Perché una frase di recupero invece di nome utente e password?

All'inizio sembra il contrario, ma una singola frase di recupero è la costruzione più solida. Con nome utente e password, il nome utente non è un segreto (compare in ogni archivio di dati violati), quindi tutta la sicurezza poggia sulla password - e le password scelte dagli umani si fermano in media a forse 30 o 40 bit di entropia. La tua frase di 12 parole sono 128 bit garantiti, generati dal tuo dispositivo, mai scelti da un umano e mai riutilizzati da un altro sito.

Da noi, inoltre, non c'è nulla da perdere. Un login con password significa che il server conserva almeno un hash della password, che può trapelare, essere craccato o rubato con il phishing. La tua frase non lascia mai il tuo dispositivo: deriva le tue chiavi di cifratura in locale, e il server vede sempre e solo dati cifrati. Non c'è alcun hash da rubare né un flusso di reset password da sfruttare.

Se digitare 12 parole ti sembra scomodo: puoi salvare la frase nel tuo password manager con un tocco (Impostazioni > Sicurezza > La tua frase), e l'accesso diventa come qualsiasi altro login. Preferisci la via familiare? Funziona anche l'accesso con Google o Apple, e sotto il cofano ottieni comunque una frase.