Newsgroup: it.diritto
Titolo: La 196 e le password

Mi sono ultimamente informato sul Decreto Legislativo 30 giugno 2003, n.
196, "Codice in materia di protezione dei dati personali", e in
particolar modo sull'Allegato B, "Disciplinare tecnico in materia di
misure minime di sicurezza".
Sono rimasto allibito quando ho letto il punto 5, quello riguardante le
password: ebbene legalmente basta una password di otto caratteri, ma non
č specificato di cosa devono essere questi otto caratteri.
Quindi vanno bene anche otto lettere minuscole, cioč una password che
sarebbe troppo semplice perfino per iscriversi a un web forum.
Ma se i parlamenteri italiani legiferano in questo modo, non sarebbe
meglio mandarli a casa, anche regolarmente stipendiati, cosě almeno non
fanno danni???

fanno danni???
Dipende come è fatto il sistema di controllo, in una smart-card dopo 3
errori devi inserire il puk di n caratteri. Alcuni sistemi hanno dei
tempi obbligati tra un errore e l'altro impedendo di fatto un
approccio brute force.
Secondo me invece la legge non è male in molte parti, ci sono alcune
lacune e forse avrebbero fatto meglio a fare riferimento agli standard
internazionali senza entrare nei particolari.
AndreA


Su questo concordo, perché una legge più parla di cose tecniche, più
sbaglia, dato che la tecnica è in continua evoluzione.
Sul fatto che la legge sia fatta bene non posso essere d'accordo, parlo
però soltanto dell'Allegato B.
Che esistano tempi obbligati tra un errore e l'altro non c'entra col
fatto di permettere password di otto caratteri senza specificare le
classi dei caratteri, si tratta di "difesa in profondità".
Perfino la Microsoft nel raccomandare le password parla delle classi dei
caratteri, cioè fa meglio dell'Allegato B, che scritto come è scritto
non serve a un bel nulla. Inoltre l'Allegato B al punto 2 dice che basta
la password e altri mezzi di autenticazione (p.e. smart card) sono
facoltativi.
Ripeto: usare una password di otto caratteri, ma di una sola classe
(p.e. lettere minuscole) e che neanche devono essere casuali (il punto 5
non lo dice) è come dire: fate un po' come vi pare.
Una password siffatta può essere craccata nel giro di secondi.
C'era bisogno di fare una legge?

 siffatta può essere craccata nel giro di secondi
solo se hai accesso alle credenziali in cache...altrimenti no
ed inoltre dipende da come le credenziali sono state cachate perche' 
anche le rainbow tables non coprono tutti i possibili algoritmi di 
hashing.
sono d'accordo con te sul fatto che sia una password debole, ma non e' 
corretto dire che la si puo' craccare in pochi secondi.
per quanto riguarda il brute force come ti hanno gia' indicato ci sono 
altri meccanismi di protezione.

 altri meccanismi di protezione.
Ma non è questo il punto che volevo sottolineare. Fare affidamento su
altri ed eventuali meccanismi di protezione vuol dire:
1. non sapere che cos'è la difesa in profondità.
2. rendere inutile mettere il limite minimo di otto caratteri di una
sola classe e neanche casuali, tanto ci sono altri meccanismi di
protezione. Scelgo a caso dai titolo del ng: "condanna", ecco una
password che soddisfa le specifiche dell'Allegato B.
Ma volete difendere l'indifendibile?

 Una password siffatta può essere craccata nel giro di secondi.
Una password di otto caratteri alfanumerici ha, se non si utilizzano
le maiuscole, circa 2.200.000.000.000 possibili combinazioni.
Se tu sei in grado di craccarla in "pochi secondi", complimenti!
Per il resto del mondo, però, sarebbero necessari mesi di lavoro...
edi'® 

 mondo, però, sarebbero necessari mesi di lavoro...
lui si riferisce probabilmente all'utilizzo di rainbow tables e/o attacco 
alle credenziali in cache.
in tal caso pochi secondi, a seconda dell'algoritmo di hash, potrebbero 
essere sufficienti ma devi prima accedere appunto a tali credenziali 
cachate

 Ma volete difendere l'indifendibile?
veramente condivido il tuo punto di vista.
ma non e' corretto dire che la cracchi in due ore e mezzo,
perche' comunque le cose sono un pochino piu' complicate :-)

 fanno danni???
Quelle infatti sono le misure minime per poter trattare dati con sistemi 
elettronici (ad esempio tenere una rubrica di numeri telofonici associati al 
nome nel proprio pc. di ufficio). Il titolare del trattamento deve comunque 
adottare  (vedi art. 31) ogni opportuno accorgimento in base al progresso 
tecnico, alla natura dei dati e alle specifiche caratteristiche del 
trattamento in modo da ridurre al minimo ogni rischio. La differenza è che 
chi non adotta le misure minime di sicurezza commette un reato mentre nel 
caso in cui le misure minime siano adottate ma che all'atto pratico non 
risultano idonee (qualcuno accede abuisivamente ad es. ) il titolare del 
trattamento risponde solo sotto il profilo civilistico. Puoi pertanto essere 
meno allibito e adottare la misura che in concreto e in relazione al 
progresso scientifico ritieni la più idonea a proteggere i dati di cui ti 
occupi. 

 cachate
Credo che, a quel punto, l'aver utilizzato anche le maiuscole non
cambierebbe granché la situazione...mentre l'allibimento (sic) di
willsmith era dovuto proprio a ciò.
Ciao,
edi'® 

 le maiuscole, circa 2.200.000.000.000 possibili combinazioni.
E chi parla di otto caratteri alfanumerici? Non certo l'Allegato B, che
non parla affatto delle classi dei caratteri, ragion per cui il minimo
per legge può perfettamente essere una parola del dizionario di otto
caratteri (tutte lettere minuscole). Non ci sarà affato bisogno di un
attacco forza bruta, sarà sufficiente un semplice attacco dizionario,
altro che 2.200.000.000.000 possibili combinazioni.


E allora? Tu stai descrivendo un tipo di attacco, ma l'allegato B non fa
assolutamente questo, dice soltanto ciò che il difensore è tenuto per
legge a fare (se poi vuol fare di più sono fatti suoi).
Guarda che la Microsoft (che non è notoriamente un fulmine di guerra in
 fatto di computer security) raccommanda ben altro ai suoi utenti, vedi:
http://www.microsoft.com/italy/athome/security/privacy/password.mspx
dove è testualmente riportato:
Non utilizzare parole presenti sul vocabolario di una qualsiasi lingua

 altro che 2.200.000.000.000 possibili combinazioni.
Secondo me il tuo approccio alla questione è sbagliato.
La legge dice che i dati vanno protetti e elenca alcuni requisiti
minimi da rispettare. Tra questi c'è la lunghezza della pw.
Dopo di che, se chi si occupa dei dati sensibili utilizza come pw
il suo cognome, la ragione sociale della ditta o attacca come pro
memoria un foglietto dietro il monitor...
edi'®