti più.

Se il secondo passaggio ti sembra impossibile perché davvero non ricordi dove sia finita una password, quello è il vero risultato dell'analisi. Ed è anche l'argomento a favore di un gestore di password dedicato: non perché la verifica di Google sia inaffidabile, ma perché un gestore conosce ogni credenziale che possiedi, sa generarne di univoche e può segnalarti un riutilizzo prima che lo faccia una violazione.

In breve

Il Controllo password è legittimo, e la preoccupazione per la privacy che spinge le persone a cercare rassicurazioni è proprio quella che Google ha affrontato con l'ingegneria invece di ignorarla: hashing, k-anonimato e private set intersection con blinding fanno sì che la verifica avvenga senza che la tua password venga letta.

Il suo limite è il perimetro, non l'onestà. Vede ciò che hai salvato su Google, e nient'altro. Usalo, agisci su ciò che trova, e ricorda che il riutilizzo che non può vedere è la parte con più probabilità di farti male.

La descrizione del Controllo password, incluso il requisito di progettazione dichiarato di interrogare lo stato di compromissione senza rivelare l'informazione interrogata, e l'uso di più round di hashing, k-anonimato e private set intersection con blinding, proviene dal post del Google Online Security Blog che ha presentato la funzione nel febbraio 2019. Le implementazioni evolvono; verifica il comportamento attuale sulla documentazione ufficiale di Google prima di affidarti a un dettaglio specifico. I link commerciali riportano l'attributo rel="sponsored nofollow"; può essere applicata una commissione di affiliazione senza costi aggiuntivi per te.