La password che digiti decine di volte al giorno ha un luogo di nascita: un unico computer gigante del MIT, all'inizio degli anni '60. Ancora più interessante, le prime password di computer conosciute al mondo furono rubate in blocco poco dopo l'inizio dell'uso. E non da una banda di hacker, ma da un dottorando che voleva più ore di calcolo.
Un computer, decine di utenti
All'inizio degli anni '60 i computer erano macchine che riempivano stanze e facevano un solo lavoro alla volta. Perforavi il programma su schede, lo mettevi in coda e ricevevi il risultato dopo ore. Al MIT il team di Fernando Corbató volle cambiare le cose: un sistema in cui molte persone potessero usare la stessa macchina contemporaneamente da un terminale, cioè il "time-sharing".
Il nome di questo sistema era CTSS (Compatible Time-Sharing System). Fu mostrato per la prima volta nel novembre 1961 su un IBM 709 modificato del MIT e negli anni successivi girò su IBM 7094. Come riporta anche Wikipedia, il CTSS è considerato il primo sistema informatico ad applicare l'accesso con password.
Perché serviva la password?
Il problema era semplice: sulla stessa macchina decine di persone avevano i propri file e il tempo di calcolo assegnato. Serviva un modo per distinguere chi era chi. Corbató raccontò anni dopo a Wired che mettere una password come serratura per ogni utente era sembrata "una soluzione molto semplice".
Corbató era prudente anche nel proclamarsi "il primo". Disse che probabilmente anche il sistema di prenotazione Sabre di IBM del 1960 usava password, ma poiché non ne è rimasta traccia non si sa nulla di certo. Anche sull'anno esatto in cui le password furono aggiunte al CTSS le fonti dicono cose diverse. Quello che sappiamo è questo: nella primavera del 1962 il sistema di password funzionava, perché in quella primavera fu rubato.
Il piano del venerdì sera di Allan Scherr
Allan Scherr era un ricercatore che faceva il dottorato al MIT ed eseguiva simulazioni complesse. Secondo Wired, sul CTSS gli erano assegnate solo quattro ore a settimana (alcune fonti dicono quattro ore al giorno). Quel tempo non gli bastava.
La soluzione fu intelligente, ma altrettanto birichina. Sfruttando la funzione del sistema di stampare i file offline, preparò una scheda perforata che richiedeva la stampa del file delle password. Mise la scheda in coda a tarda sera di un venerdì, tornò presto il sabato mattina e ritirò la stampa. A quel punto aveva le password di tutti gli utenti del sistema.
Per non lasciare tracce, condivise le password anche con altri utenti. Secondo Wired, uno di loro, J.C.R. Licklider, entrò nell'account del direttore del laboratorio Robert Fano e lasciò messaggi beffardi. Scherr non fu mai preso e, circa un quarto di secolo dopo l'episodio, lo confessò personalmente a Fano. Fano gli diede la rassicurazione che il suo dottorato non gli sarebbe stato tolto.
Allora e oggi
| Allora (anni '60) | Oggi |
|---|---|
| Password in chiaro in un unico file | Password con hash unidirezionale |
| Bastava una scheda perforata per ottenere la stampa | Registri di accesso, livelli di autorizzazione |
| Scopo: condividere il tempo di calcolo | Scopo: proteggere identità, denaro, dati personali |
| Una macchina, un campus | Decine di account a persona |
Il motivo per cui questa storia è ancora istruttiva oggi è questo: la password, dal giorno in cui è stata inventata, viene messa alla prova dal comportamento umano. Scherr non fece un attacco complesso per forzare il sistema, usò semplicemente in modo inatteso una funzione che il sistema già offriva. Anche una parte importante delle fughe di dati di oggi nasce da errori semplici di questo tipo.
Corbató ricevette il Turing Award nel 1990 per il suo lavoro nel time-sharing. La serratura che il suo team aggiunse come "soluzione semplice" oggi sta davanti a ogni porta, dalla tua e-mail alla tua banca, e l'anello più debole è ancora spesso la persona che usa quella serratura.
Secondo te, oggi siamo pronti ad abbandonare del tutto le password e passare completamente alla biometria o alle passkey?