Newsgroup: it.comp.sicurezza.varie
Titolo: Inconcepibile nel 2019.

Non se ne può più di un Paese dove dove ogni cosa viene presa sottogamba, dove 
si riempie la Gazzetta Ufficiale di /grida manzoniane/ ad uso dei poveri di 
spirito, dove da "fatta la legge, trovato l'inganno" si è passati a "fatta la 
legge, chi se ne fotte", dove quest'ultimo esempio viene proprio dagli addetti 
ai lavori della legge... VOGLIO IL RITORNO DI CECCOBEPPE!!!
 
https://mgpf.it/2019/05/08/lettera-aperta-al-garante.html
 
 
-- 
Sans

Il 08/05/19 08:16, Lidrie ha scritto:

 > Partiamo da “26922_Utenti_PEC.csv”:
 
 
Un db da usare era troppo ?
Nel 2019 si usano ancora i file csv ?
Scommetto che per cercare un nome si usava un editor od al massimo excel 
(ma non credo, l'avrebbero salvato come .xls)
 
 > A partire dalle user e password per i pannelli di controllo che erano 
“admin/admin”
 
Non e' occorra essere dei grandi hackers per un trovare user/pwd del genere
 
Ma gli hackers non sono solo all'esterno
A chi non farebbe gola un db del genere ?
Occorre prendere misure anche per gli eventuali doli interni (personale 
corrutibile,ecc..)
 
 


Non l'ho scorsa tutta, ma è bastato leggere:
user e password per i pannelli di controllo che erano “admin/admin” e
database in chiaro.
 
Non so se ridere o piangere, dico solo che, non avendo l'obbligo della
PEC, son ben contento di averla sempre ignorata.
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-audaces fortuna iuvat-
#v-
 
 

 (ma non credo, l'avrebbero salvato come .xls)
 
ma magari era un database, il csv è come anonymous l'ha tirato giù. ma è 
un dettaglio irrilevante. il punto è, ovviamente, che è tutto in chiaro.
 
 

Il 08/05/19 14:42, rootkit ha scritto:

puo darsi,ma non mi stupirei se fosse cosi
 

 PEC, son ben contento di averla sempre ignorata.
 
praticamente butti il bambino *invece* dell'acqua sporca <g>
 

 
https://mgpf.it/2019/05/08/lettera-aperta-al-garante.html
 
 
Si conosce la società che gestiva le PEC per conto dell'Ordine?
 
-- 
Bye, Yorgos
My blog: 
https://yorgoskourtakis.wordpress.com/
 
To send me an e-mail, please change cambronne with merde

"rootkit" [by Pan/0.145 (Duplicitous mercenary valetism; d7e168a

Questa non l'ho capita. Spiegala.
-- 
    * b *
  *   y   *
*   Piero   *
#v+
È un genio della scrittura, ha inventato il paragrafo senza fili.
#v-
 
 



Oddio... le password della PEC ... SALVATE !!
 
Ma questi non hanno mai sentito parlare di salted hashing ?
 
Mica per altro, ma esistono DA ANNI sistemi che permettono di mantenere
in (relativa) sicurezza i dati anche nel caso di un leakage, qui siamo
a livelli di sicurezza (e, di conoscenze informatiche) INFIMI, e si
parla di un sistema, la PEC, che viene utilizzato da una mole di utenti
importante, non del classico "ISP cantinaro" :P !
 

 wrote in
news:mn.43947e354...@mesnews.org
: 

Il garante della privacy sembra si stia muovendo:
 
https://www.ilsoftware.it/articoli.asp?tag=Ordine-Avvocati-Roma-PEC-al-
 
vaglio-del-Garante-Privacy_19208
 
link breve: 
https://tinyurl.com/yyb6gdnb
 
 
-- 
Ciao, Guglielmo.

 Il garante della privacy sembra si stia muovendo:
 
 
il garante della privacy è meglio stia fermo:
 
https://twitter.com/LulzSec_ITA/status/1126483671010107394
 
 

 Questa non l'ho capita. Spiegala.
 
a parte che si tratta della pec dell'ordine degli avvocati, quindi un 
provider istituzionale quasi certamente diverso da qualsiasi provider tu 
possa scegliere come privato; ad ogni modo il file contiene non le 
credenziali attuali bensì quelle fornite all'atto di iscrizione. questo 
vuol dire che non è stato hackerato nemmeno il provider, bensì il 
servizio che amministra (in modo evidentemente cialtronesco) le caselle 
per conto dell'ordine. gli unici che potevano avere quell'informazione.
 
la repulsione tout court per la pec è quindi del tutto ingiustificata. 

>>>>  
http://www.bb2002.it
 :)  <<<<<
........... [ al lavoro ] ...........

 la repulsione tout court per la pec č quindi del tutto ingiustificata.
 
Ho dato una scorsa veloce alla lettera, e tuttavia la mia repulsione
per la pec non č dovuta a questo fatto. Mi sembra evidente, ma č una mia
personale convinzione che ho da tempo.
 
Se avessi una pec potrei ricevere posta certificata da enti che per legge
devono mandarmi una racc.ta, con tutti i casini in cui potrei andare
incontro qualora, per qualsiviglia motivo, non la potessi leggere.
Poi, tu pensala come vuoi.
 
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-audaces fortuna iuvat-
#v-
 
 

 importante, non del classico "ISP cantinaro" :P !
 
Per me PEC ,Spid e altre credenziali ufficiali di servizi importanti e 
magari obbligatori (
p.es
. PEC agli iscritti agli albi) dovrebbero 
essere gestiti e garantiti dallo stato, e non affidati a servizi  
improvvisati di società private nate apposta che fiutano "l'affare".


si certo, come no, lo stato.
"garantisce lo stato" e "sicurezza" non possono stare sulla stessa frase.

Il 10/05/19 14:54, rootkit ha scritto:

E "servizi  improvvisati di società private nate apposta che fiutano 
"l'affare"" neanche
 

 "l'affare"" neanche
 
non mi risulta proprio che tutti i fornitori di servizi privati sul 
mercato siano così. 

Il 10/05/19 17:32, rootkit ha scritto:

Infatti se leggi bene non ho affermato questo
Ma esistono anche altri problemi con il privato e non di sola sicurezza.
E se un privato che ha in gestione queste cose si accorge che una sua 
societa concorrente ha esposto dati da cui lui puo trarre vantaggio ?
Ecco perche ritengo che Archipit abbia ragione,la gestione di questi 
dati cosi sensibili devono essere a carico dello Stato e lo Stato deve 
fare bene il suo lavoro
Ricordiamoci che lo Stato,attraverso le sue leggi e' il baluardo tra la 
civilta  e il far west (economico ma non  solo)
Occorre pretendere buoni servizi dallo Stato non fare il gioco di chi 
vuole sempre meno Stato per poter fare sempre di piu cio che gli fa piu 
comodo
 
 
 

 Infatti se leggi bene non ho affermato questo
 
bene allora siamo d'accordo che va bene queste cose le faccia il privato.
lasciamo perdere la menata che lo stato debba fare il fornitore di 
servizi perché non è aria. il suo compito di garanzia sarebbe la 
vigilanza e anche per quello è totalmente inadeguato.

 
https://mgpf.it/2019/05/08/lettera-aperta-al-garante.html
 
 
Mi piace l'esasperata invocazione alle punizioni corporali.
Flagello, sulla pubblica piazza. SCIAF SCIAF SCIAF!
 
Ma fatemi Debonicamente ricopiare l'analisi delle password, perche' e' un 
tripudio di caustico sarcasmo.
 
*****
"la prima delle top 10 è "avvocato", in minuscolo: sono ben 87 i 
cerebrolesi che hanno utilizzato "avvocato" come password per un sito 
dedicato agli avvocati.
Poi ci sono 32 subumani che hanno usato "1234567" come password, 25 che 
hanno utilizzato "forzaroma", che li classifica due volte secondo me, 19 
con "lorenzo" e 18 "francesco", che non si capisce se siano invasati 
cattolici o invasati di Totti. Sono 18 le password "camilla", 17 le 
"francesca", 16 le "alessandro", 15 "federica" e 15 "stefano".
 
Oltre al fatto di avere un quoziente intellettivo a temperatura ambiente 
per chi ha scelto queste password, vorrei fermarmi un secondo caro Garante 
sul fatto che la piattaforma evidentemente non facesse minimamente 
enforcing dei criteri normali di sicurezza, ma questo lo si trova anche da 
un altro tipo di analisi: la lunghezza delle password.
Sebbene il 33%, pari a 4.169 password, siano di 8 caratteri, ce ne sono 
almeno 2.354 che sono di 7 caratteri.
Ma la cosa che forse mi ha più lasciato basito è l'entropia della 
password: il 41% delle password , 5.160, sono composte da tutti caratteri 
alfabetici minuscoli.
Le password composte da caratteri alfabetici minuscoli più numeri sono 
3.800, mentre 1218 - oltre il 10% - sono le password composte da solo 
numeri.
Vogliamo sapere quante su dodicimila e passa password sono quelle 
implementate con una entropia corretta e cioè che contengono maiuscole, 
minuscole e segni grafici? Troviamo questo valore in fondo alla lista con 
una percentuale dello 0,66%, cioè 82 su 12.000.
******
 
Arrivato a "1234567", ho avuto problemi di incontinenza... per le risate.
"Lord Casco: Allora la combinazione è 1-2-3-4-5! [alzando la maschera] È 
la più stupida combinazione che abbia mai sentito in vita mia! È la 
combinazione che un idiota userebbe per la sua valigia!"
 
La realta' supera la fantasia.
 
 
Fabrizio
 
 

Il 14/05/19 02:36, Bowlingbpsl ha scritto:

Ma a parte la password visto che sono dati riservati utilizzare un 
certificato digitale era troppo complicato ?
In fondo non si puo pretendere che l'utente sia un esperto di sicurezza 
informatica per cui non  chiamo cerebrolesi quelli che hanno messo la 
password banale
Se proprio si voleva che l'utente al cambio password non immetta una 
password banale bastava un controllo ma la cosa migliore e' certamente 
un certificato digitale
 
 
 
 
-- 
|___|

 La realta' supera la fantasia.
 
L'ha fatto da un pezzo. Non hai idea di che fatica faccio a
convincere qualcuno a non usare quella password o le
relative derivate, come <proprionome o nomeazienda>12345. In
genere gli mando il link al video Youtube di quella scena di
Balle spaziali, un po' aiuta.
 
Ciao
Paolo Russo
 

 improvvisati di società private nate apposta che fiutano "l'affare".
 
Il problema, per come la vedo, non è CHI gestisce le credenziali, ma di
COME le gestisce, vedi, le credenziali NON vanno "salvate", in breve,
il principio di base, ormai in uso da ANNI è il seguente
 
Il Sig.Rossi apre una casella PEC, assumendo che l'utente di accesso
sia il suo indirizzo email, il Sig.Rossi dovrà impostare una password,
il procedimento è il seguente
 
Il Sig.Rossi imposta la password desiderata
 
Il sistema controlla che corrisponda alle necessarie regole di
complessità e, se tutto ok, la accetta
 
diciamo che la pass scelta sia
 
"Bl3U.d1.PrU5s1a"
 
Il sistema genera una stringa totalmente casuale, ad es.
 
"HzjX)%#)-&EWky?mZEhI,f1t#T$"
 
tale stringa viene chiamata "salt", a questo punto il sistema aggiunge
alla password immessa il "salt" ottenendo qualcosa di questo genere
 
"Bl3U.d1.PrU5s1a-HzjX)%#)-&EWky?mZEhI,f1t#T$"
 
viene quindi calcolato un HASH della stringa di cui sopra, il risultato
potrà essere qualcosa di questo tipo
 
"7c6c836cb6385387babe337f6f0878af3c226f723ab55cb9c0e35dc39d40a5e3"
 
ossia lo SHA-256 (in questo caso) della stringa composta da pass e
salt, arrivati a questo punto il sistema salva, nella "tabella" utenti
il salt, e l'hash, ossia questi due dati (notare che la password NON
viene salvata e NON viene crittata)
 
"HzjX)%#)-&EWky?mZEhI,f1t#T$"
 
"7c6c836cb6385387babe337f6f0878af3c226f723ab55cb9c0e35dc39d40a5e3"
 
e l'account viene attivato; ora, diciamo che il sig.rossi accede alla
propria casella PEC utilizzando le proprie credenziali, il server
riceve utente (indirizzo email nell'esempio) e password, e procede alla
verifica della password, per farlo, recupera i dati dell'account dal
DB, ed a questo punto prende la password immessa e ci aggiunge il salt
recuperato dal DB, quindi calcola l'hash della stringa risultante e lo
confronta con quello memorizzato nel DB, se i due corrispondono, il
logon viene completato
 
questo meccanismo evita che, nel caso in cui il DB venga rubato, si
possa risalire alle password, cosa questa è possibile proprio grazie al
fatto che le password NON vengono salvate, ma quello che viene salvato
è soltanto l'hash delle stesse, ed il gestore del servizio NON HA idea
di quale password sia stata immessa (e NON deve averla !!)
 
Ora, se consideri che meccanismi di questo genere sono in uso ormai da
MOLTI ANNI, e che invece, le password di quel servizio PEC erano in
chiaro, indizio questo che le stesse venivano comunque SALVATE, risulta
evidente come, chi gestisce quel servizio, lo faccia in maniera errata
(per usare un eufemismo, mi viene un termine più pesante, ma evito)
 
 

 il principio di base, ormai in uso da ANNI è il seguente
 
verissimo tutto quello che dici, però nel caso di specie *non* si trattava di 
credenziali attuali bensì delle credenziali originali al momento della
creazione degli account.
questo fa pensare che non sia la cattiva gestione delle password di posta
bensì a qualche servizio accessorio offerto all'ordine degli avvocati,
del tipo creazione massiva di account, affidato a dei cialtroni senza
cognizione di causa.

 .... (snip)
 
Ti ringrazio della spiegazione, mi ci voleva per mia cultura generale.
 
Nel mio post precedente in effetti mi riferivo proprio alla possibile 
mancanza di preparazione tecnica dei gestori, sia per la gestione delle 
password, sia anche sulla possibile indicizzazione (anche solo per 
scopi statistici, es. numero delle parole e quali parole) del contenuto 
della posta del professionista.
Nel caso di mailbox normali, mi sono fatto l'idea che ormai indicizzino 
tutti e tutto anche se spero di no, mentre nel caso della PEC oso 
pensare che i messaggi siano non indicizzati.
 
Altrimenti che senso ha fare una raccomandata via PEC che per 
definizione è cosa riservata? Potrebbe contenere un certificato penale 
un contratto, una Non Disclosure Agreement che verrebbe violata o cose 
simili...

Si conosce la società che gestiva le PEC per conto dell'Ordine?
 
Tiro a indovinare: Aruba? ROTFL
 
-- 
Lex Tutor
L'Asilo Infantile di Bofhland® è un argomento che sarà oggetto
di un libro di prossima pubblicazione, quindi sto discutendo
di una questione che mi interessa per finalità di ricerca

 creazione degli account.
 
Mi collego solo a questa ultima frase.
 
Quanti pensi abbiano fatto l'iscrizione con una password e poi l'hanno cambiata
dopo?
 
Perchè se faccio un'iscrizione ad un servizio e definisco una password, è
perchè voglio usare _quella_ password.
 
Se anche dopo un minuto la cambio, per quel minuto quella password è in chiaro,
e non so e non posso sapere io utente, se qualcuno la legge ed accede al
servizio in quel minuto.
 
Rifaccio la domanda: Quanti pensi abbiano fatto l'iscrizione con una password e
poi l'hanno cambiata dopo?
 
 
 
-- 
Nell'intelligenza artificiale siamo ancora agli inizi...
La DEFICIENZA artificiale L'abbiamo già realizzata.
...E la stiamo ottimizzando!

 dopo?
 
chiarisco: non ho scritto questo per minimizzare il danno, nel modo più
assoluto. 
detto questo, quello che sottolineavo era che il leak non può essere stato
dal sistema di autenticazione, che ovviamente conosce solo la password
attuale. quindi non si può concludere che il sistema di autenticazione 
tiene le password in chiaro, o almeno questi elementi non lo dimostrano.

 assoluto. 
 
Tranquillo, nessun dubbio.
 
Era solo un appunto in generale, non specificatamente riferito a te.
 
Facevo solo notare, a prescindere, che salvare per qualsiasi motivo in chiaro
delle credenziali di accesso di utenti ad un sistema non è il massimo della
"furberia".
 
Da un aticolo della BBC (in inglese, ovvio):
 
https://www.bbc.com/news/technology-48215075
 
 
E, dato che le password trovate sono le più banali (non le chiamerei neanche
password), mi fa pensare che quelle persone che si sono iscritte, non abbiano
molta dimestichezza con la sicurezza informatica, cosa evidente per le parole
usate come "password".
 
E do altra colpa al sistema, oltre ad averle salvate in chiaro (.csv od altro)
di non aver fatto una verifica sulla robustezza dell'immisione all'iscrizione
degli utenti.
 
Quindi, A PARER MIO, credo di ritenere che, se coloro che accedevano a quei
servizi che non hanno provveduto a cambiare la password con qualcosa di meglio,
possano essere ancora possibili vittime di accessi fraudolenti.
 
E non solo per gli utenti iscritti, ma per i loro clienti che hanno trasmesso
dati sensibili.
 
Ci troviamo di fronte a due problematiche:
 
Persone ignoranti (nel senso che ignorano o non conoscono) i rudimenti della
sicurezza delle informazioni gestite informaticamente, la cui colpa è di non
capire l'importanza delle informazioni (dati dei loro clienti) che gestiscono,
e non conoscono le potenzialità di mezzi che usano.
 
Providers che dovrebbero "saper" gestire con sicurezza dati sensibili e che
invece non lo sanno fare. E non ha importanza trovare la scusa nel dire che i
dati erano quelli di iscrizione, perchè se Matteo Flora, con il dovuto
consenso, ha dimostrato di poter accedere con quelle credenziali trovate dagli
Anonimous, è segno che le cosiddette "password" di iscrizione, sono rimaste
tali anche dopo l'iscrizione stessa!
 
 
Punto e fine.
 
 
-- 
Il problema nell'essere immortali è che non si riesce ad avere
amicizie durature.  Muoiono tutti prima!

 momento della creazione degli account.
 
e, secondo te, quelle vanno SALVATE IN CHIARO ??
 
Dai, non cercare di giustificare chi gestiva la "sicurezza" (ROTFL) !
 

 E, dato che le password trovate sono
 
il problema è esattamente quello, le password "trovate", il resto sono
solo chiacchiere che lasciano il tempo che trovano; il fatto che le pw
siano state memorizzate in chiaro, anche se "solo" in un file CSV, la
dice lunga sul livello di (in)sicurezza di quel servizio, ed il resto
ha valenza zero.
 
 

 Dai, non cercare di giustificare chi gestiva la "sicurezza" (ROTFL) !
 
ma chi cerca di giustificare!?
se leggevi il resto ho detto semplicemente che non era il fornitore pec a 
salvarsi le pw in chiaro, ma semmai un servizio intermedio a cui è stato 
commissionato la creazione massiva delle caselle. non ho detto che chi 
teneva quelle credenziali non era un coglione ma semmai che si stava 
guardando al coglione sbagliato, tutto qua.