La prima linea di difesa, come appena detto, consiste nel mascherare i files critici con nomi che non c'entrino assolutamente nulla, e di piazzarli in directories anch'esse dai nomi fuorvianti. In questo modo, non saltano subito all'occhio i documenti "sensibili". Ma questa difesa, in realtà, può essere immediatamente superata se Mister X usa la funzione "Find" di Windows: inserirà le parole chiave che gli interessa trovare (ad esempio, il nome della moglie o del suo dipendente), ed aspetterà pazientemente quei pochi minuti necessari a Windows per identificare il file che contiene tali parole. Non importa se l'abbiamo chiamato "torneotennis.doc": essendovi dentro il nome che cercava, Mister X può capire subito che abbiamo semplicemente fatto un rudimentale tentativo di depistaggio.
Dobbiamo ricorrere a protezioni più forti. L'ideale sarebbe impedire a Mister X di aprire o modificare i files che gli interessano: e la soluzione esiste.

Si tratta di impostare le passwords di apertura e scrittura di Word ed Excel. Ogni volta che salviamo un file, abbiamo la possibilità di associarvi una password da digitare obbligatoriamente per poterlo aprire, oppure anche solo per modificarlo. In questo modo, Mister X dovrà digitare la password corretta, ma se la scegliamo bene (vedi dopo la sezione apposita), è ben difficile che la indovini.
Provate, aprendovi un nuovo documento di Word, scrivendovi poche righe e selezionando Salva con Nome. Dalla finestra che vi si apre selezionate Strumenti, Opzioni Generali. In basso troverete due caselle: "password di apertura" e "password di modifica". Selezionando la prima (e digitando la password che vi sarà richiesta per due volte), impedite di visionare il documento a chi non digita la password corretta. Selezionando la seconda, il file sarà visibile, ma non sarà possibile modificarne nemmeno un carattere senza introdurre l'apposita password (ovviamente potete anche abbinarle, possibilmente con due password diverse).
Bene, abbiamo costruito una buona linea di difesa. Ma i problemi iniziano adesso. Se Mister X sa qualcosa di computer, sa che ci sono almeno tre modi per aggirare la nostra protezione: ricerca di vecchie copie cancellate, utilizzo di editor esadecimali oppure di password cracker.

A) Ricerca di vecchie di vecchie copie cancellate:

Come qualcuno saprà sicuramente, quando cancelliamo un file in un sistema Windows, in realtà non l'abbiamo per nulla eliminato !
Ogni documento è registrato in apposite "caselline" sul disco fisso; quando noi diciamo al sistema di cancellare un file, in realtà Windows non cancella quelle caselline, ma si limita solo a contrassegnarle come "riscrivibili". Questo significa che, con l'aiuto di appositi software di "undeleting" è possibile recuperare tutti il contenuto di tutte le caselline che non siano stati già state sovrascritte... e quindi recuperare vecchi documenti che noi eravamo sicuri di aver eliminato definitivamente !

Programmi per il recupero dei dati cancellati sono facilmente reperibili: nella suite delle Norton Utilities (in vendita in ogni ipermercato), ad esempio, vi è il celeberrimo e potente "Undelete", ad un costo di poche decine di euro. Come proteggersi ? Esistono in circolazione dei software specifici, detti di "wiping" (wipe: cancellare accuratamente), che permettono di eliminare ogni evidenza dei nostri documenti avendo cura di cancellare un file e di sovrascrivere immediatamente, per numerose volte, le caselline dove era registrato. In questo modo, ogni traccia del documento originario è stata definitivamente eliminata. La maggior parte dei software di Wiping sono compresi all'interno di suite di sicurezza più ampie, quali PGP o diverse suite Norton e McAfee. Il funzionamento è elementare: lo si attiva, si seleziona il file da eliminare e si conferma la richiesta; quel documento va immediatamente incontro al riposo eterno.

Laddove sia possibile impostare il numero di sovrascritture, mettetelo a 10 (tenete conto che il Dipartimento della Difesa USA considera sufficienti 7 passaggi di riscrittura; è anche vero però che il perfezionamento dei software di undeleting può rendere consigliabile l'"andare sul sicuro").
Ma siate prudenti: ricordate che cancellare un file con queste modalità lo pone aldilà di qualunque possibilità di recupero !

Due ultime annotazioni: secondo la legge sulla privacy, siamo tenuti a conservare le documentazioni di casi clinici per almeno 5 anni; a stretto rigore, anche dei files "wipati" sono in alcuni casi parzialmente recuperabili, attraverso alcuni complessi processi di analisi delle debolissime tracce magnetiche rimaste sul supporto. Fortunatamente, questo tipo di analisi sono conducibili solo in laboratori attrezzati, da organizzazioni a livello governativo.

B) Editor Esadecimali:

Un editor esadecimale è un software ad uso professionale che permette di analizzare la struttura di un file ad un livello veramente elementare; in questo modo, diviene possibile visualizzare anche il contenuto di file testuali "protetti", se scritti con vecchie versioni di alcuni word processor.
Procurarsi un HexEditor, o editor esadecimale, non è affatto difficile: come al solito, se ne trovano di semplicissimi e gratuiti su parecchi siti Internet.
Il più noto è probabilmente l'ottimo UltraEdit.
La soluzione a questo problema è l'utilizzo di versioni avanzate di Word (ad esempio), o, molto meglio, la crittografia dei documenti riservati, come vedremo nell'ultima sezione di questa guida.

C) Password Cracker:

La soluzione più semplice per violare la sicurezza di un file di Word o Excel protetto da password è quella di usare un software apposito, detto "password cracker", un "rompipassword". Tali programmi "sparano" ad alta velocità tutte le password possibili, riuscendo ad indovinarla in tempi decisamente ragionevoli se questa è stata scelta male o è molto breve. La fragilità del sistema di passwording dei file di Office è una criticità ben conosciuta, nei sistemi Microsoft, che solo recentemente (con Office 2000 e 2002) inizia ad essere ridotta (pur permanendo sempre). Ma per capire meglio il discorso sulle password, passiamo alla prossima sezione.

In definitiva: vale la pena proteggere i documenti con le password ? La risposta è: sicuramente si, se si ha l'accortezza di sceglierla bene e di usare una delle ultime versioni di Office; ci si garantisce così un discreto livello di sicurezza contro intrusioni effettuati da parte di persone poco "informatizzate". Ma è molto meglio associarvi altre forme di protezione dei files, soprattutto di tipo crittografico (vedi ultima parte). Adesso andiamo ad imparare cosa si intende con "buona password".

Come abbiamo visto, si tratta di semplici programmi che provano tutte le combinazioni possibili di lettere, numeri e caratteri, "sparandole" ad altissima velocità una dopo l'altra. Un attacco del genere è chiamato "attacco a forza bruta" (brute force). Un programma adeguato è in grado di scoprire in pochi secondi password alfanumeriche di 3 caratteri.
È importante ricordare che il tempo di calcolo aumenta esponenzialmente, e dunque l'attacco a forza bruta è meno efficace, al crescere del numero dei caratteri della password, ed all'aumento del tipo di caratteri che possono essere compresi: lettere (maiuscole e minuscole), numeri, caratteri speciali (come $%-!...).
Ogni tipologia di caratteri di questo genere costituisce una vera e propria categoria aggiuntiva di caratteri da aggiungere a quelli da "provare" per comporre la password (si parla di "ampliamento dello spazio delle password").
Anche inserendo un solo numero od un solo carattere speciale nella nostra password, costringiamo il programma che attacca a forza bruta ad aggiungere alle sue permutazioni l'intera categoria in questione, allungando enormemente i tempi di calcolo.

C'è da sapere un altra cosa, sui programmi di password cracking. L'attacco a forza bruta, a livello teorico, è il più efficace, perchè prova tutte le combinazioni possibili, e quindi, prima o poi, troverà quella giusta. Ma è anche l'attacco più "stupido" ed inefficiente, proprio perchè prova *tutte* le combinazioni, comprese le più improbabili per l'utilizzatore medio (brt$2Fg!ee). Siccome la stragrande maggioranza delle persone usa comunque delle parole di uso comune come base per la costruzione delle proprie password, i migliori attacchi sono quelli "a dizionario": prima di iniziare a provare tutte le permutazioni possibili, il programma invia una lunga serie di parole "comuni"; in molti casi si riesce "ad azzeccare" una password senza troppe difficoltà. Esistono moltissimi "dizionari", in tutte le principali lingue, che riportano centinaia di parole di uso comune, o spesso usate come password. Se usate password come "tastiera", "monitor", "12345", "computer", "italia", "segreto", potete stare sicuri che verranno forzate in meno di un'ora.
Allora, quale può essere una buona password ?

In primo luogo, deve essere sufficientemente lunga e complessa da rappresentare una sfida non facilmente superabile con un attacco a forza bruta: dunque, almeno di 8-10 caratteri, e con l'utilizzo di almeno 1 numero, 1 carattere speciale ed una lettera maiuscola (o minuscola). Se utilizziamo una parola comune come base della password, questa non dovrebbe essere legata in maniera chiara a noi, la nostra vita od i nostri interessi (ad es., un neurologo non dovrebbe usare la password "neurone"). Il caso migliore è quello in cui la password è un insieme casuale di numeri, lettere e caratteri speciali. In questo caso, l'unico modo per forzarla è la forza bruta, ma con una password del genere, sufficientemente lunga (15-16 caratteri), potrebbero essere necessari moltissimi anni...
Infatti, passwords di meno di 5 caratteri possono essere indovinate in poche ore da un normale PC, ma già salendo verso i 7-8 caratteri iniziano ad essere necessari parecchi giorni o settimane. Oltre i 13-14 caratteri alfanumerici (ampliando al massimo lo spazio delle password, aggiungendovi i caratteri speciali, le maiuscole, etc.), si inizia a parlare di molti mesi od anni, anche se l'attacco viene condotto in maniera coordinata da un gruppo di computer molto potenti.

Il vero problema di questo tipo di password è che è difficile ricordarsele, con conseguente tendenza ad appuntarsele in luoghi ben visibili, od addirittura in un file di testo, conservato in chiaro nel proprio hard disk (e magari dal nome "passwords.txt"). Quest'ultimo caso è pericolosissimo, perchè un controllo del genere è di "routine" per ogni persona che cerca di accedere al nostro PC con intenti "pirateschi".

Dunque, il miglior compromesso tra sicurezza e facilità di memorizzazione è una password lunga, basata su una parola di uso non comune, ed a cui sono aggiunti, in maniera casuale, un paio di numeri e di caratteri speciali (e di lettere maiuscolo/minuscole).
Ad esempio: "Solipsistico!3", "#Re1perimento", "geo37()Referenziati".
Si suggerisce, solitamente, di cambiare le proprie passwords almeno ogni 3-6 mesi: questo per rendere più difficile il lavoro a qualcuno che sta "lavorandosi" una nostra password, magari da un pò di tempo, per cercare di forzarla.

Infine, esistono dei programmi specifici che permettono di conservare, criptate, tutte le password che usiamo per i mille programmi o servizi che oggi le richiedono: in questo caso, è sufficiente ricordarsi solo la prima password, che "protegge" tutte le altre. Questi programmi sono abbastanza efficaci, soprattutto quelli che usano algoritmi di crittografia "robusti"; ma bisogna stare attenti a selezionare in maniera molto rigorosa la prima password, secondo i criteri appena descritti: se infatti viene forzata la prima, "saltano" anche tutte le altre. Un'altra raccomandazione: usate programmi di questo tipo solo se sono stati prodotti da "marchi" conosciuti, non scaricateveli da piccoli siti sconosciuti... molti "cracker" creano a bella posta dei programmi "ad hoc", che in realtà non aspettano altro che qualcuno inserisca tutte le sue passwords personali, per poi inviarle subito al programmatore !

Un'ultima nota: non fate MAI memorizzare le vostre password da Internet Explorer: è "relativamente" semplice procurarsele. Sappiate anche che esistono dei programmi (quali il celebre "Passwort Inspektor") che sono in grado di decodificare immediatamente le password che avete memorizzato in Windows; il programma però deve essere installato sul computer di cui si devono forzare le passwords.