Newsgroup: it.comp.sicurezza.varie
Titolo: sito ebay chiede di cambiare la password

Dall'home page di ebay un annuncio porta a questo messaggio_
 
"Mantenere la sicurezza su eBay per acquirenti e venditori
Mercoled�, abbiamo annunciato che chiedevamo a tutti gli utenti eBay di 
cambiare la loro password. Abbiamo fatto questa richiesta perch� un 
attacco informatico ha compromesso il nostro database di utenti eBay che 
includeva la tua password criptata."
[...cut...]
http://www.ebay.it/reset?_trkparms=clkid%3D7132105684794329424
 


http://www.ebay.it/reset?_trkparms=clkid%3D7132105684794329424
 
 
Si sono accorti che l'attacco "contenuto" di Marzo non era cosi' contenuto.
 
http://www.reuters.com/article/2014/05/21/us-ebay-password-idUSBREA4K0B420140521
 
 
Leonardo
 
-- 
 
Then felt I like some watcher of the skies, when a new planet swims into his ken;
Or like stout Cortez when with eagle eyes, he star'd at the Pacific; and all his men
Look'd at each other with a wild surmise - silent, upon a peak in Darien.


http://www.reuters.com/article/2014/05/21/us-ebay-password-idUSBREA4K0B420140521
 
 
Incidentalmente, leggendo l'articolo emerge un dettaglio preoccupante. eBay
confessa di stare violando scientemente la prima legge della crittografia -
o di scrivere le press release alla unni va va, non saprei quale.
 
	EBay spokeswoman Amanda Miller said the company was making
	the request "out of an abundance of caution" and that it used
	"sophisticated," proprietary hashing and salting technology to
	protect the passwords.


 	protect the passwords.
 
hmm... a me quanto sopra suona grossomodo "security through obscurity"
o, se si preferisce, come il classico "doppio xor" :D
 


Ieri, sull'ultimo Linux Magazine ho letto quanto in merito dicono quelli 
di Google e mi pare che sia altrettanto poco convincente... comunicati 
scritti augurandosi che chi legge sia una testa di legno.
Anche se, mettendosi nei panni degli uffici stampa... --diciamocelo-- 
che cosa vuoi mai che scrivano in proposito?!?! Mica possono spiegare al 
vasto pubblico come ha funzionato (e funziona...) heartbleed e che loro 
non hanno responsabilit� in merito...
Se mi ricordo, domani trascrivo qui le righe di Linux Magazine.

 quelli di Google e mi pare che sia altrettanto poco convincente...
 
Linux Magazine o Linux Journal ?
 
http://www.linux-magazine.com/Issues/2014/159/Welcome
 
 
http://www.linuxjournal.com/
 
 
non per altro, ma l'articolo che citi forse mi è sfuggito; è stato
pubblicato sulla versione italiana per caso ? Non per altro ma non la
leggo, quindi probabilmente è per quello che mi è sfuggito
 
 

 
http://www.linuxjournal.com/
 
 
Qui c'� un articolo sulla cifratura di partizioni che parla di un 
prodotto che funge da alternativa a TrueCrypt. Vedi mio messaggio 
seguente in thread relativo.
 
 
 
[*]
 
�maintains an inventory of device properties that serves as a means for 
ensuring the device hasn't been altered�
 
Immagino un hash del MAC address assieme ad altri dati identificativi 
(tipo seriale dell'Hard Disk)". Mi pare che Windows tempo addietro 
usasse un metodo simile... mah...
 
�Some networks require authentication by MAC address to receive an IP 
address through DHCP. Google's plan takes this idea of restricted local 
access much further, with a much more elaborate investigation than a 
simple check of the MAC address.�
 
E te credo: quella (almeno: se detta cos�) del tracciare ci� che fanno i 
MAC non � un'autenticazione, ma � (semmai) soltanto un modo per 
garantirsi sul piano legale (almeno in Italia, ma anche in USA ???)... 
ovverossia: loggando i MAC (e conservando i log... vedi "log retention 
policy") posso dimostrare che un eventuale abuso non deriva da me (me 
che fornisco l'accesso)... questo, in Italia, oggi � sufficiente sul 
piano legale. Ma di certo non � un metodo valido di 
individuazione/identificazione, dato che spoofare un MAC � un gioco da 
ragazzi... vabbe' il discorso � un po' lungo... se trovo il tempo lo 
affronto qui (interpretazione conseguente al venir meno degli obblighi 
di cui al decreto Pisanu...), che magari ne parliamo.

Ecco le righe di Linux Magazine (italiano, Giugno-Luglio 2014, p.89) 
riguardo a Hertbleed di cui dicevo nei precedenti post.
 
�Dal momento che il bug si presentava solo per l'estensione Heartbeat, 
sono stati vulnerabili solo i server web HTTPS che l'avevano abilitata e 
la maggior parte dei siti, ormai, � stata aggiornata a una versione non 
vulnerabile di OpenSSL. Tra i "big" sembra che Yahoo Mail, Facebook, 
Instagram, Dropbox ed altri siano stati vulnerabili. Poco chiaro � il 
caso di GMail: sembra infatti che sui server di Google fosse installata 
una verisione vulnerabile di OpenSSL, ma i responsabili di Big G 
sostengono che non vi sia un reale rischio per gli utenti, anche perch�, 
essendo stati proprio alcuni impiegati di Google ad aver scoperto alcuni 
mesi fa l'esistenza del bug, i servizi sono stati blindati fin dal Marzo 
2014 (quindi � molto difficile che qualche pirata possa aver utilizzato 
recentemente il bug per leggere le password di qualche utente). Il 
problema principale � che nessuno � in grado di difendersi, considerato 
che il bug deriva da un problema del server: ormai l'unica cosa che si 
pu� fare � modificare la propria password, soprattutto se disponiamo di 
un account su un sito compromesso dal bug�.
 
Giustamente dopo "� molto difficile" viene precisato "recentemente", 
perch� il codice che contiene il bug � stato rilasciato pubblicamente 
dalla primavera del 2012. quindi il dubbio resta per quel che � successo 
nell'arco di due anni (da Marzo 2012 a Marzo2014).
Infine modificare la password � una profilassi sensata a patto che sia 
noto che il provider ha aggiornato OpenSSL con una versione non affetta 
dal bug, quindi (precisazione qui, in questo Newsgroup, inutile) la 
frase "soprattutto se disponiamo di un account su un sito compromesso 
dal bug" � da leggersi come "soprattutto se disponiamo di un account su 
un sito CHE, IN PRECEDENZA, AVREBBE POTUTO ESSERE compromesso dal bug".