Newsgroup: it.comp.sicurezza.varie
Titolo: Account Google violato con codici Backup code.

Ciao a tutti,
un mese fa il mio account google principale è stato violato, è stato utilizzato un sistema a me sconosciuto fino ad allora, ovvero hanno utilizzato uno dei codici di backup code che google da in caso di ripristino account senza credenziali.
 
Dopo l'accesso non è stata modificato nulla del mio account, ho sempre mantenuto l'accesso, l'unica attività strana è avvenuta su google play dove hanno attivato un abbonamento a dei "knife token" scalando 0,09 euro dal conto associato.
 
Mi chiedevo se qualcuno avesse mai avuto la stessa problematica.
 
Non ho le competenze per capire se il mio account sia al sicuro o sian ancora compromesso

Non ho le competenze per capire se il mio account sia al sicuro o sian ancora compromesso
Penso che un controllo dei dispositivi connessi al tuo account, un cambio della password, l'eliminazione dei codici di backup e la generazione di 
nuovi codici sia il minimo dovuto.
Quello che non ho capito e se ti riferisci ai codici di backup che servono per la 2FA. Quindi avevano anche la password ...?
Bisognerebbe capire da dove ?? partito il tutto.
Nell'elenco dei dispositivi connessi o delle app di terze parti con accesso all'account non c'era nulla di strano?
Non ti ?? arrivata nessuna notifica di accesso sullo smartphone?
 
Ciao
 
-- 
Freedom of speech is wonderful - right up there with the freedom not to listen.


Questi codici di backup tu li avevi stampati o salvati in chiaro su una 
comune chiavetta? Chiaro che solo in questo modo puoi esporti a forti 
rischi, conservando questi codici in maniera non sicura

 Bisognerebbe capire da dove ?? partito il tutto.
 
Purtroppo non si riferisce a quello.
I codici di recupero generati da Google sono molto pericolosi, perché 
con quelli puoi recuperare l'account quando proprio non ricordi la 
password e non hai altri modi per venirne a capo.
Chiunque entri in possesso di quei codici, conoscendo l'email 
dell'account, può entrare e fare letteralmente ciò che vuole dei tuoi dati
 


sono un utente gmail della prima ora e non ho mai sentito di questi codici 
oer il recupero dell'account. 
gli unici codici che mi sembrano assomigliare sono le password per 
applicazione, che indubbiamente vanno gestite cum grano salis perché 
bypassano la 2fa. ma non mi pare si possa prendere con quelle il controllo 
dell'account. possono servire ad esempio per scaricare la posta imap con 
client di posta "classici".

 client di posta "classici".
 
Il fatto che tu non ne abbia sentito parlare non significa che non 
esistano questi codici.
https://support.google.com/accounts/answer/1187538
 
Documentati e ne riparliamo

 riparliamo
 
mi sfugge il motivo di rispondere con questo tono. discutere in un gruppo 
di discussione non è mancanza di rispetto, o sbaglio?

"Gioacchino" [by Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:102.0) 

Basta non richiederli, e comunque si possono sempre eliminare.
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
Tutto il futuro è racchiuso nella sacra sillaba "bo!".
#v-
 
 

 Basta non richiederli, e comunque si possono sempre eliminare.
 
se attivi la 2fa vengono comunque generati ed è decisamente sconsigliato 
non salvarseli. semmai consiglierei di salvarli in un posto sicuro, ad 
esempio nel password manager.

 Basta non richiederli, e comunque si possono sempre eliminare.
 
Non si possono eliminare, nel senso che vengono rigenerati con dei 
codici nuovi e quelli vecchi diventano inservibili.
La vulnerabilità in questo caso non è del sistema, ma dell'utente che 
deve assolutamente prestare attenzione a non lasciare in giro questi 
codici. Meglio non stamparli, ma salvarli su una email di un altro 
account non-Google (per ovvi motivi)


oddio, non è proprio raccomandabile usare le e-mail per le credenziali in 
chiaro. a quel punto molto meglio stamparle e tenerle in casa in un 
cassetto, a meno che non abbia timore che le usi un familiare o la donna 
delle pulizie il rischio è molto più ragionevole.


Beh io non l'ho salvati, il backup non m'interessa perché archivio le 
mail in altro posto sicuro, ed in caso di ripristino dell'account non ci 
sono problemi che lo impediscano.
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
-summum ius summa iniuria-
#v-
 
 

 sono problemi che lo impediscano.
 
"non ci sono problemi" perché l'hai constatato oppure perché lo supponi 
te? dopo aver attivato la 2fa io spero bene invece che qualche problema ci 
sia.

 delle pulizie il rischio è molto più ragionevole.
 
Poi mi dici che ti tratto male... e non voglio farlo, ma chi ti dice che 
non abbia usato PGP per criptare l'email sull'altro indirizzo di posta?
 
Stamparle e tenerle in casa trovo che sia una procedura ottocentesca...

 Stamparle e tenerle in casa trovo che sia una procedura ottocentesca...
 
ma anche suggerire di usare l'e-mail per archiviare dei secret è 
discretamente bizzarro. esistono i password manager per questo scopo, sia 
locali che cloud; si possono usare chiavette o dischi esterni cifrati; si 
possono usare storage cloud come dropbox, pcloud & simila insieme a 
strumenti di cifratura come cryptomator (
https://cryptomator.org/
). 

 strumenti di cifratura come cryptomator (
https://cryptomator.org/
).
 
Tutto giusto, ma bisogna prima capire se il gioco vale effettivamente la 
candela. Secondo me no, e mi vengo a spiegare.
L'algoritmo di Google, in caso di dimenticanza della password account, 
consente (vado in ordine) di recuperare la password:
1) attraverso il codice di Authenticator
2) attraverso un sms inviato al telefono previamente autenticato
3) attraverso una email (da account esterno) con link di recupero
 
Mi domando: sono davvero necessari questi codici di recupero come quarta 
opzione in cascata? IMHO la risposta è no.
Nel mio caso li ho generati e non li ho salvati da nessuna parte. Se un 
giorno fossi costretto a farlo, sceglierei di criptarli con openpgp e 
mandarmeli via email.
Saluti.

 problema ci sia.
 
Constatato personalmente più volte. Quel che di peggio ti può accadere è
modificare la PassW per il web, attivare la 2fa e richiedere nuove PassW
per le app meno sicure.
 
Se t'interessa posso dirti come.
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
  *Dai nemici mi guardo io, dai francesi mi guardi Dio*
#v-
 
 

 Saluti.
 
+1 :-)
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
  *Dai nemici mi guardo io, dai francesi mi guardi Dio.*
#v-
 
 

 mandarmeli via email.
 
va beh questa è scelta tua.
 
 

 Se t'interessa posso dirti come.
 
ma hai o non hai la 2fa attiva?
perché se non ce l'hai certo è facile recuperare l'account, ma lo è anche 
per i malfattori <grin>

 va beh questa è scelta tua.
 
La scelta è di non salvare in alcun modo ciò che può rendere vulnerabile 
un account

 genere sia stata effettivamente portata a compimento.
 
casi ce ne sono stati eccome, anche in tempi molto recenti. ma non devi 
credere a me, chiediti perché l'agcom ha deliberato sull'argomento 
praticamente fino a ieri. 

 praticamente fino a ieri.
 
Ripeto che teoricamente il sim swap è possibile, in pratica è molto 
difficile. Un malintenzionato dovrebbe rubarti i documenti, andare in un 
centro autorizzato e chiedere la sostituzione della sim. In quel caso 
oltre ai documenti (originali e non fotocopie) il dealer è tenuto ad 
autenticare la procedura tramite spid secondo le ultime normative.
In ogni caso, ammesso e non concesso che la frode vada a buon fine, 
l'utente danneggiato si accorgerebbe del danno in quanto la sim inserita 
sul suo telefono smetterebbe di funzionare

 autenticare la procedura tramite spid secondo le ultime normative.
 
operazioni come portabilità è possibile farle anche online e con alcuni 
operatori si può fare solo online. in quel caso serve la copia del 
documento e (solo recentemente) l'iccid della sim da cui si vuole portare 
via il numero. te lo confermo perché la portabilità l'ho fatta molto di 
recente. 
 
per quanto riguarda il reperimento di queste informazioni ti riporto 
qualche caso recente dei tanti che avvengono oramai ogni giorno:
 
https://tinyurl.com/2p9et8fn
 
 
https://tinyurl.com/3femree9
 
 
capisci che non è affatto difficile, semmai potrai giudicare improbabile 
che qualcuno possa attaccare proprio te ma questa è una valutazione 
personale. 

 anche per i malfattori <grin>
 
Come si può avere un account senza la 2fa?


 Come si può avere un account senza la 2fa?
 
non lo so. ma visto che i vituperati codici di backup servono all'owner 
per bypassarla in emergenza, mi chiedo se usi un'altra strada quanto 
questa sia più sicura. 
 

 questa sia più sicura.
 
Google offre la possibilità di recuperare l'account anche via email di 
recupero, basta solo registrarla come tale
 

 strada quanto questa sia più sicura.
 
Uso quello che ho scritto perché non voglio scaricare quei codici.
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
*Dai nemici mi salvo io, fai francesi ci pensi Dio*
#v-
 
 

"Gioacchino" [by Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:102.0) 

Non ho mai avuto modo di usare questa modalità, mi confermi che recuperi 
anche la varie PW che Gmail ti ha dato per le app meno sicure?
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
*Dai nemici mi salvo io, dai francesi mi salvi Dio*
#v-
 
 

 anche la varie PW che Gmail ti ha dato per le app meno sicure?
 
Fai una prova tu direttamente. Apri Chrome in modalità in incognito, poi 
apri la pagina di accesso a google e vai su password dimenticata. Ti 
passerà in rassegna tutti i modi per recuperarla

 aver fatto la procedura per accedere vai sul tuo account gmail. 
 
non ci siamo capiti.
 
sto parlando di recuperare l'accesso se non hai più la possibilità di fare 
la verifica a due passaggi. per esempio ti si è bruciato il telefono, o 
hai perso il codice dell'app che genera i totp. 
i codici di backup servono primariamente a questo.

 i codici di backup servono primariamente a questo.
 
Vi state perdendo in un bicchiere d'acqua. Nel caso tu perdessi il 
telefono hai la possibilità di recuperare l'accesso all'account Google 
tramite email di recupero. A patto che tu l'abbia validata per questa 
funzione. In alternativa ci sono i codici di recupero
 


ma io non ho una mail per il recupero ne voglio averla, che poi c'è da 
controllare e gestire in sicurezza anche quella per non farla diventare 
l'anello debole della catena. non solo, non mi piace che con questo 
sistema si possa superare entrambi i livelli di autenticazione, cioè se la 
mail di recupero è compromessa si spalancano tutte le porte. 
 
non capisco cosa ci sia di drammatico nel salvarsi i codici di backup in 
un luogo sicuro.  

 un luogo sicuro.
 
E' una tua scelta.
Nascondere un pezzo di carta con i codici stampati, oppure affidarsi ad 
una email di recupero che per essere vulnerabile qualcuno dovrebbe 
leggere la posta in arrivo al posto tuo

 un luogo sicuro.
 
 
Ti darei ragione, ma siamo sempre allo stesso livello di cui sopra, dipende da
cosa uno considera più sicuro.

 
 
 
Questo è ragionevole :-)

 dipende da cosa uno considera più sicuro.
 
yes, dipende da quanto è sicuro il luogo dove li salvi. un archivio 
criptato, tipo keepass ad esempio, lo ritengo adeguato.

 leggere la posta in arrivo al posto tuo
 
intanto non nascondo pezzi di carta, i codici di backup di tutti gli 
account su cui ho attivato la 2fa (non c'è solo gmail, eh. su decine di 
account ho attivato la 2fa) sono salvati in una "cassaforte" come 
d'altronde le altre credenziali.
 
la mail di recupero è un ulteriore account da proteggere adeguatamente, 
perché altrimenti come dici te qualcuno potrebbe leggere la posta in 
arrivo e sarebbero guai. quindi anche lì password forte e 2fa. a un certo 
punto la catena si dovrà fermare, no?

 i codici di backup servono primariamente a questo.
 
Dopo tutto quello che hai immaginato, spero ti ricorderai almeno la tua
mail, perché se non ricordi quella il discorso si chiude qui.
 
Apri gmail ed inserisci il tuo indirizzo mail, ti verrà chiesta la PW.
Clicchi "ho dimenticato al PW" per generarne un'altra, dopodiché si
aprirà tutta la procedura della 2fa con tutto quel che ne consegue, che
poi sarebbe quello che avevo già scritto.
 
E se metti in pratica quello puoi riattivare tutto:
puoi ritrovare tutta la posta su web, riattivare l'account su cell ed
avere pure le PW per utilizzare le app meno sicure.
 
Puoi fare una prova semplice semplice:
clicca il link che ti ho dato e dopo vai sul tuo attuale account gmail,
ti verrà chiesta la PW, inserita la quale si aprirà la pagina dove
potrai chiedere le PW per le app meno sicure. Questa:
https://postimg.cc/2q87HkmR
 
 
Ora non dirmi che non ti è è possibile fare la verifica in due passaggi
perché *ti si è bruciato il telefono*, perché ne dovrai comprare un
altro. O no?!
 
Detto tutto questo, scaricati i codici e vivi tranquillo, ma non dirmi
che con la mia procedura non puoi riattivare l'account con tutto quel
che ne consegue, lo fatto più e più volte, so di cosa parlo.
-- 
    * b *
  *   y   *
*   Pierо   *
#v+


 rischi, conservando questi codici in maniera non sicura
 
Ciao,i codici non li ho mai salvati e ne richiesti. Non sapevo neanche che ci fosse queta procedure per recuperare l'account. Non ho idea di come sia stato possibile da parte dell'attaccante generare questo tipo di codice. 
Dopo gli avvisi di accesso tramite codici backup da parte di google, sono andato alla ricerca  dei codici, in effetti
 uno dei 10 codici sisltava usato. ovviamente li ho rigenerati, resttando i precedenti.

 Freedom of speech is wonderful - right up there with the freedom not to listen.
 
Corretto, mi riferisco ai codici backup che servono per la  2FA, ma fino ad allora avevo settati il numero di celluarecome secondo fattore.
 
Nella lista dei dispositivi connessi c'erano per primo  un PC connesso, di cui non ho ricevuto avviusi da google e da cui hanno effettuato l'accesso traite codici di backup, subito dopo si è connesso un tablet  non mio, di cui ho ricevuto notifica. 
entrambi i dispositivi risultavano localizzati a londra, oviammente avranno usato una vpn.

 altro. O no?!
 
non la farei così semplice. con gmail te la cavi anche, ma con molti altri 
account dove attivi la 2fa con il classico totp se perdi il codice (il 
qrcode che scansioni) e non hai i codici di recupero sono volatili per 
diabetici. 
 


si possono generare solo da loggati. quindi o qualcuno ha messo le mani 
sul pc, oppure boh, un caso di session hijacking?

 non sto dicendo sia impossibile, chiedo come fai.
 
Avete dimenticato che c'è anche l'app Autenticator che aiuta molto in 
questo caso, certo devi averla sullo smartphone e farla funzionare
 


si vabbeh mi arrendo.
 


Ti arrendi un po' troppo facilmente.
Google mette a disposizione tante possibilità per recuperare un account. 
Per i miei gusti fin troppe. Questo perché non ha un servizio di call 
center, e preferisce automatizzare le cose e lasciare la possibilità 
agli utenti di risolvere i problemi dando loro tutti gli strumenti possibili
 

 non sto dicendo sia impossibile, chiedo come fai.
 
A questo punto chiudo il discorso, inutile continuare...
    ..._skipped!_
 
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
-summum ius summa iniuria-
#v-
 
 

 Ti arrendi un po' troppo facilmente.
 
figurati sono andato avanti anche troppo. questa discussione è come la 
classica partita a scacchi con il piccione.
 
dell'authenticator app ne ho scritto poche righe sotto ma è davvero troppo 
difficile leggere e rispondere nel merito. 

 A questo punto chiudo il discorso, inutile continuare...
 
bravo.
 
 

 sicuro di esserti sforzato almeno di leggere?
 
Nel caso specifico Google ti offre fino a quattro serrature diverse per 
aprire la stessa porta. Non è poco, anzi per i miei gusti è anche 
troppo. E' per questo motivo che i codici di recupero per come la vedo 
io danno più rischi che benefici

 io danno più rischi che benefici
 
peccato però che, a quanto pare, l'op non abbia mai generato ne salvato 
questi codici. se un malintenzionato è riuscito ad arrivarci evidentemente 
le altre "serrature" non sono così blindate. 
 
in altre parole i codici di backup non sono stati usati per entrare 
nell'account ma rubati da qualcuno che era *già* dentro l'account, poi 
usati per far accedere un altro dispositivo.