Password manager nel 2026: cosa insegnano due incidenti di sicurezza su origine e fiducia
Nell'ottobre 2023 1Password ha reso noto che un aggressore era riuscito ad accedere alla sua console interna di amministrazione Okta usando un token di sessione sottratto da un file di assistenza. Nessuna cassaforte dei clienti è stata toccata, e l'architettura dell'azienda faceva sì che anche una compromissione completa dei server avrebbe restituito soltanto blocchi cifrati. Pochi mesi prima, alcuni ricercatori avevano dimostrato che KeePass 2.x poteva far trapelare gran parte della password principale di un utente da un dump della memoria, una falla catalogata come CVE-2023-32784 e corretta nella versione 2.54. Due incidenti, due prodotti molto diversi e una lezione che conta più di qualsiasi pagina promozionale: un password manager non è solo un software. È una catena di giurisdizioni, incentivi aziendali e codice che qualcuno, da qualche parte, deve poter ispezionare. Per un prodotto che custodisce le chiavi della vostra banca, della vostra posta elettronica e dei sistemi del vostro datore di lavoro, il percorso di quella catena non è una questione astratta. In Italia, dove l'Agenzia per la Cybersicurezza Nazionale e il Garante per la protezione dei dati personali raccomandano entrambi l'uso di password robuste e diverse per ogni servizio, sapere chi sta dietro lo strumento che le custodisce è il primo passo di una scelta consapevole.
Perché l'origine democratica di un password manager conta nel 2026
Nella maggior parte delle categorie di consumo il rischio geopolitico arriva in modo indiretto, attraverso le condizioni di lavoro o l'origine dei minerali. Con i password manager arriva in modo diretto. L'azienda che scrive il codice decide come vengono derivate le chiavi di cifratura, quali dati di telemetria lasciano il vostro dispositivo e come si aggiorna il client. Lo Stato in cui l'azienda opera decide se può essere costretta, in silenzio, a distribuire una versione modificata o a consegnare metadati. In una democrazia piena, richieste del genere passano per tribunali, organi di controllo e, sempre più spesso, rapporti di trasparenza. In uno Stato autoritario no. Per questo Democratic Market considera la sede giuridica dello sviluppatore e dei suoi server un criterio principale e non una nota a margine. Il Canada, sede di 1Password, ottiene 8,77 nell'indice di democrazia dell'EIU nel nostro set di dati. La Germania, dove KeePass è nato ed è tuttora mantenuto dal suo autore originale, ottiene 8,58. La Russia, patria del password manager di Kaspersky, ottiene 2,22. La crittografia dei tre prodotti può essere valida; l'ambiente istituzionale che li circonda non è paragonabile, e uno strumento di sicurezza è affidabile solo quanto la parte più debole in grado di modificarlo.
1Password: SaaS canadese costruito attorno alla Secret Key
1Password è sviluppato da AgileBits, fondata a Toronto nel 2005 da Dave Teare e Roustem Karimov. Per gran parte della sua storia l'azienda è cresciuta senza capitali esterni; nel 2022 ha raccolto 620 milioni di dollari statunitensi con una valutazione di 6,8 miliardi, e oggi vende soprattutto abbonamenti a privati, famiglie e imprese. Il suo impianto di sicurezza ha un tratto davvero distintivo. Ogni account combina la password principale con una Secret Key a 128 bit generata sul dispositivo dell'utente e mai inviata all'azienda. Le due vengono unite in un processo che 1Password chiama derivazione della chiave a doppio segreto: una copia rubata del database del server non può quindi essere attaccata con la forza bruta basandosi solo sulla password principale. È la ragione strutturale per cui l'incidente Okta del 2023 non si è trasformato in una violazione delle casseforti, e il confronto con la violazione di LastPass del 2022 è istruttivo: in quel caso furono sottratte casseforti cifrate protette solo dalla password degli utenti, poi collegate a furti di criptovalute. 1Password pubblica un dettagliato white paper sulla sicurezza, ha un'attestazione SOC 2 Tipo 2 e gestisce un programma pubblico di bug bounty. I clienti possono scegliere la regione dei dati, tra cui una canadese e una europea con il dominio 1password.eu, aspetto rilevante per qualsiasi organizzazione soggetta al GDPR. Il Canada beneficia inoltre di una decisione di adeguatezza della Commissione europea per le organizzazioni commerciali, che semplifica i trasferimenti. I compromessi sono quelli di qualsiasi SaaS a codice chiuso: non potete verificare da soli il codice del client, dipendete dalla solidità finanziaria e dalle scelte di prezzo dell'azienda e la vostra cassaforte risiede su un'infrastruttura che non controllate, gestita in pratica da grandi fornitori cloud statunitensi. Il piano individuale costa circa tre dollari al mese con fatturazione annuale; quello aziendale circa otto dollari per utente.
KeePass: open source tedesco, locale per scelta progettuale
KeePass si trova all'estremo opposto. È stato pubblicato per la prima volta nel 2003 da Dominik Reichl, uno sviluppatore tedesco che lo mantiene ancora oggi, con licenza GNU General Public License. Non c'è un'azienda, non c'è un abbonamento e non c'è un server: il programma salva tutto in un unico file KDBX cifrato che conservate dove preferite, su un portatile, una chiavetta USB o una cartella di sincronizzazione gestita da voi. L'attuale formato KDBX 4 supporta la cifratura AES-256 e ChaCha20 con derivazione della chiave Argon2, e il codice è esaminato pubblicamente da vent'anni. Nel 2016 il progetto EU-FOSSA della Commissione europea ha finanziato un audit indipendente di KeePass che non ha riscontrato vulnerabilità critiche, raro esempio di un'istituzione pubblica che paga per verificare un software su cui fanno affidamento milioni di cittadini e funzionari. Anche l'agenzia francese per la cybersicurezza ANSSI ha certificato versioni precedenti di KeePass nell'ambito del suo schema CSPN di primo livello. L'ecosistema è ampio: KeePassXC, una riscrittura multipiattaforma mantenuta dalla comunità, offre client nativi per Linux e macOS e l'integrazione con i browser, mentre app compatibili come KeePassDX su Android leggono lo stesso formato di file. Per la pubblica amministrazione italiana, che le Linee guida AgID sull'acquisizione e il riuso del software spingono a valutare prima le soluzioni open source, KeePass rappresenta un caso esemplare. I punti deboli sono altrettanto chiari. KeePass presuppone che sia l'utente a gestire sincronizzazione, backup e igiene dei dispositivi; la falla del dump di memoria del 2023 ha mostrato che un software locale è sicuro solo quanto la macchina su cui gira; e non c'è un fornitore da chiamare quando un dipendente dimentica la password principale. Per chi accetta questa responsabilità, però, offre qualcosa che nessun SaaS può dare: una cassaforte che non deve mai lasciare una giurisdizione democratica scelta da voi.
Password manager a rischio democratico: Kaspersky e app gratuite opache
Il caso ad alto rischio più evidente in questa categoria è Kaspersky Password Manager, sviluppato dalla società di sicurezza con sede a Mosca. La Russia ottiene 2,22 nell'indice dell'EIU ed è classificata come regime autoritario. Kaspersky sostiene da tempo che il trattamento dei dati degli utenti europei avviene in Svizzera e che il suo codice può essere esaminato in appositi centri di trasparenza, ma i governi hanno tratto le proprie conclusioni. In Italia, dopo l'invasione dell'Ucraina, il decreto-legge 21 marzo 2022, n. 21 ha imposto alle pubbliche amministrazioni di diversificare i prodotti di sicurezza informatica di aziende legate alla Federazione Russa, e l'Agenzia per la Cybersicurezza Nazionale ha raccomandato la stessa cautela alle imprese. Il BSI tedesco ha messo in guardia dagli antivirus Kaspersky nel marzo 2022 e, nel giugno 2024, il Dipartimento del Commercio statunitense ha vietato la vendita di software Kaspersky, con la fine degli aggiornamenti per i clienti americani esistenti nel settembre dello stesso anno. Un password manager che riceve aggiornamenti automatici da un'azienda che potrebbe essere costretta dal diritto russo è un rischio che nessuna cifratura, per quanto solida sulla carta, elimina. Il secondo gruppo di rischio è più difficile da definire con precisione: app gratuite per le password negli store mobili la cui identità dello sviluppatore, proprietà e ubicazione dei server non sono chiare. Le nostre verifiche trovano regolarmente app che indicano una società di comodo in un Paese, server in un altro e team di sviluppo in un terzo, talvolta in Stati con punteggi EIU inferiori a 4. Se non è possibile stabilire chi scrive il codice e quali tribunali possono obbligare chi lo scrive, Democratic Market considera il prodotto di origine opaca, e un'origine opaca in una cassaforte di credenziali comporta l'esclusione automatica.
1Password vs KeePass vs alternative: funzioni, prezzo e profilo democratico
Sul piano delle funzioni, 1Password è il prodotto più rifinito. Offre una sincronizzazione fluida tra Windows, macOS, Linux, iOS, Android e browser, l'archiviazione delle passkey, casseforti condivise con permessi granulari, gli avvisi di violazione Watchtower, la gestione delle chiavi SSH e una console di amministrazione con provisioning SCIM per le aziende. KeePass offre una cifratura robusta, plugin, digitazione automatica e pieno controllo locale, ma sincronizzazione, condivisione e passkey dipendono da plugin o fork di terze parti, e l'interfaccia mostra i suoi anni. Sui costi, KeePass è gratuito per sempre; 1Password costa circa 36 dollari l'anno per un privato e circa 96 dollari per utente all'anno per una postazione aziendale. Sul profilo democratico, entrambi ottengono buoni risultati: il Canada con 8,77 e la Germania con 8,58 sono democrazie piene con tribunali indipendenti e una solida normativa sulla protezione dei dati. La vera differenza sta in dove risiede il controllo. Con 1Password la fiducia è delegata a un'azienda canadese e ai suoi fornitori cloud; con KeePass resta all'utente, che può tenere il file in Italia, in Svezia (9,39) o a casa. Altre due opzioni meritano un posto in qualsiasi confronto. Bitwarden, con sede negli Stati Uniti (7,85), è open source, sottoposto ad audit indipendenti e installabile in self-hosting, anche tramite il server comunitario in Rust Vaultwarden. Proton Pass, della ginevrina Proton AG, porta la giurisdizione svizzera (9,15) e la cifratura end-to-end in un modello freemium. Nessuno dei due sostituisce i prodotti di questo confronto, ma entrambi dimostrano che comodità e trasparenza non si escludono più a vicenda.
Normativa UE nel 2026: GDPR, NIS2 e Cyber Resilience Act
Il quadro normativo europeo per i password manager si è inasprito in modo considerevole. Il GDPR continua ad applicarsi a qualsiasi cassaforte che contenga dati personali, cioè in pratica a tutte, e rende l'ubicazione di server e sub-responsabili una questione di conformità per ogni azienda che usa un gestore in modalità SaaS. La direttiva NIS2, che gli Stati membri dovevano recepire entro ottobre 2024, obbliga i soggetti essenziali e importanti ad adottare politiche di controllo degli accessi e di autenticazione; l'Italia l'ha recepita con il decreto legislativo 4 settembre 2024, n. 138, e l'Agenzia per la Cybersicurezza Nazionale ha avviato la registrazione dei soggetti interessati sulla propria piattaforma. I revisori chiedono sempre più spesso quale gestore di credenziali sia in uso e dove risiedano i suoi dati. Il cambiamento più rilevante è il Cyber Resilience Act, in vigore da dicembre 2024. I suoi obblighi di segnalazione di vulnerabilità e incidenti si applicano da settembre 2026, mentre i requisiti completi di sicurezza fin dalla progettazione si applicheranno da dicembre 2027. I password manager venduti sul mercato UE dovranno disporre di una gestione documentata delle vulnerabilità, di aggiornamenti di sicurezza per l'intera durata di vita prevista del prodotto e di una distinta base del software. Il regolamento esenta il software open source sviluppato al di fuori di un'attività commerciale e introduce un regime più leggero per gli steward open source, aspetto rilevante per KeePass. I fornitori commerciali come 1Password dovranno dimostrare direttamente la conformità. Per gli acquirenti l'effetto pratico è positivo: entro il 2027 ogni password manager venduto nell'UE dovrà spiegare come gestisce le falle, e chi non sarà in grado di farlo sparirà dal mercato.
Come valuta Democratic Market i password manager
La nostra metodologia per questa categoria pondera cinque fattori. Primo, la giurisdizione dell'entità che controlla lo sviluppatore, valutata secondo l'indice dell'EIU; tutto ciò che è sotto 6,0 viene escluso, e qualsiasi assetto proprietario poco chiaro viene trattato come escluso fino a prova contraria. Secondo, l'ubicazione di server e sub-responsabili per i dati sincronizzati, compresa la possibilità per gli utenti di scegliere una regione UE. Terzo, la verificabilità: se il codice del client è aperto, se vengono pubblicati audit indipendenti e quanto sono recenti, e se esiste un programma di bug bounty. Quarto, l'architettura crittografica, in particolare se una compromissione del solo server possa esporre le casseforti. Quinto, la portabilità, ossia la possibilità di esportare la propria cassaforte in un formato aperto e cambiare fornitore. Secondo questo schema, KeePass ottiene i punteggi più alti per verificabilità e portabilità, mentre 1Password eccelle per architettura e facilità d'uso ma perde punti per il codice chiuso. Entrambi superano ampiamente la soglia. Kaspersky Password Manager non supera il primo passaggio, indipendentemente dai suoi meriti tecnici. Aggiorniamo queste valutazioni quando l'EIU pubblica il suo indice annuale, quando un prodotto cambia proprietà o quando viene reso noto un incidente significativo, come accaduto a entrambi i prodotti nel 2023.
Guida all'acquisto passo dopo passo per un password manager democratico
Cominciate decidendo chi custodirà le chiavi. Se gestite le password di una famiglia o di un piccolo team e apprezzate la comodità, un modello SaaS è ragionevole, purché il fornitore abbia sede in una democrazia piena e offra una regione di dati europea o canadese. Se siete un singolo utente esperto, oppure lavorate nel giornalismo, nell'attivismo o in qualsiasi ruolo in cui l'accesso da parte dello Stato sia una minaccia concreta, una cassaforte locale come KeePass o KeePassXC lascia la decisione nelle vostre mani. Secondo, verificate la sede giuridica dello sviluppatore e il punteggio EIU del suo Paese prima di scaricare qualsiasi cosa, e ignorate le app la cui scheda nello store non indica un'azienda reale con un indirizzo. Terzo, cercate un audit indipendente pubblicato negli ultimi tre anni. Quarto, impostate una password principale lunga e unica, idealmente una passphrase di cinque o più parole casuali, e attivate l'autenticazione a due fattori su ogni account cloud. Quinto, provate la funzione di esportazione fin dal primo giorno, così da sapere che potete andarvene. Sesto, se scegliete KeePass, definite subito una routine di backup: almeno una copia cifrata offline e una in una cartella di sincronizzazione ospitata in una giurisdizione democratica. Infine, migrate gradualmente, partendo da posta elettronica e home banking, e cancellate le vecchie password dai browser una volta che la nuova cassaforte funziona.
Conclusione: quale password manager dovrebbe scegliere il consumatore democratico
Tra 1Password e KeePass non esiste una risposta sbagliata, ed è proprio questo il senso del confronto. Entrambi sono sviluppati in democrazie piene, entrambi hanno superato lo scrutinio pubblico di incidenti reali ed entrambi proteggono le casseforti con una crittografia robusta e ben documentata. La scelta dipende da chi volete che sia il depositario della vostra fiducia. Se preferite un servizio gestito con ottima sincronizzazione, condivisione e supporto alle passkey, 1Password è il prodotto più forte, e la sua base canadese con la regione di dati europea gli assicura un solido profilo democratico; mettete in conto circa 36 dollari l'anno. Se volete zero costi ricorrenti, codice aperto verificato con fondi pubblici e una cassaforte che non lascia mai la giurisdizione da voi scelta, KeePass o KeePassXC sono più adatti, a condizione di assumervi la responsabilità di backup e sicurezza dei dispositivi. Ciò che sconsigliamo è qualsiasi password manager il cui sviluppatore risponda a uno Stato autoritario o non sia nemmeno identificabile. In questa categoria, più che in quasi ogni altra, l'origine non è una dichiarazione di valori sovrapposta al prodotto. È parte integrante del modello di sicurezza.