Link alla notizia: http://www.hwupgrade.it/news/sicurezza/18585.html

Seconda indagine annuale portata avanti dalla societá RSA Security mette in evidenza che le troppe password sono il punto debole nella sicurezza di un'azienda.

Click sul link per visualizzare la notizia.

Cambiare password di frequente è inutile, anzi controproducente: è dimostrato che l'utente medio reagisce ad una politica di questo tipo semplificando ulteriormente la password.

Non se la password viene fornita dall'alto. Nelle aziende "serie" non è mai il dipendente a scegliere la propria password, ma viene generata automaticamente e in modo random da programmi appositi, e questo per evitare che l'utonto di turno usi come password il nome del proprio gatto!

Quoto...Si parte con password lunghe un'infinità di caratteri, poi siccome l'utonto non se le ricorda, le accorcia, rendendo facili gli attacchi "a dizionario"....Quanti di voi hanno come password: "pippo", "sesso", ecc? :rotfl:

Non se la password viene fornita dall'alto. Nelle aziende "serie" non è mai il dipendente a scegliere la propria password, ma viene generata automaticamente e in modo random da programmi appositi, e questo per evitare che l'utonto di turno usi come password il nome del proprio gatto!

e l'utonto di turno a quel punto la attacca con un post-it sul monitor :asd:

ci credete se vi dico che non ho mai usato password "a dizionario" e sempre di tipo alfanumeriche e che me le ricordo tutte? O_o

Beh, anche io le uso alfanumeriche. Ma comunque si tende a semplificare, lasciando una parte fissa ed un' altra diversa di mese in mese ( se la policy aziendale e' quella ).

Oppure si usa mettere i mesi con caratteri alfanumerici, magari cambiando solo le cifre dell' anno.

Sopra qualcuno parlava di generatori. Certo, ovviamente esistono i var i "tamagotchi" ( come li chiama un mio collega ) che generano password a random.

Ma e' difficile che si usino per accedere alla rete della propria azienda. E molto piu' probabile che siano necessarie per connessioni da remoto verso altre reti. E sono la base delle VPN.

Fino a che non si troverà un sistema alternativo alle PW, queste restreranno sempre l'anello debole della catena, perchè passano attraverso l'utente (o se preferite, l'utonto). A parte la scelta di pw "a dizionario", resta il rischio che le scrivano da qualche parte: più sono complesse e più sono difficili da ricordare. E quando un dipendente deve ricordarne una decina, ciascuna da 12 caratteri alfanumerici da cambiare ogni tre mesi, cui si aggiungono il PIN di 2 telefonini, il codice di 3 Bancomat, il codice di apertura dei cancelli di casa ... il proprio numero di telefono e quello del cellulare la RAM è esaurita! Il nostro cervello non è un HD fatto per ricordare dati precisi in maniera digitale per cui un 1 è un 1 ed uno 0 è uno 0. Il nostro cervello è fatto per ricordare in maniera analogica, per cui uno 0 può essere anche una O e l'1 una I, sono simili! Una maiuscola ed una minuscola sono cose ben diverse per un computer, due facce della stessa medaglia per il nostro cervello!
Non resta che passare alle impronte digitali ed alla scansione della retina, magari abbinate ad un generatore di PW che le cambia in continuazione in sincro col server...

beh, ormai esistono anche le smart card. Lì anche se non si cambia pin non è un problema, finchè non si smarrisce la card. Purtroppo i sistemi di autenticazione a smart card sono ancora poco usati, ma mi risulta siano pienamente funzionali e non abbiano problemi di sorta, almeno per un login 'fisico' (per quello remoto non so)

beh, ormai esistono anche le smart card. Lì anche se non si cambia pin non è un problema, finchè non si smarrisce la card. Purtroppo i sistemi di autenticazione a smart card sono ancora poco usati, ma mi risulta siano pienamente funzionali e non abbiano problemi di sorta, almeno per un login 'fisico' (per quello remoto non so)
La smart card presenta diversi problemi, come hai detto te lo smarrimento e il login da remoto ed anche la possibilità di essere duplicata anche senza che l'utente se ne accorga.
Per il login da remoto è chiaro che debba essere approntata qualche struttura ad hoc (software + hardware sui PC remoti) per instaurare una connessione sicura, magari con una chiave privata residente sulla smart card (la chiave pubblica già presente sul server)...
Per risolvere i problemi dello smarrimento e della duplicazione basterebbe far scadere la password ogni giorno...ed il personale (ovviamente solo quello che svolge lavoro in locale) dovrebbe riprogrammare la smart card ad ogni ingresso al lavoro (già in molte aziende il personale ha una carta per la registrazione di ingresso e uscita), magari in abbinamento alla scansione dell'impronta digitale...

Quoto Chester. In media gli utenti che possono scegliere la password ne scelgono una semplice da ricordare, o magari la stessa che usano per la posta o altri ambiti, in modo da dover ricordare una sola password. Quando invece la password viene impostata automaticamente, l'unico modod che l'utonto trova per ricordare quella stringa di caratteri senza senso è scriverla un po' ovunque...

Una soluzione potrebbero essere gli scanner biometrici per le impronte digitali, magari in abbinamento a token fisici. Se date all'utonto una password, non si curerà minimamente di proteggerla. Se date all'utonto un oggetto fisico che funziona da chiave, probabilmente lo terrà sempre al sicuro, come è abituato a fare per le chiavi di casa, dell'auto, ecc...

Ma l'introduzione di sistemi biometrici al posto delle password, non è come se ne utilizzasse solo una dall'e-mail all'ufficio al fantacalcio, anche se complessa?

Inoltre nei sistemi biometrici, una volta che la chiave è stata scoperta, risulta difficile cambirla (come cambiare impronta digitale?).

Non voglio offendere nessuno, però ragazzi vedo un po' di arroganza in parecchi post, magari non voluta però c'è...
Il problema delle password è vecchio come il mondo, questo lo sappiamo tutti, ed è un problema che si cerca sempre di focalizzare sull'utente ritenuto sempre l'anello debole della catena...
Percò come giustamente faceva notare qualcuno, sfido chiunque a ricordare 10 o 20 password per fare qualsiasi cosa...
L'utente che non riesce a ricordarsi le password in un panorama di questo tipo non è un utonto, è una persona normalissima dato che io stesso da tecnico che si occupa anche di questo non la ritengo nemmeno pensabile una cosa del genere... figuriamoci chi deve usare uno strumento hw o sw che sia, e che lo usa per quello che è senza nessun interesse o passione per quello che ci sta dietro (non per cattiveria o altro, semplicemente perchè per lui è solo uno strumento e deve restare tale, come è giusto che sia...).
Io mi trovo spesso a lavorare in una grossa realtà della PA del nord italia, provate a immaginare un'ente o società con 11000 dipendenti, ciascuno dei quali deve ricordarsi almeno le seguenti password:
- utente di dominio
- webmail
- client di posta
- intranet
- almeno 3 utenze per applicativi vari

Ragazzi, sono almeno 7 password che dovrebbero essere lunghe, alfanumeriche e dovrebbero cambiare radicalmente ogni 3 mesi, il tutto moltiplicato per 11000 persone... siamo seri... nemmeno nel migliore dei mondi possibili sarebbe realizzabile tutto questo.

Sappiamo tutti che cambiarle di frequente spesso porta a password stupide, ok, però questo fenomeno è molto influenzato da quante password un utente deve cambiare e da quanto frequentemente.

Dato che la frequenza è dettata dal legislatore, perchè non si lavora un po' sull'altro aspetto?
Non so voi in quante aziende avete provato a lavorare, però in un buon 80% di quelle in cui sono stato io negli ultimi 5 anni ogni strumento è un mondo a se, la posta, la webmail, la intranet etc etc...
Perchè non usare gli strumenti che ci sono, sono consolidati, sono utili e volendo anche relativamente semplici e non troppo costosi per limitare il numero delle password?!?!?!? Perchè non usare meccanismi come single sign-on, LDAP centralizzati e robe del genere?!?!?
In qualsiasi azienda sia stato tutti usano un dominio Active Directory o un server di posta Lotus Domino, se si pagano tanti soldi in licenze perchè non si impara ad usare gli strumenti che si hanno a disposizione? Succede poi che si spendono altri soldi per qualcosa che si aveva già ma non si sapeva di avere, chessò, un altro LDAP quando in azienda ce n'erano già due pressochè inutilizzati, la complessità aumenta e le login pure, la lira si "impenna" e il numero di password pure... eccoci tornati al punto di partenza... :(

Concondo pienamente con Tasslehoff.

In più vi cito il caso dell'ultima azienda per cui ho lavorato.

Non solo non usano (anche avendoli a disposizione) sistemi di gestione centralizzata delle password (in breve single sign-on) per gli applicativi di terzi ma addirittura i software da LORO sviluppati (gestione risorse umane, e i moduli sono _TANTI_) non sanno nemmeno cosa sia:

- una gestione centralizzata degli accessi per i vari moduli installati e autorizzati al singolo utente

- un master data per le informazioni comuni a tutti i moduli

- ... il resto ve lo risparmio per carità di patria

e non si parla di un'aziendina piccola !

in ogni contesto di sicurezza, la robustezza del sistema e' uguale a quella dell'anello piu' debole che, guarda a caso, e' spesso l'utente :)

Quoto Chester. In media gli utenti che possono scegliere la password ne scelgono una semplice da ricordare, o magari la stessa che usano per la posta o altri ambiti, in modo da dover ricordare una sola password. Quando invece la password viene impostata automaticamente, l'unico modod che l'utonto trova per ricordare quella stringa di caratteri senza senso è scriverla un po' ovunque...

Una soluzione potrebbero essere gli scanner biometrici per le impronte digitali, magari in abbinamento a token fisici. Se date all'utonto una password, non si curerà minimamente di proteggerla. Se date all'utonto un oggetto fisico che funziona da chiave, probabilmente lo terrà sempre al sicuro, come è abituato a fare per le chiavi di casa, dell'auto, ecc...
non è detto.
nelle aziende serie anzikè assegnare la password dall'alto rendendola praticamente impossibile all'utente da ricordare, la fanno scegliere a lui ma mettendo dei vincoli molto restrittivi.
Innanzitutto deve avere una lunghezza minima di 10 caratteri (ma dipende da azienda ad azienda), inoltre deve contenere caratteri alfabetici E numerici E simboli.
Infine in certe situazioni non può contenere il proprio nome o cognome.
In questo modo l'utente è praticamente costretto a scegliere una password sicura che, si spera, riesca a ricordare abbastanza facilmente.

CUT
da me usavano ldap :fagiano:
anke se non per tutti i login....

ma solo io sono dell'opinione che si potrebbe risolvere il tutto tramite sistemi incrociati di sicurezza?

smartcard+password, sistemi biometrici + password, o addirittura smart card, sistemi biometrici e password insieme?

In questo modo si andrebbe incontro alle esigenze dell'utente: la smart gestisce l'accesso alle diverse utenze su programmi e database diversi, e la password serve a prevenire il fatto che ci possa essere una perdita della card.

Se la password viene scoperta senza smart non si può fare nulla e viceversa: l'utente dovrebbe ricordare una sola password (e a questo punto può essere davvero complicata) e questa verrebbe incrociata con ciò che è contenuto nella card...

Oppure la mia è una soluzione senza senso? mi piacerebbe sapere quali sono eventuali controindicazioni, visto che personalmente non ne vedo :)

Ho appena fatto l'esame di elementi di sicurezza e viene indicato come il + sicuro il sistema misto (riconoscimento biometrico sul token (la smart-card ad es.) e poi il token x il resto), anche se non sempre è economicamente conveniente farlo.......

Ho appena fatto l'esame di elementi di sicurezza e viene indicato come il + sicuro il sistema misto (riconoscimento biometrico sul token (la smart-card ad es.) e poi il token x il resto), anche se non sempre è economicamente conveniente farlo.......
sono un genio allora :D

vabbè, a parte gli scherzi, un lettore di smart card non credo sia così dispendioso (parliamo di aziende di dimensione almeno media cmq...), sicuramente costa meno di uno scanner di retina o di impronte.

Il problema di fondo è per l'accesso in remoto: di certo non si può fornire ogni dipendete di un lettore di smartcard/retina/impronte digitali, sarebbe sicuramente dispendioso, senza contare la necessità di avere cmq un software dedicato sul pc di casa. E quindi quale potrebbe essere la soluzione?

Un accesso con privilegi limitati dall'esterno grazie alla sola password potrebbe aiutare, ma credo sia un semplice palliativo... Forse si potrebbero usare una doppia password, delle quale una è propria dell'utente, l'altra invece è generata da un dispositivo (mostravano una cosa simile in una pubblicità di una banca, non ricordo quale) che le genera secondo un algoritmo presente nel server con validità temporale limitata (tipo 30 secondi, o cose del genere).

anzi, a ben pensarci questo sistema potrebbe essere utilizzato anche per la sicurezza locale, però sarebbe sicuramente più rischioso, poichè se uno di questi aggeggini venisse perso costringerebbe a cambiare la chiave interna dell'algoritmo, oltre alla possibilità che l'algoritmo stessa possa uscire fuori.

certo, una chiave a 1024 bit risolverebbe il problema :) o sto di nuovo dicendo un mare di cazzate?

L'articolo dice una sacrosanta verità c'è ben poco da aggiungere.

Caro casacup, è esattamente quello che dicevo io... (allora i geni siamo entrambi?). Basta che il controllo biometrico poi sia integrato nel dispositivo ed anche il furto non è più un problema anche perchè a quello che ho capito, ogni apparecchio viene semplicemente sincronizzato col server e genera una chiave (credo a ben più di 1024 bit) assolutamente univoca. In caso di furto è sufficiente togliere l'abilitazione ai codici generati da quello specifico apparecchio (alcune banche lo usano già per l'home banking, quindi non si tratta di inventare niente). Anche il costo, poi, potrebbe diventare un problema secondario nel momento in cui si diffondessero adeguatament queste tecnologie. Il fatto che lo adottino le banche la dice lunga sul fatto che non può costare un capitale...
L'unica impressione è che (non certo nelle grandi aziende o in aziende ad elevata criticità) il problema della sicurezza o non è ben compreso ai livelli che contano, oppure non sempre ci sono degli esperti veri a gestirli. O sbaglio? Per molti è solamente la "rottura" di dover ottemperare alla Legge sulla Privacy, ma se potessero si fiderebbero ad usare come PW il nome del cane (quanti ne conosco...). Ah, per chi diceva che basta fare scegliere la PW ed imporre l'alfanumerico ad almeno 10 cifre... per esperienza ti dico che in questo caso usano TUTTI il codice fiscale!!! E' vero come diceva qualcuno che il vero problema dell'utente finale è che non percepisce la reale importanza della sicurezza. Se si potesse imporre di usare lo stesso codice per la sicurezza aziendale e per l'accesso incondizionato al conto corrente, vedreste con che cura lo custodirebbero (anche se il 50% degli italiani conserva il PIN del Bancomat su un post-it attaccato al Bancomat stesso...).

io sono un genio perchè non mi dedico alla sicurezza nè per lavoro nè per studio :D

vabbè è una battuta del piffero :)

a parte gli scherzi, che l'utente è il punto debole si sa: l'ingegneria sociale insegna quanto sia facile cavare fuori date personali e password nonostante i sistemi più avanzati...

ed è proprio un'automizzazione, nel senso tenere nascosto all'utente che utilizza un semplice oggetto, che potrebbe risolvere in parte questa situazione.

come diceva qualcuno, la gente non tiene conto di una password, ma tiene mooooolto in conto un oggetto fisico che ha il rischio di smarrirsi...

centralizzare le pass di accesso per diversi applicativi e' insicuro:
crackata una pass su un applicativo minore si potrebbe avere accesso a risorse ben piu' importanti: ad esempio cracko il login e la pass della posta aziendale tramite il portale web in internet, ed ho accesso alla VPN e alle risorse condivise..

il problema e' da prendere da un'altro punto di vista, quello ergonomico:
molte volte, in ambito aziendale, si devono avere molteplici login e relative pass, e queste devono essere cambiate a scadenze regolari;
posso fare l'esempio della mia esperienza aziendale come utente e come collega:
abbiamo una decina di applicativi sotto convalida d'accesso (e non siamo nemmeno quelli che ne hanno di piu'), e i miei colleghi hanno vari fogliettini scritti dove appuntare login e pass; la maggior parte delle volte, al rinnovo della pass, cambiano esclusivamente la parte numerica in progressione, mentre il login e' dato da procedure aziendali che identificano per nome e cognome; alcuni login sono sincronizzati da un'applicazione (fai il login su questa, immetti 5 risposte a domande precompilate, e hai la possibilita' di sincronizzare alcune pass).
io, sapendo una vecchia pass di un collega, posso risalire all'attuale pass in meno di 2 tentativi..
questo e' dovuto al fatto che le pass sono per policy, giustamente, poco "digeribili" (lunghezza e alfanumeriche), ma e' propio qui che c'e' il punto debole: sono parole da ricordare, quando il nostro cervello riesce meglio a ricordare movimenti ed immagini (io stesso memorizzo le pass secondo movimenti delle dita sulla tastiera, e non per il loro significato, e basta farlo in sequenza una decina di volte di seguito per poi avere il movimento automatico).

bisognerebbe percio' cambiare il tipo di memorizzazione da parte degli utenti.

tempo fa' proposi a degli amici informatici la creazione di una utility per un diverso tipo di login: ad immagini:
in una WS multiutente venivano mostrate esclusivamente delle piccole anteprime di fotografie varie, fotografie che indicavano l'utente senza pero' avere un nome accanto (tipo il login grafico multiutenza, ma senza il nominativo accanto); a questo punto l'immagine andava a tutto schermo e l'utente indicava punti prestabiliti in una determinata sequenza, questi venivano trasformati in sequenza numerica, e si aveva un login impersonale con pass da decine di caratteri che non avevano senso compiuto.
in questo modo l'utente avrebbe ricordato in modo migliore la propria pass, non sarebbe riuscito ad appuntarla e/o divulgarla agli altri in modo semplice (dovrebbe dare la descrizione dell'immagine e indicare i punti esatti e l'esatta sequenza per il login), e comunque si ottenevano delle pass abbastanza robuste, ben oltre i 10-12 caratteri delle normali policy aziendali (sarei curioso di sapere se c'e' un'azienda che costringe i propri dipendenti con una pass a 128 caratteri!!).

non e' la panacea al problema, ma e' gia' un passo avanti rispetto ad oggi, dove un collega, per farmi usare un'applicazione a proprio nome, basta che mi dia la sua "parolina magica" di 8 lettere/numeri; e' questa e' effettivamente la carenza sulla sicurezza piu' elevata, in quanto, statisticamente, sono proprio i dipendenti della stessa azienda che riescono ad infrangere anche le piu' elaborate policy aziendali.

@smartcup: a proposito del dispositivo di cui parlavi...
Guarda caso RSA (autore del survey oggetto dell'articolo) fornisce varie soluzioni single sign-on a livello enterprise, basate anche sui suoi ''token'' SecurID, ossia quegli oggettini a cui ti riferisci, che visualizzano una password di 6 cifre che cambia tipicamente ogni 60 secondi, da associare a uno username e ad un PIN. Li conosco bene perché tutti i nostri utenti che fanno accesso remoto (vpn, webmail, RAS...) possono farlo solamente in quel modo :)

E' vero come diceva qualcuno che il vero problema dell'utente finale è che non percepisce la reale importanza della sicurezza. Se si potesse imporre di usare lo stesso codice per la sicurezza aziendale e per l'accesso incondizionato al conto corrente, vedreste con che cura lo custodirebbero (anche se il 50% degli italiani conserva il PIN del Bancomat su un post-it attaccato al Bancomat stesso...).Figurati che non percepiscono il problema della sicurezza i dirigenti e i responsabili, con che coraggio si può pensare di cazziare l'utente finale se non rispetta queste regole?
Dai ragazzi, cerchiamo di scendere un po' nel concreto, di principi sono piene le biblioteche, però finchè qualcuno non trova qualche sistema per rendere questi strumenti accessbili non servono a niente...
E questo non significa solo far si che queste cose siano facili da usare e da ricordare, ma far si che siano anche realizzabili in ambito lavorativo, e per far questo devono costare relativamente poco e devono essere semplici da implementare, altrimenti come tante altre tecnologie resteranno relegate ad un reparto di r&d...
RSA può ben urlare ai quattro venti queste cose, ci mancherebbe è nel suo interesse dato che vende sistemi del genere, per lei è pubblicità...

Io direi che invece sarebbe il caso di intendere la sicurezza in senso più ampio dell'accesso alla vpn, alla posta aziendale, alla intranet etc etc...
La sicurezza non è solo una questione tecnica... la sicurezza è innanzitutto una questione di formazione, poi vengono tutti gli aspetti tecnici che volete, e se permettete tutti i sistemi ipercomplessi di cui parlate non servono a niente se l'utente può scaricare i dati aziendali con una chiavetta usb e portarseli a casa...
La sicurezza va intesa anche in ambito applicativo, a che server l'iperfirewall se poi tutti i dati sono su una condivisione pubblica di rete?!?
Imho basterebbero piccoli accorgimenti in questo senso per evitare di dover per forza investire in queste tecnologie, belle, buone... ma molto costose e di difficile implementazione...

purtroppo un oggetto e' facilmente duplicabile, anche perche', in questo caso, alla fine sono informazioni, bit, e perio' "emulabili"...
l'unico posto dove poter neascondere queste informazioni in modo protetto e nella testa in quanto non sono estrapolabili in nessun modo...
anche i parametri biometrici possono essere emulati, perche' alla fine diventano bit.

@smartcup: a proposito del dispositivo di cui parlavi...
Guarda caso RSA (autore del survey oggetto dell'articolo) fornisce varie soluzioni single sign-on a livello enterprise, basate anche sui suoi ''token'' SecurID, ossia quegli oggettini a cui ti riferisci, che visualizzano una password di 6 cifre che cambia tipicamente ogni 60 secondi, da associare a uno username e ad un PIN. Li conosco bene perché tutti i nostri utenti che fanno accesso remoto (vpn, webmail, RAS...) possono farlo solamente in quel modo :)
Eccoli qua, ne ho giusto un paio a casa...
http://img365.imageshack.us/img365/379/img0234dz7.th.jpg (http://img365.imageshack.us/my.php?image=img0234dz7.jpg)

Per RSA è tutta pubblicità, per cui consiglio di non prendere le loro parole come oro colato...

Riassumento:
1) Se la password e' una parola o un nome, chiunque puo' indovinarla facilmente.
2) Se la password e' assegnata dall'esterno, l'utonto la scrive su un post-it attaccato al computer.

Le possibili soluzioni sono tre:
a) prendere una parola o nome noto, e m0d1f1karL0 sostituendo lettere con numeri, lettere simili o maiuscole, doppie con singole e viceversa: bastano 2 o 3 modifiche di questo tipo per rendere la password MOLTO piu' difficile da indovinare; "giuseppe" non e' una password sicura, "g1ussEpE" e' come minimo a prova di balordo, se non di hacker;
b) prendere una parola o nome noto, e codificarlo in modo "visivo", ad esempio spostando le posizioni dei tasti sulla tastiera ("giuseppe" puo' diventare "fuyawoow" oppure "vjhzslls" con uno spostamento stupido, ma incrementando la robustezza in maniera incredibile) o usando i numeri equivalenti sul cellulare ("giuseppe" diventa "44873773" o addirittura "4444887777337733") o sulla tastiera ("giuseppe" diventa "58723003");
c) usare combinazioni di tasti facili da digitare, magari usando due piccole zone della tastiera alternando mano destra e sinistra, tipo "q10p2wo9": questo tipo di movimento si impara molto in fretta, tra l'altro, proprio per la facilita' del cervello di imparare immagini e movimenti piuttosto che parole e numeri.
E' piu' facile a farsi che a dirsi.

Basterebbe allegare queste istruzioni per "educare" qualche utonto in piu'...

@Tasselhoff
Sono pienamente d'accordo con te. Il mio esempio sull'uso dello stesso codice per account e conto in banca era ovviamente una battuta per chiarire il concetto. Non pensavo certo di applicarlo in pratica. Comunque sono stato proprio io a dire che molto spesso è proprio un problema di mancanza di coscienza del problema sicurezza soprattutto a livello dirigenziale (ho scritto infatti che molti dirigenti, se potessero, userebbero come PW il nome del cane, perchè vedono la sicurezza solo come un obbligo imposto ad esempio dalla legge sulla Privacy). Per il resto sono totalmente d'accordo.

@figliodierica
La prima soluzione da te proposta, in realtà, in quanto facilmente riconducibile ad un modello comportamentale prevedibile è sicuramente molto facilmente aggirabile a livello locale (leggi altri dipendenti che, come qualcuno ha giustamente scritto rappresentano la principale minaccia di sicurezza), ma anche a livello di programmi a base dictionary (ti assicuro che quasi tutti cercano di scardinare la PW sia con parole a dizionario sia con le loro varianti mnemoniche che hai proposto). La soluzione 2 è un po' più solida, perchè prevede un maggior numero di combinazioni possibili, ma non per questo non aggirabile, proprio perchè, in ultima analisi , fa sempre riferimento a una PW di tipo "a dizionario". Il terzo metodo è senza dubbio più valido, imho, così come l'idea grafica proposta da locusta. Sfrutta le capacità mnemoniche naturali del nostro cervello e non è gestibile a dizionario. Ma devo dire che mi intriga molto l'idea a base grafica proposta da locusta. Solo non ho capito se è qualcosa di già esistente o se è solo un'idea... Nel secondo caso corro a brevettarla a mio nome... (bastard inside) non si sa mai!
A parte gli scherzi, mi sembra molto intelligente perchè non dà alcuna possibilità seria di trascrizione ed è molto facile da ricordare pur potendo essere estremamente complessa come PW generata. Ed anche l'implementazione non mi sembra nè particolarmente complessa, nè costosa. Ma non sono un tecnico, per cui potrei prendere una cantonata.