Password in Chrome: perché ho smesso di salvarle e dovresti pensarci anche tu
La gestione delle credenziali online richiede un equilibrio tra comodità e sicurezza. I browser moderni proteggono le password salvate con diversi strumenti, ma l’accesso al dispositivo o al profilo del browser può esporre numerosi account. Per questo motivo, una soluzione sempre più considerata consiste nel separare la navigazione dalla conservazione delle credenziali e nell’utilizzare le passkey quando disponibili.
password salvate nel browser e sistemi di protezione
I gestori integrati nei browser offrono una gestione pratica delle credenziali e svolgono automaticamente numerose attività di sicurezza. Chrome, per esempio, crittografa le password archiviate sul dispositivo e utilizza le protezioni del sistema operativo per mantenere al sicuro le chiavi necessarie alla cifratura.
Nelle versioni più recenti di Chrome per Windows viene impiegata anche la crittografia associata all’applicazione, che collega l’accesso ai dati direttamente al browser. In questo modo, un altro programma non può richiedere liberamente la chiave di decrittazione.
Le protezioni riguardano anche l’utilizzo quotidiano delle credenziali. Il browser può richiedere l’autenticazione del dispositivo o dell’account prima di mostrare o modificare le password, controllare la presenza dei dati in violazioni note e associare ogni credenziale al sito corretto, riducendo il rischio di compilazioni automatiche su pagine contraffatte.
dispositivo compromesso e rischi per le credenziali
malware e accesso ai dati del browser
Le misure di sicurezza del browser non possono isolare completamente le password quando il dispositivo è già stato compromesso. Un malware installato sul computer può infatti prendere di mira le credenziali archiviate da Chrome, Firefox, Edge, Safari e altri browser.
Software malevoli come Agent Tesla e RedLine sono stati documentati mentre raccoglievano password salvate. Gli aggressori possono puntare anche ai cookie del browser, talvolta sufficienti per accedere agli account tramite sessioni già attive senza conoscere direttamente la password.
La concentrazione di molte credenziali in un unico archivio rappresenta un ulteriore elemento di rischio. Se il deposito del browser viene violato, numerosi account possono essere esposti contemporaneamente. Anche la sincronizzazione attraverso un account del browser aggiunge un altro componente alla catena di sicurezza.
gestore di password dedicato e database separato
Per mantenere il deposito delle credenziali separato dal browser è possibile ricorrere a un gestore dedicato. Tra le soluzioni disponibili rientrano 1Password, Bitwarden, KeePass e Proton Pass, che consentono di conservare le password in un ambiente distinto senza rinunciare necessariamente alla compilazione automatica.
Bitwarden, per esempio, utilizza un archivio con crittografia end-to-end. Il passaggio a un gestore indipendente, però, non elimina ogni responsabilità: occorre proteggere la password principale, mantenere sicuro l’account e assicurarsi di poter recuperare l’accesso al deposito quando necessario.
La perdita delle credenziali necessarie per entrare nel gestore può rendere difficoltoso il recupero delle password. Il vantaggio principale consiste nella separazione tra browser e archivio delle chiavi di accesso: il primo gestisce la navigazione e l’autocompilazione, mentre il secondo conserva le credenziali in un database cifrato.
passkey per ridurre l’uso delle password
accesso tramite dati biometrici e sblocco del dispositivo
Quando un servizio supporta questa tecnologia, le passkey permettono di ridurre il numero di password da gestire. Durante la registrazione, il dispositivo genera una coppia di chiavi crittografiche: il sito riceve quella pubblica, mentre la chiave privata resta presso il provider della passkey.
Gli accessi successivi vengono autorizzati tramite impronta digitale, riconoscimento del volto, PIN o sblocco del dispositivo. Poiché la passkey è associata al sito o all’applicazione per cui è stata creata, un sito di phishing non dovrebbe riuscire a indurre l’inserimento di una password riutilizzabile altrove.
Su Android, Google Password Manager può creare e conservare passkey. Anche altri gestori di password possono funzionare come provider. Le password rimangono necessarie per i servizi che non supportano questa tecnologia, mentre le passkey consentono di evitarle completamente sulle piattaforme compatibili.
separare browser e archivio delle credenziali
Salvare le password nel browser non costituisce automaticamente un errore di sicurezza: crittografia, autenticazione del dispositivo e controlli sulle violazioni offrono protezioni concrete. Un gestore dedicato, però, può garantire una separazione ulteriore tra gli strumenti usati per navigare e il database che custodisce gli accessi.
L’approccio combina quindi un archivio indipendente per le password e l’adozione delle passkey ogni volta che un servizio le rende disponibili.