Una password inviata per e-mail ci resta per anni
Posta inviata, backup, inoltri: che fine fanno le credenziali incollate in un messaggio, e come evitarlo.
«Ti mando le credenziali per e-mail.» È una frase comune e sembra innocua. Eppure una password incollata in un'e-mail non scompare quasi mai.
Dove va a finire
- Nella cartella Posta inviata, e nella casella del destinatario, su ogni dispositivo sincronizzato.
- Nei backup di entrambe le caselle, spesso conservati per mesi o anni.
- Negli inoltri: un collega inoltra la conversazione a un fornitore, che a sua volta la inoltra.
- Nella ricerca: digitando «password» in una casella compromessa riaffiorano anni di credenziali.
Il giorno in cui una di queste caselle viene violata, lo sono anche tutte le credenziali che contiene. E nessuno si ricorda di averle inviate.
Come dovrebbe essere
Le credenziali condivise dovrebbero avere tre proprietà:
- Leggibili una sola volta, poi eliminate dal server.
- Con scadenza se non vengono aperte, dopo qualche ora o qualche giorno.
- Mai leggibili dall'intermediario che le trasporta.
È esattamente ciò che fa un link Sésame Éclair. Il segreto viene cifrato nel Suo browser. Il link funziona una volta (o tante volte quante Lei sceglie), poi viene distrutto. Ciò che resta nell'e-mail o nella chat è un link ormai inutilizzabile.
In pratica
- Incolli le credenziali nella pagina iniziale, scelga una scadenza breve e, per gli accessi sensibili, un PIN.
- Invii il link via e-mail o chat, e il PIN tramite un altro canale (SMS, telefonata).
- Conservi il link di monitoraggio: Le dice se il segreto è stato letto e Le permette di distruggerlo in anticipo.
- Per ricevere credenziali dai Suoi clienti, crei un link di deposito: loro inviano il segreto cifrato, e solo Lei può leggerlo.
Per le credenziali che usa ogni giorno, un gestore di password resta lo strumento giusto: Sésame Éclair serve per il momento in cui deve consegnarle.