Nielsen e le password
Martedì 7 Luglio 2009 - 08:31
di Cesare Lamanna
Leggo solo ora dell’ultimo (stimolante? provocatorio?) Alertbox di Jakob Nielsen. Tema: l’uso di mascherare i caratteri nei campi di inserimento delle password.
Nella visione di quello che è forse l’unico uomo al mondo che di default viene definito guru, tale pratica andrebbe abolita. Via libera ai caratteri in chiaro.
Per dare sostanza alla sua opinione, Nielsen non porta questa volta a sostegno i risultati di approfonditi studi e ricerche. Molto più semplicemente: quando uno fa il login su un sito è altissima la probabilità che non ci sia nessuno alle sue spalle a spiare, pertanto mascherare la password è inutile. E perché, visto che è inutile, continuare ad adottare il sistema con tutti i problemi in termini di usabilità che pone?
Ovviamente il nostro non può non tenere conto di situazioni particolari, come quelle in cui ci si trova in luoghi pubblici o quelle in cui il login avviene su siti come quelli delle banche. La soluzione proposta è quella di aggiungere accanto al campo un checkbox tramite cui scegliere se mascherare la password o no. Sagace… Oppure no?
Categoria: Web Design | Permalink
Commenti
1
Secondo me si sta un po esagerando… un po troppo!!! va bene l’usabilità, ma spesso si predica bene e si razzola male… So di dire una cosa provocatoria ma secondo me il sito di Nielsen è poco usabile. Appena sono entrato non ho avuto la sensazione di di trovarmi a mio agio anzi l’ho navigato premendo sempre il tasto back del browser eppure con internet ci lavoro da un po di anni!
# - postato da leo - 07 Luglio 2009 - 09:32
2
Scusate, ho regitrato prima di finire….
ma volevo completare il concetto:
va bene se le proposte sono propositive, ma quando si cade nella banalità o si scade nelle provocazioni anche chi viene definito un “guru” dovrebbe scendere dal suo piedistallo e trattato come una persona che dice str****te. :-)# - postato da leo - 07 Luglio 2009 - 09:38
3
Scusate ho premuto invio prima di terminare il concetto:
Vanno bene quando le proposte sono propositive, ma quando si esagere o si vogliono creare solo provocazioni allora anche un “guru” dovrebbe scendere dal suo piedistallo ed essere trattato alla stregua di un uomo che spara str****te.# - postato da leo - 07 Luglio 2009 - 09:42
4
Soluzioni esistono di già e sono già utilizzate ad esempio sul browser del mio nokia, in un campo password durante l’inserimento visualizza per pochi secondo il carattere premuto dopo di chè diventa un’asterisco, semplice, feedback visivo e password al sicuro.
# - postato da michelangelog - 07 Luglio 2009 - 09:48
5
il sito di jacob è quanto di più fastidioso da usare ci sia, provate poi a validarlo ma sicuramente saranno degli errori voluti perchè così tutto funziona meglio :)
# - postato da giappo - 07 Luglio 2009 - 10:04
6
javascript:(function(){for(var j=0,i=document.getElementsByTagName(”input”);j<i.length;++j)if(i[j].type==”password”)i[j].type=”text”;})();
bookmarklet, e via
7
Nielsen spesso dice cose banali (ma sicuramente non va valutato per il codice del suo sito…). Anche se non cita studi a supporto, le motivazioni non sono da scartare. La deduzione di una sotto-linea guida a partire da una serie di linee guida più generali è un’operazione teorica del tutto lecita. Serve a generare ipotesi da sottoporre in seguito alla validazione sperimentale.
In questo caso, forse, Nielsen pare dimenticare che i browser salvano troppe cose all’insaputa degli utenti. Una password in chiaro è un campo in chiaro che successivamente potrei recuperare semplicemente usando il pc del precedente utente.
Anche secondo me il metodo “Nokia” citato da michelangelog è interessante.
Forse non è questo il modo di affrontare la questione, tuttavia non trascurerei un’osservazione di nielsen: dalla difficoltà a ricordare le password nascono metodi alternativi di memorizzazione (foglietti, file, salvataggi automatici del browser) che alla fine invalidano i presupposti di sicurezza di campo criptato.
# - postato da Andrea Crevola - 07 Luglio 2009 - 11:54
8
Avevo letto la notizia qualche giorno fa su qualche blog inglese e mi sono subito trovato assolutamente in disaccordo… Sinceramente nel caso specifico do molta piu’ rilevanza alla privacy e alla sicurezza dei miei dati piuttosto alla “comodita’” di vedere la mia password. Mi sembra davvero un’assurdita’ e non riesco a capire come un “guru” (che poi sinceramente Jakob ogni tanto qualche cagata la spara) possa sostenere una soluzione del genere.
Adesso… che mi dica quali sono i vantaggi reali di una soluzione del genere… perche’ finora quelli che ha elencato a me sembrano piu’ fonte di eventuali problemi.
Aggiungere un altro checkbox per attivare o disattivare la funzionalita’? Ma scherziamo? Questo sarebbe una soluzione a favore dell’usabilita’? Come minimo bisognerebbe piazzarci un paio di righe di testo solo per spiegare all’utente medio a cosa serve quel checkbox. Bello? no… Usabile? no… Semplice? no… Chiaro? no… Sicuro? no…L’unica eventuale opzione sarabbe quella proposta da michelangelog, gia’ ampiamente utilizzata su molti dispositivi mobili. Ma anche li e’ un discorso particolare: quella soluzione e’ stata adottata perche’ con le tastiere dei cellulari c’e’ il problema della condivisione dei piu’ caratteri sullo stesso pulsante, per cui diventa essenziale dare un feedback visivo all’utente. Sinceramente non sento la necessita’ di applicarla al normale browser desktop.
# - postato da Andrea - 07 Luglio 2009 - 11:54
9
@Andrea Crevola se salvi le password basta che vai in opzioni, password e le hai tutte li per dominio. Oppure usi lo script che ho postato prima e vedi quello che ti pare. Se su un PC hanno accesso piu’ persone con lo stesso account non e’ sicuramente questo il problema della sicurezza password …
10
Avevo letto l’alertbox, ero tentato di scriverci un articolo, poi ho deciso di lasciar perdere. E’ semplicemente esagerato: l’unica soluzione alternativa possibile è quella usata sui cellulari, ma non è detto che ce ne sia la necessità.
# - postato da Tommaso Baldovino - 07 Luglio 2009 - 12:38
11
IMHO la soluzione usata sui cellulari (carattere visibile per pochi secondi) va bene giusto su dispositivi con uno schermo visibile solo all’utilizzatore (appunto cellulari, console portatili, ecc). Nel caso di un computer, quei pochi istanti per cui è visibile il carattere bastano a far leggere la password da altri.
# - postato da Luca - 07 Luglio 2009 - 12:44
12
Ho letto qualche giorno fa questo alertbox.
Concordo a pieno sul fatto che una password mascherata provoca errori. Mi capita molto spesso di sbagliare le password sui siti dove non l’ho salvata.
Credo però che la soluzione migliore non sia una password tutta in chiaro ma una password stile “iPhone” ovvero: durante la digitazione, ultimo carattere in chiaro e gli altri occultati. Tuttavia, sullo schermo dell’iphone ho a qualche centimetro di distanza tastiera e schermo, sul computer potrebbe non essere così.
Il fatto che un alertbox di Nielsen provochi reazioni forti è normale, è sempre successo. Peccato che se tutti seguissero ciò che quest’uomo predica, saremmo in un web migliore! :)
PS: si parla tanto di privacy ma siamo nell’era del “social”: un giretto sul profilo di una persona (twitter e facebook) e sò cosa fa, chi frequenta, dove va… la privacy si costruisce giorno per giorno e non è una parola da urlare ogni tanto per sentirsi al sicuro e protetti.
Nielsen spesso sfodera provocazioni ma i suoi libri sono ottimi e, se seguiti, danno un otitmo risultato sul web.
13
Non avendo voglia di fare il copia-incolla, metto il link di quello che penso: http://www.oneitsecurity.it/02.....mment-4758
14
A mio avviso, l’ipotesi è costruita su presupposti sbagliati, perché forse Jacob Nielsen non lavora in team.
Io lavoro in team, e con centinaia di account diversi tra email e servizi vari, capita spessissimo di fare il login con altre persone dietro le spalle, tutti a guardare lo stesso schermo.
E’ ormai consuetudine diffusa per tutte le persone che lavorano con i pc da qualche anno, quella di guardare altrove in modo anche evidente nel momento in cui qualcuno davanti a sé digita una password, proprio per rispetto della privacy e dello spazio personale (PC significa infatti personal computer).Sebbene i caratteri non vengano visualizzati, la tastiera è sempre visibile, e già in questo modo è facile capire una password.
Figuriamoci cosa succederebbe se ci fossero anche i caratteri in chiaro e qualcuno nei paraggi che ha intenzione di violare la nostra privacy, che tutela della sicurezza!# - postato da Emanuele DG - 07 Luglio 2009 - 14:37
15
Sarà anche un Guru dell’accessibilità ma qualcuno dovrebbe fargli un corso di web design. Il suo sito è tra i più brutti che abbia mai visto e molte volte un sito piacevole all’occhio è anche più usabile quindi secondo me definirlo guru è eccessivo, con tutto il rispetto naturalmente. Per quanto riguarda la questione della password penso che sia molto comoda la checkbox che permette o meno di visualizzare i caratteri digitati.
# - postato da Dani7887 - 07 Luglio 2009 - 15:09
16
Di soluzioni per migliore il web ce ne sono a migliaia, non contesto affatto l’usabilità del web e le regole da seguire per una navigazione migliore, dico semplicemente che prima di “sparare nel mucchio” sia bene (come ha fatto in passato), che analizzi le conseguenze di alcune affermazione e soprattutto cercare di avere idee chiare su come poter risolvere le problematiche che queste possono provocare. Se si tratta di una provocazione, è una provocazione sterile perchè crea solo contrasti (dato che i guru hanno sempre seguaci!) e dividere ulteriormente chi opera nella progettazione, se invece ha proposte concrete e sensate allora le esponga, e qui potremmo cominciare a raggionarci su.
# - postato da leo - 07 Luglio 2009 - 15:16
17
Questo discorso mi ricorda quando si voleva impedire la “pirateria” dei floppy….
La soluzione migliore è hardware. Ad esempio usare intensivamente i lettori di impronte digitali, che sembrano ben funzionare, e che sono già di serie su molti portatili. Basterebbe certificarli e diffonderli, magari inventando un modello applicato su una chiavetta USB, escludendo a quel punto ogni memorizzazione di crediti di accesso sul browser.
Niente tastiera, niente codici in vista.# - postato da Logico - 07 Luglio 2009 - 15:41
18
@ Dani7887
permettimi di correggerti: Nielsen è esperto di Usabilità del web, non accessibilità.
Comunque concordo con te sul fatto del checkbox anche se il tutto creerebbe problemi a chi non è esperto del web…
@ Logico
non sarebbe male come idea ma la trovo problematica se non altro per il fatto di avere un oggetto facilmente dimenticabile in giro come le penne usb… magari sarebbe da approfondire questa tua idea…
19
implementazione iPhone via jQuery:
http://blog.decaf.de/2009/07/i.....ng-jquery/;-)
20
@andr3a: il fatto è che quando si parla di usabilità spesso non devi avere in mente l’utente “esperto”, ma la persona comune.
Soprattutto nel caso di siti web. Si sa che esistono modi alternativi per ricordare le password, ma a volte la cura è peggio del male :) Basterebbe un rapido giro di interviste per accorgersi che spesso questa funzionalità (che non mi pare sia presente su tutti i browser) non sia affatto nota… ma detto questo il focus della riflessione non è la sicurezza ma l’usabilità. Ci sono situazioni in cui o l’una o l’altra devono andare incontro a compromessi.
Nielsen parte da un’osservazione sul campo: gli utenti fanno fatica a lavorare con le password. Tant’è che i browser hanno ormai incorporato delle funzionalità a sostegno di tale problematica. A questo punto si chiede se - dal punto di vista dell’usabilità - non si possa trovare una soluzione. Ma l’esperto di usabilità propone delle raccomandazioni, di solito, e poi un tecnico verifica la loro fattibilità.
Il caso delle password è forse emblematico, un simbolo direi, di tante altre decisioni che toccano al designer: cosa devo favorire? la semplicità d’uso o un più generale senso di sicurezza? ad esempio la soluzione posta da nielsen la vedo possibile in alcune situazioni e non in altre, dove oltre a una sicurezza reale devi sommare una sicurezza percepita.
# - postato da Andrea Crevola - 08 Luglio 2009 - 09:59
21
con la soluzione postata da andr3a un mio amico su un telefonico skype è riuscito a leggere la mia password… ora si tratta di un amico al quale affiderei anche tutto il mio stipendio e so che non lo toccherebbe… ma se l’avesse letto un’altra persona… ora il mio nick skype sarebbe compromesso. tutto questo è avvenuto su un telefonino, con caratteri piccolissimi e con uno schermo grande meno di un postit. ho i brividi a solo a pensare di utilizzarla su di un monitor con risoluzione 800×600. utilizzare un tecnica del genere per acquistare un prodotto online… preferisco il mio metodo… la memoria dei codici, e se sbaglio ci riprovo
# - postato da leo - 08 Luglio 2009 - 13:08
22
ehm Ubuntu chiede di mascherare o no la password su diversi applicativi…
23
L’idea proposta su Ubuntu è buona. Così si risolve il problema alla radice.
Anzichè il checkbox non sarebbe meglio inserire un bottone con testo “Controlla / Controlla Password” accanto al campo password così da poter mostrare la password inserita?# - postato da Alessio - 09 Luglio 2009 - 00:39
24
Da diversi anni gestisco un software per la quale è abitudine comune utilizzare password estremamente complicate (circa 30 caratteri).
Fortunatamente il check “smaschera password” è stato previsto già nel lontano 1999 (anno in cui ho cominciato ad utilizzarlo)… Altrimenti effettuare il login sarebbe stato un suicidio…
Possibile che non m’è mai venuto in mente di applicare tale ragionamento al web? Mannaggia!!!
Trovo l’idea di Jakob decisamente valida? Ora mi chiedo…
25
Leo ha scritto:…ma secondo me il sito di Nielsen è poco usabile…
Sicuro? In cosa hai trovato difficoltà?
Il sito di Jakob è orribile ma IMHO assolve pienamente al compito che si prefigge.
26
L’idea di Nielsen è valida, anche se forse è proprio il concetto di password ad essere obsoleto e per certi versi non usabile. Password diverse per diversi siti, programmi che le memorizzano e che ovviamente necessitano loro stessi di una password principale di sicurezza… Io ogni giorno digito decine di password. Ma nel 2009 non si può trovare un sistema di riconoscimento più intelligente?
27
[…] Nielsen propone: “Quando un utente effettua il login su un sito è altissima la probabilità che non ci sia nessuno alle sue spalle a spiare, pertanto mascherare la password è inutile. E perché, visto che è inutile, continuare ad adottare il sistema con tutti i problemi in termini di usabilità e di sforzo cognitivo che pone? Ovviamente il nostro sistema non può non tenere conto di situazioni particolari, come quelle in cui ci si trova in luoghi pubblici o quelle in cui il login avviene su siti come quelli delle banche. La soluzione proposta è quella di aggiungere accanto al campo un checkbox tramite cui scegliere se mascherare la password o no e rendere cosi il sistema più usabile.” (Fonte) […]
# - postato da Quanto è importante una password ? | Giuseppe Labanca - 21 Luglio 2009 - 09:53