Newsgroup: it.comp.sicurezza.varie
Titolo: I dogmi della password sicura (sono davvero tali?)

1° Dogma: "Cambiare spesso la password..."
Ogni tot mesi vengo sollecitato a cambiare alcune password. Per
esempio Aruba mi scrive
"per tutelare la riservatezza dei dati di accesso al proprio sito web
e agli altri servizi, è necessario ricordarsi di effettuare,  almeno
ogni  3 – 6  mesi, l’aggiornamento della password associata alla login
(come riportato sul contratto accettato on line al momento della
richiesta del servizio stesso)."
Ma è davvero questo il segreto della sicurezza?
Boh. Certo, se mi hanno bucato la pwd, cambiandola metto una pezza.
Però non risolvo il problema di fondo che ha consentito il "buco".
Inoltre, se dovessi cambiare "almeno ogni 3-6 mesi" tutte le centinaia
di password di siti, forum, servizi, conto on line, email, pin pun pan
vari, e poi ovviamente registrare la nuova password da qualche parte
al sicuro, oppure memorizzarla se necessario. dovrei assumere una
segretaria solo per quello :D
E chi non ha la segretaria? Probabilmente non potrà dedicarsi a
continui cambi di password. Oppure andrà a finire che anziché
impararla a memoria o registrarla con cura in luogo sicuro, per la
fretta la scriverà su un post-it al volo, lasciandolo in bella
evidenza sul computer. Peggio che mai. Ok, non tutti fanno così, ma
quello che voglio dire è che aumentando gli adempimenti e la
complessità della gestione (come succede dovendo cambiare le password
frequentemente) aumenta anche la possibilità di errori, distrazioni e
comportamenti troppo disinvolti da parte dell'utente quadratico medio.
2. Dogma: "Usare sia maiuscole che minuscole per aumentare la
complessità della password...".
Certo, il set si allarga, ma a quale costo? Il prezzo, secondo me, è
di rendere le password meno facilmente memorizzabili, quindi aumentare
il rischio di comportamenti impropri, come il famoso post-it in bella
evidenza! Se per esempio devo ricordarmi la password "toro7", posso
collegarla all'immagine di sette tori e memorizzarla senza problemi...
ma se devo ricordare se era "Toro7", "tOro7" o "TORO7", allora gli
appigli mnemonici scarseggiano e finirà per doverla annotare da
qualche parte.
3° Dogma: "La password sicura deve contenere sia lettere sia numeri
sia caratteri speciali..."
Su questo sono d'accordo, ma con un ma. Mi spiego. La tesi ufficiale è
che usando un set più ampio aumenta la sicurezza,  perché l'eventuale
attacco non deve limitarsi ai soli caratteri alfabetici ma includere
anche numerici e caratteri speciali.
Sono d'accordo che "pipp...8" è una password meno banale di
"pippotto" (che tra l'altro rischia di essere su qualche dizionario).
Tuttavia, questo dogma vale solo se supponiamo che la password sia
solo alfabetica. Mica è detto. Potrei per esempio pensare una password
fatta di soli numeri o di soli caratteri speciali. E l'attaccante cosa
ne sa del mio set preferito?
4. Dogma: la massima entropia...
Non so se sia un dogma, ma a volte mi capita di ricevere password
generate automaticamente, diciamo tipo kl790;jUp,O0Liq , senza neanche
la possibilità di cambiarle. Non so perché sia così, forse per evitare
che l'utente la sostituisca con una sua pwd troppo banale?
Il problema, però, è che nessuno memorizzerà "kl790;jUp,O0LPq", molti
lo scriveranno su un foglietto lasciato sulla scrivania o nel
cassetto, mentre un passphrase anche più lunga ma con pseudoparole
random sarebbe memorizzabile.
5. Già prevedo un'obiezione: non c'è bisogno di memorizzare alcunché,
basta registrare tutte le password al sicuro e poi ricordare una sola
pwd per il "forziere". Sarà pure, ma il fatto è che non tutti lo
fanno, per svariate ragioni (dalla pigrizia all'imperizia tecnica, o
per il fatto che le password devono essere usate in contesti diversi,
chessà non solo su 1 pc ma anche su altri pc, a casa, al lavoro, e poi
sul telefonino smart, parlando al tefono, o altro ancora, quindi non
sempre è comodo "attingere al forziere" delle password!). Le regole
della sicurezza,  voglio dire, dovrebbero mettere in conto i
comportamenti reali delle persone in carne e ossa, non solo
comportamenti ideali teorici.

 pwd per il "forziere". Sar� pure, ma il fatto � che non tutti lo
A me questo approccio NON piace, se ti "bucano" il forziere sei fregato

 complessità potresti ad esempio usare il "l33t" ossia sostituire
Buona l'idea del "l33t", ma basta poco per aggiungere il l33t al
dizionario. Meglio ancora avere un proprio metodo personale :-)

 prima.
Inoltre, se si cambia pwd senza accorgersi del worm, il vermetto
spione potrebbe rubare anche la nuova pwd

 Meglio ancora avere un proprio metodo personale :-)
Hai provato a dare un'occhiata all'idea di "savernova" ?

 Hai provato a dare un'occhiata all'idea di "savernova" ?
Ora guardo :)

 Ora guardo :)
Ma non è sempre l'idea del "forziere", in fondo?

 Ma non � sempre l'idea del "forziere", in fondo?
No, l'idea non � nuova e si basa sul vecchio ma ancora valido
principio dell'OTP (One Time Pad) e permette di avere "n" pwd
e di ricordarle tutte semplicemente utilizzando UN riferimento ed
un "pad", ovvio che quest'ultimo � il punto debole, se lo perdi o
te lo copiano...

 te lo copiano...
Eh appunto, in quel caso si pappano anche tutte le altre pwd che sono
concentrate lì.

 pwd che sono concentrate lï¿½.
Si ma debbono RUBARTELO e quantomeno te ne
dovresti accorgere... contrariamente a credenziali
"elettroniche" (o files) che potrebbero esserti sottratte
senza che tu te ne accorga :)