L'interfaccia della cassaforte di Bitwarden, con una voce di accesso salvata
Un gestore di password (in inglese password manager) è un software che conserva nomi utente e password in un archivio chiamato cassaforte delle password (password vault). La cassaforte è pensata per essere cifrata e la sua chiave di cifratura deriva di solito da una password principale (master password) scelta dall'utente. La maggior parte dei gestori di password sa generare password, salvare le credenziali mentre vengono digitate e inserirle di nuovo quando l'utente torna sul sito. Alcuni possono anche sincronizzare i dati tra più dispositivi, condividere credenziali con altri utenti e conservare i dati delle carte di pagamento, note e documenti.
Un gestore di password può essere un'applicazione autonoma, un'estensione del browser, una funzione inclusa nel browser o un servizio integrato nel sistema operativo. La cassaforte può restare su un solo dispositivo, essere sincronizzata tramite i server di un fornitore oppure essere copiata da un dispositivo all'altro con un servizio di archiviazione di file separato. Generando e conservando una password diversa per ogni account, un gestore di password può ridurre la necessità di memorizzare molte password o di usare la stessa password per più account.
Poiché una sola cassaforte può contenere le credenziali di molti account, la cassaforte e la sua password principale sono bersagli appetibili per gli attacchi. La sicurezza dipende da come è protetta la cassaforte e da funzioni come la compilazione automatica, la sincronizzazione, la condivisione e il recupero dell'account. Gli utenti possono anche evitare i gestori di password, o smettere di usarli, per timori legati alla sicurezza o al controllo, per scomodità o per problemi di compatibilità con i siti web.
I gestori di password esistono dagli anni novanta. In seguito sono comparsi come componenti dei browser, applicazioni per dispositivi mobili, servizi basati sul cloud e funzioni integrate nel sistema operativo. Alcuni gestori di password possono anche creare e conservare le passkey, credenziali di accesso basate sulla crittografia asimmetrica che possono sostituire le password o fare da fattore di autenticazione aggiuntivo.
Funzionamento e caratteristiche
Conservazione delle password e compilazione automatica
Un gestore di password conserva le credenziali di accesso, come nomi utente e password, in un archivio detto cassaforte delle password. Idealmente la cassaforte è cifrata con una chiave generata a partire da una password scelta dall'utente, di solito chiamata password principale. Alcuni gestori di password offrono l'autenticazione a più fattori per accedere al database delle password. I gestori di password basati sul cloud in genere conservano cifrati i dati della cassaforte sul server, mentre la cifratura e la decifratura avvengono nel client dell'utente. Il client invia al servizio i dati cifrati e decifra in locale quelli che riceve.
La generazione di password è una funzione comune dei gestori di password moderni: l'utente può impostare caratteristiche come la lunghezza, i caratteri ammessi e i requisiti di composizione. Dato che il risultato viene salvato nella cassaforte, l'utente può assegnare una password generata diversa a ogni account senza doverle memorizzare. Alcuni gestori di password segnalano anche le password duplicate o le credenziali che potrebbe essere necessario cambiare. Quando l'utente digita a mano una password in un modulo di accesso, il gestore di password può proporgli di aggiungere quella credenziale alla cassaforte. Al ritorno dell'utente, il gestore può associare il dato salvato al sito e compilare i campi del nome utente e della password. La compilazione automatica può avvenire da sola o richiedere un'azione dell'utente, a seconda del gestore di password e del contesto. Se per un sito sono salvati più account, l'utente può scegliere quale usare.
I gestori di password basati sul cloud possono sincronizzare una cassaforte cifrata in modo che gli stessi dati siano disponibili su più dispositivi. Alcuni servizi cloud permettono di condividere i dati della cassaforte con altri utenti autorizzati, anche all'interno di gruppi familiari o di organizzazioni, e possono offrire funzioni di recupero dell'account. Le casseforti possono contenere anche informazioni diverse dalle credenziali di accesso, come i dati delle carte di pagamento, note e documenti personali.
Supporto delle passkey
Alcuni gestori di password possono anche fare da fornitori di passkey, creandole, conservandole e gestendole per conto dell'utente. Una passkey è una credenziale di accesso basata sulla crittografia asimmetrica: il servizio conserva una chiave pubblica e l'autenticatore dell'utente custodisce la chiave privata corrispondente. A differenza delle password, le passkey non richiedono all'utente di inviare al sito web un segreto condiviso. L'utente approva invece l'accesso tramite il dispositivo o il gestore di password, e il servizio verifica una risposta crittografica.
Una passkey può restare su un solo autenticatore oppure essere sincronizzata da un fornitore su più dispositivi dell'utente. La sincronizzazione può rendere disponibili le passkey esistenti su un dispositivo sostitutivo, senza che l'utente debba registrare una passkey separata per ogni dispositivo. Una passkey sincronizzata e configurata correttamente è legata al sito per cui è stata registrata, quindi una risposta di autenticazione ottenuta da un sito di phishing non può essere riutilizzata sul servizio legittimo. Se però un fornitore basato sul cloud conserva una copia di backup delle passkey sincronizzate, la compromissione di quell'archivio può esporne le chiavi private di firma.
Modelli di implementazione
I gestori di password possono essere applicazioni autonome, estensioni del browser o funzioni integrate in un browser. Alcuni prodotti sono disponibili in più di una di queste forme. Un'applicazione desktop può lavorare insieme a un'estensione del browser per inserire le credenziali salvate nei moduli di accesso dei siti web. Il portachiavi iCloud (iCloud Keychain) di Apple può sincronizzare password e passkey sui dispositivi Apple approvati dall'utente. Nell'ecosistema di Google, il gestore di password dell'azienda permette di conservare password e passkey in un account Google e di sincronizzarle sui dispositivi supportati, per accedere a siti web e app.
Un database di password gestito in locale è conservato sul dispositivo dell'utente anziché su un server controllato da un fornitore. Alcuni gestori di password autonomi non offrono una sincronizzazione cloud integrata e richiedono all'utente di sincronizzare a mano la cassaforte. In alternativa, il file della cassaforte può essere sincronizzato tra i dispositivi con un servizio di sincronizzazione dei file separato, senza passare dal fornitore del gestore di password. Una copia di backup separata aiuta a non perdere l'accesso a un database di password gestito in locale se il dispositivo viene smarrito o rubato.
In un gestore di password sincronizzato tramite cloud, i dati cifrati della cassaforte sono conservati su un server remoto e sincronizzati con i dispositivi dell'utente. Alcuni servizi permettono alle organizzazioni di far funzionare il server di archiviazione sui propri sistemi invece di usare quello del fornitore. In Bitwarden, per esempio, le organizzazioni possono raggruppare i dati condivisi in raccolte (collections) e assegnarne l'accesso a singoli utenti o a gruppi. 1Password Business offre criteri di amministrazione per l'autenticazione, per la condivisione e i permessi e per il single sign-on.
Storia
I software per la gestione delle password risalgono agli anni novanta. PassKeeper, un'utilità per Microsoft Windows, era disponibile già nel marzo 1996. Permetteva di organizzare nomi utente, password e note in un file cifrato. Nel settembre 1997 Counterpane Systems pubblicò Password Safe, una utility gratuita per Windows 95. Il programma conservava le password in un database locale cifrato con l'algoritmo Blowfish, che l'utente sbloccava con un'unica «Safe Combination». La prima versione di 1Password, che allora si chiamava 1Passwd, uscì il 19 maggio 2006, mentre LastPass nacque nel 2008. Dashlane era in attività dal 2012 e il gestore open sourceBitwarden debuttò nel 2016.
Nel giugno 2013 Apple annunciò il portachiavi iCloud (iCloud Keychain) per OS X Mavericks. Il gestore di password integrato usava iCloud per sincronizzare le password solo con i dispositivi attendibili. Già nel 2014 i gestori di password erano integrati nei browser, offerti da terze parti e disponibili sulle piattaforme mobili; alcuni salvavano anche una copia delle password nel cloud e le sincronizzavano tra i dispositivi. Nel 2022 Google iniziò a distribuire un'interfaccia comune per la gestione delle password nelle impostazioni di Chrome e di Android. Nel 2024 Apple pubblicò l'app Password, basata sul portachiavi, per accedere a credenziali come password, codici di accesso e codici di verifica.
Modello di sicurezza
Se è implementato e usato correttamente, un gestore di password rende praticabile l'uso di una password generata diversa per ogni account, senza doverle ricordare tutte. L'uso dei gestori di password è associato alla scelta di password più robuste, soprattutto quando è incluso un generatore di password. Poiché una sola cassaforte può contenere le credenziali di molti account, il gestore di password e la sua password principale sono bersagli appetibili per gli attacchi. Un modello di minaccia presuppone che il server del gestore di password sia del tutto malevolo e possa discostarsi arbitrariamente dal comportamento previsto. In questo modello le protezioni attese comprendono la segretezza del contenuto della cassaforte, il rilevamento delle modifiche non autorizzate ai dati e ai metadati della cassaforte e la limitazione della condivisione e del recupero dell'account ai soli utenti previsti.
Protezione della cassaforte
Di solito la password principale serve a creare la chiave che cifra la cassaforte. Un aggressore che si procura una copia di una cassaforte cifrata può tentare di indovinarne la password principale offline. Per rendere più difficili questi tentativi, i gestori di password applicano comunemente alla password principale funzioni di derivazione della chiave o di hashing volutamente lente. In una valutazione del 2020 alcuni gestori di password lasciavano in chiaro determinati metadati: a seconda del prodotto, gli indirizzi dei siti, i nomi utente, le informazioni sull'uso degli account o le impostazioni relative alla sicurezza. Se i controlli di integrità non coprono la cassaforte nel suo insieme, un server malevolo potrebbe alterare, rimuovere o riordinare i dati della cassaforte senza essere scoperto.
Compilazione automatica e phishing
In genere i gestori di password associano le credenziali salvate a determinati siti web e possono rifiutarsi di suggerirle o di inserirle quando l'indirizzo corrente non corrisponde. La compilazione automatica può esporre una password salvata a codice malevolo presente in una pagina compromessa, senza che l'utente debba selezionare la credenziale. In un test del 2014, sei gestori di password su dieci risultarono vulnerabili a un attacco in cui una rete Wi-Fi malevola caricava pagine di accesso in frame invisibili e catturava le password inserite automaticamente. Se è l'utente a dover avviare la compilazione, questo tipo di attacco silenzioso a tappeto (sweep attack) non è possibile, ma l'interazione dell'utente da sola non elimina tutti i rischi della compilazione automatica.
Un sito malevolo può anche imitare l'interfaccia di sblocco dell'estensione per browser di un gestore di password. In una simulazione di phishing del 2025 che coinvolse 29.809 persone di un istituto di istruzione, in 448 partecipanti fu rilevato l'uso di uno dei quattro gestori di password di terze parti presi di mira. Centoquaranta di questi utenti (il 31,25%) inserirono la propria password principale nell'interfaccia contraffatta. Una password principale rubata può esporre le credenziali salvate; l'autenticazione a più fattori resistente al phishing pone un ostacolo in più all'uso della password rubata.
Sicurezza del client
Il client di un gestore di password può essere attaccato tramite siti web malevoli, applicazioni malevole presenti sul dispositivo dell'utente o reti ostili. La compilazione automatica nel browser si presta ad abusi quando le credenziali vengono consegnate a una pagina compromessa. Le stesse richieste di conferma rivolte all'utente possono essere sfruttate con il clickjacking, in cui una pagina ingannevole nasconde o camuffa il comando che viene attivato. Questi attacchi lato client e di rete sono diversi dagli attacchi offline, nei quali l'avversario si procura prima una copia cifrata della cassaforte.
Alcuni gestori di password possono lasciare le password leggibili nella memoria ad accesso casuale (RAM) del computer. Uno studio del 2024 trovò password leggibili nella memoria di 9 dei 12 gestori di password desktop e di 10 delle 12 estensioni per browser esaminati, compresi alcuni che erano stati bloccati. Un aggressore in grado di leggere la memoria di un gestore di password o di ottenerne un dump potrebbe recuperare le password esposte in chiaro.
Archiviazione nel cloud, condivisione e recupero
I gestori di password basati sul cloud descrivono spesso la propria cifratura lato client come «crittografia zero-knowledge» (zero-knowledge encryption). In questo senso la cifratura ha lo scopo di impedire al fornitore di vedere il contenuto in chiaro della cassaforte. Il termine non ha una definizione tecnica rigorosa. Secondo un'analisi del 2026, le dichiarazioni dei fornitori sulla sicurezza implicavano una protezione anche nel caso in cui il server si comporti in modo malevolo. La stessa analisi individuò 25 attacchi contro Bitwarden, LastPass e Dashlane in questo modello di minaccia con server malevolo. Gli attacchi sfruttavano debolezze nel recupero dell'account e nella condivisione, la mancata verifica delle chiavi pubbliche, una protezione incompleta contro le modifiche all'intera cassaforte e la compatibilità con meccanismi crittografici obsoleti.
Uno studio del 2024 esaminò gli attacchi di tipo injection in cui un aggressore invia dati costruiti ad arte al gestore di password di un altro utente tramite un elemento condiviso. Negli attacchi studiati la vittima accettava prima un elemento che l'aggressore poteva aggiornare in seguito. A seconda del prodotto, questi aggiornamenti potevano influire sugli indicatori dello stato di salute delle password, sulle richieste delle icone dei siti, sulle dimensioni della cassaforte compressa o sulla deduplicazione degli allegati. Nei dieci gestori di password esaminati, varianti diverse dell'attacco potevano rivelare password, nomi utente, indirizzi di siti web o il contenuto degli allegati. Al momento della pubblicazione dello studio i primi quattro fornitori avvisati avevano già adottato contromisure, mentre la segnalazione agli altri sei era ancora in corso. L'articolo indicava le tecniche generali di rilevamento e mitigazione degli attacchi di tipo injection come una direzione per la ricerca futura.
Generazione delle password
La robustezza di una password generata dipende da quanto è imprevedibile la sua scelta e da impostazioni come la lunghezza e i caratteri che il generatore può usare. Una valutazione del 2020 generò 147 milioni di password e rilevò che una piccola parte di quelle più corte era vulnerabile ad attacchi volti a indovinarle (guessing attack), tra cui le password con meno di 10 caratteri nei test di attacco online e con meno di 18 nei test di attacco offline.
Una falla segnalata in Kaspersky Password Manager riguardava l'uso dell'ora di sistema come seme di un generatore di numeri pseudocasuali non pensato per usi crittografici. Dato che il seme era l'ora di sistema, Kaspersky Password Manager poteva generare la stessa password su installazioni diverse nello stesso secondo. Sapere quando una password era stata generata poteva ridurre di molto i tentativi necessari a un aggressore. Kaspersky distribuì le correzioni tra ottobre e dicembre 2019 e nell'ottobre 2020 aggiunse un avviso che invitava gli utenti a rigenerare le password deboli interessate.
Usabilità e fattori umani
I gestori di password possono ridurre il numero di password da ricordare, ma alcuni utenti sono restii a conservare tutte le password in un unico posto o temono di perdere l'accesso se dimenticano la password principale. Quando il gestore non funziona come previsto, alcuni utenti ripiegano su metodi meno sicuri, come riutilizzare vecchie password deboli o annotare le password fuori dal gestore.
Adozione e fiducia
Uno studio del 2019 basato su interviste a 30 persone, tra utenti e non utenti di gestori di password, rilevò che chi usava i gestori integrati nei browser o nei sistemi operativi era spesso attratto dalla comodità, mentre chi aveva installato un gestore di password separato indicava più spesso la sicurezza come motivo della scelta. Tra gli ostacoli all'adozione di un gestore separato c'erano la scarsa consapevolezza, i timori per la sicurezza, la sensazione di avere troppo poche password o pochi dati importanti per giustificarne l'uso e il disagio verso password generate impossibili da ricordare. Alcuni partecipanti non sapevano se le richieste di salvare le password provenissero dal browser, dal sito web o dal computer, né dove fossero conservate le password salvate o se il fornitore potesse leggerle.
Uno studio del 2021, anch'esso basato su interviste, riguardò 26 adulti con più di 60 anni, di età media pari a 70,4 anni. I partecipanti si dissero preoccupati per l'archiviazione nel cloud, per la sincronizzazione tra dispositivi, per la perdita di controllo sulle informazioni private e per le conseguenze di custodire molte password dietro un unico punto di accesso. Per questi partecipanti i consigli di familiari o amici stretti pesavano molto sulla decisione di adottare un gestore di password.
Configurazione e uso quotidiano
Uno studio longitudinale fornì a 37 persone che usavano per la prima volta un gestore di password una licenza di tre mesi e le sottopose a un questionario ogni settimana durante il primo mese, con un controllo finale. Dei 33 partecipanti che completarono il primo questionario settimanale, alla quarta settimana ne restavano 19, con un calo del 42%. Chi in seguito abbandonò lo studio aveva dato nella prima settimana valutazioni di usabilità più basse di chi rimase fino alla quarta. La fiducia dichiarata crebbe nel corso dello studio, mentre le valutazioni di usabilità dei 19 partecipanti che completarono tutti e quattro i questionari settimanali rimasero pressoché stabili.
I partecipanti trovavano spesso frustrante dover inserire più volte la password principale. Alla domanda su come l'avessero creata, il 44% delle risposte descriveva il riutilizzo totale o parziale di una password esistente o di informazioni personali. Alla quarta settimana il 78,94% dei partecipanti rimasti aveva avvisi per password deboli o riutilizzate. Pur vedendo ogni settimana il pannello sullo stato delle password, nessuno di loro modificò quelle credenziali durante lo studio. Anche le interviste del 2019 avevano rilevato che gli utenti, quando adottavano per la prima volta un gestore di password separato, spesso mantenevano le password deboli o riutilizzate e le sostituivano poco per volta.
Problemi di compatibilità possono interrompere la registrazione o l'accesso quando un gestore di password non propone di generare una password, salva o inserisce una credenziale in modo errato oppure genera una password che il sito web rifiuta.
Effetti sulle abitudini relative alle password
Usare un gestore di password non porta necessariamente a password più robuste o a un minore riutilizzo, perché questi risultati dipendono in parte da come vengono create le password, in particolare dall'uso o meno di un generatore di password. Uno studio del 2018 sottopose un questionario a 476 persone e raccolse i dati del browser di 170 di loro. In questo secondo campione, gli utenti che si affidavano ai generatori di password avevano password più robuste e le riutilizzavano meno di chi le creava a mano. Tra gli inserimenti registrati non era riutilizzato il 20% delle password compilate automaticamente da Chrome e il 25% di quelle digitate a mano, contro il 53% per LastPass e il 78% per quelle copiate e incollate. Lo studio avvertiva però che il sottogruppo del copia e incolla era troppo piccolo per trarre conclusioni certe.
In un esperimento online con richieste simulate dei gestori di password dei browser, l'aspetto della richiesta risultò associato al fatto che i partecipanti usassero o meno la password generata. Su 558 partecipanti, nella condizione che simulava Safari il 61,5% usò la password generata, contro il 35,2% nella condizione di Chrome e il 41% in quella di Firefox. La differenza era statisticamente significativa. L'accettazione era più alta tra i partecipanti che avevano notato la richiesta e tra quelli che avevano già usato un generatore di password. L'uso precedente di un gestore di password, di per sé, non era associato in modo significativo all'accettazione.
Diffusione
In un sondaggio del Pew Research Center su un campione rappresentativo a livello nazionale di 5.101 adulti statunitensi, condotto nel maggio 2023, il 32% dichiarò di usare un gestore di password, contro il 20% del 2019. L'uso dichiarato era del 49% tra gli adulti di 18-29 anni e del 37% tra quelli di 30-49 anni; tra gli adulti di 50 anni o più la quota era pari al 25% o meno. L'uso variava anche in base all'istruzione: era del 26% tra gli adulti con al massimo un diploma di scuola superiore, del 34% tra chi aveva frequentato il college senza arrivare alla laurea e del 38% tra chi aveva almeno una laurea di primo livello (bachelor's degree).
L'Australian Cybercrime Survey stimò l'uso di gestori di password sicuri al 25,0% nel 2023 e al 26,8% nel 2024, dopo aver corretto le differenze tra i campioni dei due anni. L'indagine non si basava su un campione probabilistico rappresentativo a livello nazionale e i partecipanti provenivano da panel di ricerca online ad adesione volontaria. Le quote di campionamento riguardavano età, genere e luogo di residenza, mentre la ponderazione teneva conto di età, luogo di residenza, istruzione, uso di Internet e uso dei social media.
In un sondaggio online dell'ottobre 2024 su 1000 adulti statunitensi, il 32% degli utenti di gestori di password usava principalmente il Gestore delle password di Google, seguito dal portachiavi iCloud o dall'app Password di Apple con il 23%, da LastPass con l'11% e da Bitwarden con il 10%. Nello stesso sondaggio il 79% degli utenti di gestori di password dichiarò di non pagare nulla per il servizio.
Interazione con siti web e applicazioni
Moduli web
Su un sito web, un gestore di password deve riconoscere quali campi contengono un nome utente, una password esistente o una nuova password, per poter gestire correttamente le credenziali. L'attributo HTML autocomplete può contrassegnare questi campi come username, current-password e new-password, indicando il tipo di valore che ciascun campo si aspetta. Moduli HTML standard, tipi di input appropriati e valori di autocomplete scelti correttamente rendono più facile per i gestori di password riconoscere i campi e proporre l'azione adatta: generazione, salvataggio o compilazione automatica.
I gestori di password possono comunque incontrare problemi quando un sito usa moduli non standard o requisiti per le password incompatibili con quelle generate dal gestore. Test condotti tra giugno e dicembre 2022 rilevarono problemi di usabilità nella registrazione o nell'accesso su più di un quarto dei 61 siti web per cui i test erano stati completati, ma la frequenza variava tra Chrome, Safari, Bitwarden e Keeper. Dei 60 siti web in cui erano state generate password, 19 rifiutarono almeno una password prodotta dai quattro gestori di password testati perché in contrasto con i requisiti del sito.
Restrizioni e compatibilità
Alcuni siti web hanno cercato di limitare l'uso dei gestori di password impedendo di incollare le password o usando impostazioni HTML che chiedono ai browser di non salvare o di non compilare automaticamente i campi di accesso. Nel 2015 British Gas usò onpaste="return false" in un campo password e dichiarò di aver scelto di non garantire la compatibilità con i gestori di password; dopo le critiche, l'azienda disse che avrebbe riconsiderato la propria scelta. Blocchi alla funzione incolla furono riscontrati anche sui siti di T-Mobile, della Barclaycard tedesca e di Western Union. T-Mobile dichiarò che il blocco non era voluto e in seguito lo rimosse.
Un sito può usare autocomplete="off" per chiedere al browser di non memorizzare il valore di un campo per completamenti automatici successivi, ma i browser moderni in genere lo ignorano per i campi del nome utente e della password. Per gli altri campi, autocomplete="off" può ancora scoraggiare il completamento automatico successivo. Un campo password destinato a una password appena assegnata può invece usare autocomplete="new-password".
Nella pubblicazione NIST SP 800-63B il National Institute of Standards and Technology (NIST) statunitense stabilisce che, per essere conformi alle sue linee guida, i sistemi di verifica delle password devono consentire l'uso dei gestori di password e della compilazione automatica. Raccomanda inoltre di permettere agli utenti di incollare le password quando le API di compilazione automatica non sono disponibili. Allo stesso modo l'OWASP (Open Worldwide Application Security Project), nel suo Authentication Cheat Sheet, raccomanda campi HTML standard per nome utente e password, il supporto di password lunghe almeno fino a 64 caratteri e dei caratteri stampabili, e la possibilità di incollare nei campi del nome utente, della password e dell'autenticazione a più fattori.
Applicazioni native
Da Android 8 in poi il sistema offre un framework di compilazione automatica (autofill framework) che permette a servizi come i gestori di password di compilare i campi supportati in altre app. Una più recente integrazione con Credential Manager consente alle app di collegare i campi del nome utente e della password alle richieste di credenziali, così che le credenziali dei fornitori disponibili possano comparire tra i suggerimenti di compilazione automatica.
La funzione di inserimento automatico delle password di Apple (Password AutoFill) collega un'app a un sito web tramite una relazione di dominio associato. Gli sviluppatori la configurano dichiarando il dominio negli entitlement dell'app e pubblicando sul sito un file di associazione corrispondente. I suggerimenti di inserimento automatico mostrati direttamente nei campi sono limitati alle credenziali dei domini associati all'app, ma l'utente può aprire l'elenco delle credenziali di sistema per scegliere un altro accesso salvato. Gli sviluppatori possono indicare un campo di testo come nome utente, password, nuova password o altri tipi di contenuto supportati, così che l'inserimento automatico possa presentare suggerimenti adatti.
(EN) Efstratios Chatzoglou, Vyron Kampourakis, Zisis Tsiatsikas, Georgios Karopoulos e Georgios Kambourakis, Keep Your Memory Dump Shut: Unveiling Data Leaks in Password Managers, in ICT Systems Security and Privacy Protection, collana IFIP Advances in Information and Communication Technology, vol.710, Springer, 26 luglio 2024, pp.61–75, DOI:10.1007/978-3-031-65175-5_5, ISBN978-3-031-65175-5.
(EN) D. Tweney, Keep Track of All Those Passwords (TXT), in PC Computing, marzo 1996. URL consultato il 19 settembre 2026. Ospitato su Internet Archive.
