Newsgroup: it.comp.sicurezza.varie
Titolo: Mail & newsbie

Ho notato che spesso nelle iscrizioni ai miei servizi mail vengono 
scelte password semplici e di facile individuazione, ad esempio la
classica 123456 ...
Mi pare doveroso ricordare che il primo criterio di sicurezza è 
nell'utilizzare per le proprie mail, password "forti" e per queste si 
intende:
_ non utilizzare nomi di cose e/o persone o cmq parole riconducibili 
ad un vocabolario (nemmeno in inglese o altra lingua), questo per 
evitare gli attacchi di brute force (ovvero la forzatura a mezzo di 
vocabolari ad esempio..)
_ usare password lunghe, possibilmente con lettere e numeri e non 
solo lettere, almeno di 8 tra lettere e cifre, meglio ancora se non 
tutte minuscole e non tutte maiuscole ..
_ usare possibilmente criteri di scelta casuali, in alternativa un 
metodo classico ma sempre valido potrebbe essere l'utilizzo della 
prima lettera di una frase nota (magari non un detto, non un 
proverbio). Ad esempio: "Non mettere le dita nel naso" avrebbe 
generato un: "nmldnn" ricavato da: n-on m-etttere l-e d-ita n-el n-
aso . Chiaro?
Non occorre usare criteri paranoici nella scelta della propria 
password, tuttavia un minimo di accortezza vi garantirà una 
protezione basilare ai vostri preziosi dati ..
-- 
Ciao, Dmitry 

 in chiaro vero ?
ti rispondo per dovere di cronaca, più che altro perchè magari la 
risposta può essere interessante per taluni.
I log delle connessioni riportano userid in chiaro e pass crittata, 
questo per il mio mail server ma credo anche per la maggioranza dei 
MS in genere.
Le iscrizioni avvengono con un FORM web in una pagina non crittata 
(non SSL per intenderci), almeno per ora. Ad ogni buon conto noi 
abbiamo un databases delle coppie USER-PASS che ci è necessario per 
gestire gli account anche in remoto e ovviamente con tutte le 
protezioni del caso, che non mi pare il caso di discutere in questa 
sede.
-- 
Ciao, Dmitry 

 sede.
Perchè no? E' pur sempre un problema di sicurezza, IMHO.
Ad alcuni conoscenti che utilizzano X-Privat farebbe piacere sapere.
Sempre IMHO, ovviamente :)
-- 
Marie Dany Keisler

 Perchč no? E' pur sempre un problema di sicurezza, IMHO.
Insomma ...tu puoi leggere la posta degli altri...? lo sanno?
Grat...grat eh eh

 aso . Chiaro?
Uso anch'io questo metodo, tanto che pensavo di farne uno script in
Perl che, dato un testo, restituisca una frase a caso e suggerisca una
password basata sulle prime lettere. Subito avevo pensato di attingere
dalla bibbia per due motivi: la dimensione del libro e per il fatto che
nel peggiore dei casi la frase fosse "indicizzata" dalle coordinate
libro-capitolo-versetto (quindi se non ci si ricorda la frase, almeno si
ricordano le coordinate).
Tipo: 
Genesi 1-1 -> "In principio Dio creò il cielo e la terra" -> ipdcicelt
Poi ho pensato che, se cambiata abbastanza spesso, si può usare questo
metodo per imparare un testo... quindi meglio poter usare un testo
qualsiasi... :)
Se qualcuno è interessato si può fare qualcosa... 
Ciao,
-- 
+--------+ | ASCII ribbon campaign ( ) | 
www.autistici.org/kral
|  kral  | |  - against HTML email  X  |
+--------+ |              & vCards / \ | my gpg id = 0x7C946947

 ha scritto nel messaggio
news:2mqgp3F...@uni-berlin.de...
Genesi 1-1 -> "In principio Dio creò il cielo e la terra" -> ipdcicelt
Arf....arf ....io aspetto Eva ... per provare la chiave ....eh eh

 Ciao,
 Esistono gia' pwgen e apg per questo.
 Vuoi un po' di password ?
kaongohz liehohpa saibahph sooyaimo keiveeku shoxooph reegooru yisaethi
boochiel phupahxu zoolapho rahkaeyu pieleiva ludahhuu jiidaiwa xeingowo
feopheip laeheeph tigahgah quoezahd tohfueme veiriowu wohyiele jaifiepu
baixofeg thihahgh seihiaza motooxoh hidahxiz vaegahgi veengieb wievaehi
reesaith liefeuci bohkaelo heephoew fefeizeb zuzohvur ceecohgo xekootai
Le vuoi sicure ?
wyn[7p&O ]eswzPfT xER$=#,x 0`tu+7LG u0YU.?S# @5h[r2`R uuSk`4tn xf}An2p:
tRNW?4bk bbpWolX[ LEi]j!kJ @B`_,!Q. }_$vWr[u sXx0wa.w dH=-Sybe -mv@B(q0
zewmP_f/ []PzfqYd .u`zkYmM kc3Tnoh< {CITZNak JY_U+vzn xxuW-rAL y9!qZoxN
b.i/]*-` RrreZ|)a FWE,w9Ne 7N%)@,^m ?%B|IQdi (ayI%PeQ DT_:|sm) xkU&8k3F
;Vfa5w%d U0I2@(!@ ZvvM6}2c 5IcC|JJp %*hq$>Js A,=COw?F ftUn_f[[ wCE*+7Ut
;) 
-- 
The Moon is Waxing Gibbous (87% of Full)

 intende:
E che ci frega? Manda una newsletter ai tuoi iscritti no?
-- 
Just because we serve you, doesn't mean we like you. 
News 2000 [v 2.06] / StopDialer / PopDuster - 
http://www.socket2000.com
Akapulce portal: 
http://www.akapulce.net

 password basata sulle prime lettere. 
Perché reinventare la ruota? C'è apg, no?

 Use libcrack. :-)
sotto windows?

 Qualsiasi admin potenzialmente puo', furbo. :)
avendo tempo e voglia...(che manca..) :)
-- 
Ciao, Dmitry 

 fai te. 
ma figurati .. 
-- 
Ciao, Dmitry 

 kaongohz liehohpa saibahph sooyaimo keiveeku shoxooph reegooru yisaethi
Fabrizio ha scritto:
 > Perché reinventare la ruota? C'è apg, no?
[CUT]
Sicuro, ci sono migliaia di programmi per generare password... ma quante 
di queste password sono facilmente memorizzabili? Lo scopo 
dell'eventuale script è quello di fornire una frase da memorizzare con 
la quale si può risalire alla password.
Tutto qua... :)


 Perché reinventare la ruota? C'è apg, no?
apg ma anche altri tool mi pare di aver visto in rete ..
-- 
Ciao, Dmitry 

 E che ci frega? Manda una newsletter ai tuoi iscritti no?
era una considerazione che, ritengo, possa essere utile anche ad 
altri, non solo ai miei iscritti.
-- 
Ciao, Dmitry 

 la quale si può risalire alla password.
Prova apg, sul serio, visto che accanto alla password mette una sorta di
trascrizione fonetica, utile per la memorizzazione


Voglia ok, ma il tempo?
less /var/spool/mail/nomedellaemail
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.


Quoto

 altri, non solo ai miei iscritti.
In *questo* gruppo? :-/
--> it.comp.aiuto, it.aiuto.
-- 
Luca - e-mail: p.stevens at 
libero.it


Straquoto !
Dulcis in "Findus" eh eh
-- 
Walter

 less /var/spool/mail/nomedellaemail
la mia voglia di fare ultimamente finisce in /dev/null , fidati :)
-- 
Ciao, Dmitry 

 In *questo* gruppo? :-/
figuriamoci se non mi pizzicavi eh? :)
-- 
Ciao, Dmitry 

 less /var/spool/mail/nomedellaemail
Sotto windows? (2)


Si parlava di voglia e tempo in generale, oppure il tempo dipende dal 
sistema operativo???


 dipende dal sistema operativo???
Fabbrone ho idea che debba essere un pò aggiornato :)
-- 
Ciao, Dmitry 

 sistema operativo???
Beh, certi sistemi operativi lasciano più tempo libero, o no? :-)

 sede.
Ti faccio notare che _NON_ hai risposto. Ti ha chiesto se le archivi in
chiaro.
Io ad esempio, _prima_ di iscrivermi, vorrei saperlo.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Mommy, what does "Formatting Drive C:" mean?

 Beh, certi sistemi operativi lasciano più tempo libero, o no? :-)
devi distinguere tra:
_ tempo dedicato allo studio (linux)
_ tempo dedicato alle perdite di tempo (windows)
/me filosofo :)
-- 
Ciao, Dmitry 

 archivi in chiaro
cript() (in php)
-- 
Ciao, Dmitry 

 cript() (in php)
Quindi, a parte che e` *crypt()* [1], come ti sei accorto delle password
semplici? Oh, sei tu che hai fatto il post, eh.
[1]
Consiglio: usa md5().



Ma sei hai detto che gli utenti inseriscono password semplici, se sono 
criptate come lo fai a sapere?


 password semplici? Oh, sei tu che hai fatto il post, eh.
gli erori di ortografia non dovrebbero essere una novità :) Ad ogni 
modo non hai letto bene il mio post.
Tu confondi quella che è la memorizzazione nel databases con altro..
-- 
Ciao, Dmitry 

 se sono criptate come lo fai a sapere?
la crittazione avviene solo per la memorizzazione nel databases e per 
i log. la funzione crypt() sai come funziona vero? Critti e decritti 
in MD5, non vedo che cosa ci trovi di problematico..
-- 
Ciao, Dmitry 

 e decritti in MD5, non vedo che cosa ci trovi di problematico..
pardon, era riferito all'uso di md5() :) ovviamente ..
-- 
Ciao, Dmitry 

 Tu confondi quella che è la memorizzazione nel databases con altro..
Non credo proprio. Ti rifaccio la domanda: come "memorizzi" nel
/database/ le password? E come ti sei accorto delle password semplici?
Mi paiono due domande estremamente lecite, non capisco perche` stai
evitando di rispondere.
Francamente, dal tuo evitare di rispondere, sembra che hai qualcosa da
nascondere.
Ps:
Neanche un piccolo grazie per il consiglio? Ingrato. :)


 Ps: Neanche un piccolo grazie per il consiglio? Ingrato. :)
:)
-- 
Ciao, Dmitry 


Perchè, da un hash md5 ricavi la password in chiaro?



Sei matto ...? ;-) lui e' Romano e *erori* di ortografia non ne fa....
-Perche' non risponde...?
 ebbhe'! .... ne va della sua *pelliccia...* eh eh
-- 
Walter

 criptate come lo fai a sapere?
Perche` quando i suoi utenti non riescono a loggarsi lo chiamano e lui 
fa le prove in locale con i dati che loro stessi gli comunicano al 
momento :-)
E non posso fare a meno di notare che non ci voleva tanto ad inventarsi 
una risposta del genere :-)
-- 
Vincenzo

 in MD5, non vedo che cosa ci trovi di problematico..
'Decritti' MD5 ?
Quante decine di processori hai?
-- 
Vincenzo

 Perchè, da un hash md5 ricavi la password in chiaro?
la vedo un pò dura....ma non ve ne è bisogno direi..
cmq se vuoi delucidazioni, magari in e-mail volentieri ..visto che 
forse, siamo quasi colleghi (cacciavite a parte..) :)
-- 
Ciao, Dmitry 

 di trascrizione fonetica, utile per la memorizzazione
Ultimo post e poi chiudo qua! :)
Non so se è un problema solo mio, ma una cosa del genere:
	Vijfift9 (Vij-fift-NINE)
cmq non riuscirei a memorizzarla... o magari ci riuscirei anche, ma dal
momento che ho a che fare con 5/6 account diversi comincerei a sclerare
per ricordarmele tutte!
Una cosa come:
nmdcdnv (Nel mezzo del cammin di nostra vita...)
me la ricorderei abbastanza facilmente...
Ora, so che sono password deboli dato che non hanno né numeri né
caratteri speciali... ma si potrebbe ovviare in qualche modo... magari
mettendo in modalità l33t l'output del programma...
Cmq, era solo una bella idea per uno scriptino, non voglio certo
rivoluzionare il mondo dei generatori di password. Magari a qualcuno
interessava e ci si poteva scambiare qualche idea, tutto qua! :)
Alla prossima,
-- 
+--------+ | ASCII ribbon campaign ( ) | 
www.autistici.org/kral
|  kral  | |  - against HTML email  X  |
+--------+ |              & vCards / \ | my gpg id = 0x7C946947

 errori di ortografia. :)
Scusa se mi intrometto ma dati certi errori di battitura, gli utenti possono
passare la password in chiaro:
Esempio
user     pippo
passw  123456
se l'utente non si sbaglia digita
pippo "shift" 123456
cosa succede se invece digita pippo123456 "shift" ?
dai log del mail server tipicamente vedi questo
Autentication failure  pippo123456  user unknown
Non ci vuole una scienza x capire la passwd in questi casi!
Ciao!


Anche perchè è l'unica cosa da fare in certi casi!


 una risposta del genere :-)
Ci sono anche altre risposte valide. Tra queste "non posso rispondere",
non la considero tale.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Those who do not understand Unix are condemned to reinvent it, poorly.

 passare la password in chiaro:
No, se l'applicazione e` costruita come si deve.
E l'applicazione costruita come si deve non ha conoscenza della
password. Quello che passa e` sempre l'hash di essa.
E il succitato hash deve essere nel database, e verso di quello deve
essere verificata l'uguaglianza, o viceversa. Quindi, sul log,
_eventualmente_, dovrebbe essere scritto l'hash (e non vedo il motivo di
loggare una cosa del genere. E` un eccesso di informazioni, forse anche
discutibile alla luce delle recenti norme. Utente e "login failure" e`
piu` che sufficiente).
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------


 password. Quello che passa e` sempre l'hash di essa.
...
Ma hai letto quello che ho scritto?
l'utente a volte, per sbaglio, inserisce la password nel campo username
ovvero dove tu ti aspetti lo username in chiaro..
che c'entra l'hash?
Ciao!

 ovvero dove tu ti aspetti lo username in chiaro..
Questo mi pare un caso talmente limitato, da non essere nemmeno
considerabile un caso. O vogliamo costruire una logica sulle eccezioni?
Tu dici che c'e` stato un pass collect, dovuto a tutti gli utenti che
scrivono la password in un campo sbagliato? Lo consideri un numero
significativo?
Evidentemente, tutti i miei utenti di posta sono dei geni, allora, visto
che posso portarti statistiche corpose[1] senza un caso (estremo,
ammettilo) come quello che prospetti.
[1]
Nel senso del numero degli utenti.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
If computers get too powerful, we can organize them into a committee.

 significativo?
Certo è un numero basso ma nei log dei sistemi che controllavo ti assicuro
che l'ho visto eccome, ed ho visto sempre password idiote
comprese quelli dei "fighetti" che mettevano qwerty!!!
Potrei aggiungere che mi son trovato in situazioni dove c'era il postit sul
monitor  con su scritto
password: password, oppure in situazioni forzate di collaborazione con
l'utente dove era l'utente stesso che ti diceva la sua passw senza nemmeno
che tu gliela chiedessi..
Il senso del mio messaggio voleva essere:
non è detto che per avere un idea del tipo di passw che usano gli utenti
serva per forza violare le norme sulla privacy o usare chissà che
mirabolante tecnica hacker, nella mia esperienza lavorativa come sistemista
su sistemi mail ed accesso ad internet son venuto a conoscenza di almeno un
100 di pasword senza violare alcuna norma sulla privacy, abbastanza per
farmi un idea sulla semplicità delle passwd utilizzate dall'utente medio.
Chiaro che poi tutti gli applicativi ed i metodi per conservare le passwd
devono invece rispettare tali norme, tutto qui
Ciao!

 Prova apg
Link, please.
-- 
Ciao, MasviL
PGP Key ID: 0x3AF7DD61
ICQ# 5364346

 Link, please.
 
http://www.adel.nursat.kz/apg/
-- 
The Moon is Waning Gibbous (96% of Full)

Perchè, da un hash md5 ricavi la password in chiaro?
Ti rispondo parzialmente OT ma stavo dando un occhiatina alle tecniche di
criptoanalisi;
Non che sia rigoroso al 100%, comunque
sembrerebbe che con le rainbow tables l'hit ratio da Hash (md5 Sha etc etc)
a passw in chiaro può raggiungere il 99,04% sino ad un max  di 14 caratteri
alfanumerici.
Sto facendo dei test per curiosità,
Ciao

Era davvero tanto che non ridevo cosě di gusto, cosě tanto
grazie a tutti quelli che in questo 3d m'hanno donato questa stupenda
sensazione
ciau


....peccato che è finita sigh.....ci rimangono solo un pugno di peli....!