Newsgroup: it.comp.sicurezza.varie
Titolo: Caratteri per password

Stavo pensando di cambiare alcune password un pochino datate (un annetto
buono), con altre nuove.
 
Volevo usare un po' di caratteri vari di interpuntazione e similari.
 
Il dubbio è di usare qualche carattere "sconsigliato" e mandare in crash
qualche provider un pochetto "sempliciotto"[¹].
 
Tra i caratteri:
 
\ | ! " £ $ % & / ( ) [ ] { } = + ? * ç ° § ` € @ # ^ ' ì è é ò à ù , . : ; < >
 
Messi tra lettere/numeri/vicini "sarebbe bene" evitarne qualcuno o siamo
ragionevolmente[²] sicuri che non butto giù Gmail, Yahoo, Libero et similaria?
 
[¹] Per non dire perecottaro, cioccolataio e/o macaco.
[²] Ragionevolmente, in quanto la sicurezza non c'è mai[³]!
[³] E non è detto che ci siano filtri ben fatti nell'accettare[³bis] la password!
[³bis] Con la possibilità di perdere l'account!
 
-- 
.!. !sdohtem noitpyrcne devorppa-tnemnrevog troppus I
--- Terminate 4.00
* Origin: Biolus Green point (2:334/501.33)

 Volevo usare un po' di caratteri vari di interpuntazione e similari.
 
Scusa, ma usare semplicemente dei caratteri di punteggiatura ripetuti
ti sembra così brutto ?
 
Per dire, supponiamo che la tua password sia "lavispateresa", ora,
basterebbe modificarla in "la..vispa::teresa,," e già diventerebbe una
password abbastanza tosta da craccare :) il tutto senza troppi giri e/o
arzigogoli
 
 


Ho già alcune password di quel tipo, ma a livello mnemonico, mi piaceva usare
anche altri caratteri, tipo le accentate o pseudo disegnini, tipo:
 
    vispateresa_\|/_
    Vìspater&sa
    ********#
 
Giusto per curiosità...
 
 
-- 
--- Terminate 4.00
* Origin: Non calpestare l' erba, fumala! (2:334/204.18)



Beh, non vedo perchè non dovresti, considera soltanto che se dovrai
usare quelle password in file batch o simili, dovrai racchiuderle tra
doppi apici per evitare problemi con i caratteri speciali; per il
resto, non credo dovresti avere problemi
 
 
 

 [łbis] Con la possibilitŕ di perdere l'account!
 
Nel momento in cui te l'accetta durante l'impostazione della nuova
password, dovresti giŕ riuscire a discriminare quali caratteri vengono
rifiutati.
Trovo improbabile (anche se, in effetti, non impossibile) che ti accetti
una password in fase di impostazione e poi non te la accetti piů in fase
di logon.
 
In ogni caso, praticamente tutti consentono il recupero della password,
nel caso l'account per qualche motivo non sia piů accessibile.
 
 
Ciao,
un TJL73 che le fa generare direttamente a KeePass...
 
-- 
- Ma tu sei attivo su qualche social?
- Certamente... solo su uno.
- E qual č?
- Usenet.

 la password! [³bis] Con la possibilità di perdere l'account!
 
Se facciamo riferimento ai caratteri accettati negl'indirizzi email, e
presumendo che valgano anche per le password questi sono accettati:
 
@*-+_./  (non è necessario escaped)
 
questi non sono accettati:
 
!%&\(" ')=?^[]#,:;<>`|{}~ (devono essere escaped)
 
le accentate (caratteri a 8bit) non verranno comunque accettate.
-- 
    * b *
  *   y   *
*   Piero   *
#v+
Ho nascosto qualche grammo di cervello per uso personale.
#v-
 
 

 le accentate (caratteri a 8bit) non verranno comunque accettate.
 
Scusa ma, quanto sopra da dove salterebbe fuori ? Non per altro, ma che
io sappia, praticamente tutti i caratteri vengono accettati per le
password, anche perchè nella maggior parte dei casi la password non
viene trasmessa in chiaro ma viene codificata in base64 o sottoposta ad
hashing, per cui, non esiste alcun problema di caratteri speciali, a
meno che qualcuno non abbia un'implementazione molto "naive" e del
tutto al di fuori dagli standard
 
 
 
 

 password, [...]
 
In un mondo perfetto i form di input si trovano in una pagina codificata
UTF-8, e i text box di input sono quindi codificati nello stesso modo,
quindi vengono acquisiti come UTF-8 e convertiti nella rappresentazione
del programma, rappresentazione che può avere delle limitazioni. E qui
può sorgere il problema.
 
Un sito (o un programma) sgangherato potrebbe proporre il form di
registrazione in un certo encoding (per esempio ISO-8859) e il form di
login in un altro (per esempio UTF-8), e i caratteri che non si adattano
vengono cancellati o susituiti in modo arbitrario.
 
Oppure avvengono delle conversioni interne al programma. Molti sistemi
basati sulle varie "macchine virtuali" (Java, Windows) usano una
rappresentazione interna a 16 bit per carattere, per cui ci possono
essere casini con qualche alfabeto esotico se il sistema non supporta
l'intero range Unicode, per cui cinesi e coreani non so come facciano :-)
 
Inoltre se io introduco caratteri molto esotici disponibili sulla
mia teastiera, non è detto che riuscirò a trovarli su di un'altra
tastiera. Su di una tastiera US/GB non troverò neanche le vocali
accentate, per esempio.
 
Di certo probabilmente c'è solo l'ASCII, e solo i codici stampabili da
33 a 126; meglio ancora se si escludono i codici ASCII come la tilde e
il back-tick che spesso mancano nelle tastiere italiane; anche le graffe
possono essere difficili da inserire e costringere a vari tentativi.
All fin fine se uno non vuole avere problemi rimangono solo le cifre,
le lettere maiuscole e minuscole, e i caratteri di punteggiatura più
comuni come punto fermo e virgola.
 
Ciao,
 ___ 
/_|_\  Umberto Salsi
\/_\/  
www.icosaedro.it
 
 

 codificata UTF-8, e i text box di input sono quindi codificati nello
 
UTF-8 c'entra poco, io mi riferivo al fatto che di norma le password
non vengono memorizzate/utilizzate in chiaro, ma convertite il altro
formato (es. base64) o viene generato un (salted) hash delle stesse;
d'altro canto, se un servizio email che prevede un portale per il
cambio delle password, gestisce in maniera errata l'input delle stesse,
il problema potrebbe anche porsi, ma in quel caso avrei dei dubbi sulla
serietà del servizio :(
 
 

 tutto al di fuori dagli standard
 
Quando ho dovuto digitare delle password, ho provato ad inserire sia
caratteri a 7bit (fuori tabella ASCII, compreso le accenate) tentando
di renderle piů sicure, ma quelle password non mi sono mai state
accettate, e questo per scopi diversi e posti diversi.
 
Addirittura qualche volta ho trovato scritto: usa solo caratteri a-z A-Z
e numeri 0-9, pensa tu...
Tuttavia provaci, e se ci riesci faccelo sapere, tenterň di nuovo. :-)
-- 
    * b *
  *   y   *
*   Piero   *
#v+
-errare humanum est-
#v-
 
 

 caratteri a 7bit (fuori tabella ASCII, compreso le accenate) tentando
 
caratteri a 8bit (quindi fuori tabella ASCII, comprese le accentate)
Piero, certe pomeriggi non dovresti frequentare i NG! :-/
OK, ho capito. :-)
-- 
    * b *
  *   y   *
*   Piero   *
#v+
È un genio della scrittura, ha inventato il paragrafo senza fili.
#v-
 
 

 OK, ho capito. :-)
 
Personalmente, per quanto riguarda le password email di gmx, gmail ed
altri non ho mai avuto problemi nell'usare caratteri "speciali", idem
per diversi forum; come ho già scritto se un dato servizio email o
forum non gestisce correttamente l'input o obbliga all'uso dei soli
caratteri "normali", è indice secondo me di *cattivo* servizio e di
un'implementazione fatta con i piedi, per cui ... meglio evitare ed
usare un diverso fornitore
 
 

 usare un diverso fornitore
 
I caratteri "speciali" erano caratteri a 8bit?
Se confermi mi sorprendi, a me non sono mai stati accettati. :-?
Che dire... con il resto concordo.
