Newsgroup: it.comp.sicurezza.varie
Titolo: Mail forzate

Ricevo 2 mail da Twitter (su cui ho aperto un account usandolo una sola volta molti mesi fa).
 
La prima dice: per ragioni di sicurezza per entrare nel tuo account inserisci il codice XYZ
La seconda un minuto dopo dice: c’è stato un accesso al tuo account da un nuovo dispositivo (un iphone localizzato in USA)
 
Siccome l’accesso è avvenuto un minuto dopo che hanno inviato il codice di sicurezza, devo dedurre che qualcuno legge la mia posta. E’ giusto?
Se fin qui è giusto il qualcuno conosce la password. Escluderei la presenza di un keylogger, che sarebbe stato segnalato dall'antivirus. La password è memorizzata nel browser (Opera) ma per scoprirla ci vorrebbe uno spyware e sarebbe stato segnalato dall'antivirus. La cosa mi fa pensare a un bruteforce della password, considerato anche che la mail (Tiscali) non ha questa protezione. Concordate?

 considerato anche che la mail (Tiscali) non ha questa protezione.
 
https://haveibeenpwned.com/
 
 
per il resto, cambia le password e magna tranquillo
 
 
 
 

 per il resto, cambia le password e magna tranquillo
 
a proposito di password
 
https://haveibeenpwned.com/Passwords
 
 
 

 per il resto, cambia le password e magna tranquillo
 
Ok grazie. Sembra sia stata violata ma non capisco bene cosa dice e i termini precisi mancano sia sul traduttore che sul dizionario.
Dice: "Pwned in 3 data breaches and found no pastes" come si traduce precisamente?
 
Poi sono andato sull'altro link che hai messo, ho inserito la pwd scoperta e dice
"Good news — no pwnage found"
 
allora non capisco: se ha capito che la password è stata scoperta perchè poi aggiunge "no pawngage found" (che poi che vuol dire pwnage?) 

 poi aggiunge "no pawngage found" (che poi che vuol dire pwnage?)
 
no, appunto stai facendo confusione.
 
nel secondo motore di ricerca dovresti aver messo la password che sospetti 
possa essere compromessa. avesse risposto in modo positivo avresti avuto 
la certezza che la password è fra quelle conosciute, quindi da non usare e 
se la stai usando da cambiare quanto prima (ovviamente). però anche qui 
non risponde alla tua domanda. 

 non risponde alla tua domanda.
 
Beh… no. Supponendo che il motore di ricerca sia preciso, se metto la password della mail che ritengo trafugata e lui mi dice di no, allora risponde alla mia domanda (qualcuno conosce la passord della mia mail?).
Ma sulla mia domanda mi pare ci sia poco da discutere. Se qualcuno si è loggato sul mio account twitter inserendo un codice che è arrivato sulla mia mail, mi sembra logico che abbia accesso alla mia mail.
 
 
 

 mia mail, mi sembra logico che abbia accesso alla mia mail.
 
appunto. come vedi la logica è in contrasto con la risposta che ti sei 
dato alla domanda.

 server.
 
Ecco questo è il vero problema. Invece secondo me le hanno sottratte al server. 
E' mai possibile che Tiscali, che non è neppure l'ultimo arrivato, abbia una mail con molti pregi ma nella quale si possano inserire un numero indefinito di password sbagliate senza che al 4°-5° tentativo chieda ulteriore conferme e neppure avvertano con una mail tipo "ci sono stati 5 tentativi di entrare nella tua mail" ? Praticamente col bruteforce, uno può tentare anche più giorni io neppiure lo so e prima o poi la trova. 
Quando li ho chiamati mi hanno risposto che la mail va in blocco se "l'ip da cui arrivano i tentativi è sospetto". Ma che risposta è? Come fanno a distinguere gli ip sospetti da quelli non sospetti?

 fanno a distinguere gli ip sospetti da quelli non sospetti?
 
questo si può fare, esistono delle blacklist pubbliche.
 

 E' mai possibile che Tiscali, che non è neppure l'ultimo arrivato, 
 
piccola postilla su questo: a prescindere da tutto io ne approfitterei per 
mandare la mail tiscali a quel paese.


La mail Tiscali ha un pregio unico (ma veramente unico ho cercato in lungo e in largo e non ne ho trovata un'altra con lo stesso pregio; anzi se conosci un provider che lo fa e me lo segnali te ne sarò grato a vita): Puoi disattivare il filtro antispam e vedere tutto ciò che ti arriva e cancellare lo spam a mano. Perdi 3 secondi ma sai di non esserti perso niente. Con il filtro antiospam attivo sei costretto a vedere ogni volta 2 cartelle. Gli altri provider o non hanno proprio l'opzione oppure ad esempio 
mail.com
 o 
gmx.com
 hanno l'opzione ma lo spam contenente immagini lo cancellano del tutto senza neppure metterlo nella cartella spam.

 cosa non è fattibile online proprio per limiti fisici. 
 
Allora come si fa il bruteforce?


come spiegavo sopra, quando un sito subisce un data breach in cui sono 
comprese le password queste ultime sono solitamente hashed, e sono gli 
hash che potenzialmente possono essere attaccati in questo modo. 
 
dico potenzialmente, perché una password robusta allo stato attuale non ha 
chance di essere scovata in tempi umani.
 
considera una password di 10 caratteri alfanumerici, case sensitive e con 
almeno un simbolo, quindi moderatamente strong; questa password ha 64 bit 
di entropia, ovvero servono 2^64 tentativi per esplorare tutto lo spazio; 
supponendo ogni tentativo di login impieghi 1 millisecondo vuol dire che 
ti servono 1,8 * 10^16 secondi, che corrispondono a circa 5,8 miliardi di 
anni, millennio più millennio meno. e ho detto 1 millisecondo che non è 
neanche il tempo che impiega la richiesta per andare e tornare. metti che 
poi il server ci metta, che so, un ritardo artificioso a risponderti in 
caso di "login failed" (cosa che solitamente fanno) ed ecco che i tempi 
salgono di qualche altro ordine di grandezza.

 esserti perso niente. 
 
sinceramente più che un pregio ci vedo il difetto che il filtro antispam 
non funziona, se intercetta anche mail che non sono spam. 
io come mail personale uso gmail (non è un endorsement, lo dico a titolo 
di cronaca) e non succede di sicuro. inoltre dovessi despammare a mano 
altro che tre secondi... con tutto il rischio poi di non avere uno 
strumento che riconosce i mittenti spoofati.


Ho detto una cosa diversa. Se lo fai funzionare funziona normalmente, ma decidi tu se farlo funzionare o meno, gli altri provider te lo impongono, te lo devi tenere per forza. Anzi precisamente Tiscali ha l'opzione che ti manda tutto in posta in arrivo e quello che lui ritiene spam lo contrassegna con apposito simbolo. Poi decidi tu cosa fare e chiaramente al 98% ci prende. 
Poi questo dramma dello spam non lo capisco. Per me è un attimo riconoscere le mail di spam e cancellarle. Forse sono fortunato e a me ne arrivano poche? 
Invece mi ha creato un sacco di problemi quando con altri provider mail importanti sono finite nello spam e sono dovuto andare a recuperarle giorni dopo.   
Gmail, come molti altri, non ha l'opzione "chiedi ricevuta di ritorno" neppure sulla singola mail, mentre Tiscali la ha, sempre a scelta, tra le impostazioni generali.  
 
N.B. neanche io sono aziosita Tiscali, che oggi appartiene all'80% a Fondi americani, sono solo constatazioni. 

 le impostazioni generali.
 
una feature che ho sempre considerato sostanzialmente inutile anzi 
fastidiosa per il destinatario.
 

 hanno ottenute sottraendole a te, non al server.
 
esatto, anche perchè i server di norma non memorizzano la password ma
solo il "salted hash" della stessa
 

 non ha chance di essere scovata in tempi umani.
 
e, se uno volesse una dimostrazione pratica, basta inserire la password
qui 
https://www.grc.com/haystack.htm
 
 
 


Prova ad usare Magic Mail Monitor: 
https://mmm3.sourceforge.net
 
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
-ad maiora-
#v-
 
 


Anche con ripetuti tentativi di Cracking
(cento trilioni di tentativi al secondo)
servono 1.74 secoli per trovare questa pass -> Xc.Nn47#L!Af
:-D
 
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
Se perdi la calma, non la ritrovi fra gli "Oggetti smarriti".
#v-
 
 

 
 
prova a cambiare "Xc.Nn47#L!Af" in "Xc...Nn47#L!Af" ossia aggiungendo
solo due "banali" punti (facili da ricordare) e vedi cosa viene fuori
 
:)
 
 
 
 


beh è ovvio, ogni bit "utile" che aggiungi raddoppi il numero di 
tentativi. in quel caso la tabella va dal carattere ! al carattere z, 
quindi a cazzotto sono 6 bit utili, aggiungendo due caratteri raddoppi 12 
volte. 

 scelta, tra le impostazioni generali.
 
Confermo. Però, solo se invii tramite webmail; utilizzando un client
SMTPs, è possibile aggiungere gli header "Disposition-Notification-To",
"Return-Receipt-To" e "X-Confirm-Reading-To" per abbracciare quasi tutte
le casistiche (ad esempio, le mail inviate a destinatari GMail, ma non
solo questi, non invieranno mai alcuna conferma di lettura, a meno che
non lo faccia il client POP3s/IMAP4s).
 
 
Ciao,
un TJL73 e la sua honeypot di Libero...
 
-- 
"Quando tutto il resto fa fiasco, leggi le istruzioni."
                            -- Assioma di Cahn - da "La legge di Murphy"

 raddoppi 12 volte. 
 
Si ok, sono stato poco chiaro, probabilmente; quello che intendevo dire
è che, aggiungendo due "." si aumenta di molto la complessità, anche se
all'apparenza non sembra ed i "." sono facili da ricordare :) per
ulterire chiarezza se come password usiamo "password" la craccano in un
lampo (anche considerando i "dictionary attack"), ma se, semplicemente
cambiamo in "p.a.s.s.w.o.r.d" per craccarla ci vorranno dei secoli e la
password sarà comunque facile da ricordare :)
 
 
 
 
 

 | Azione da eseguire: Non inviare mai a Spam 
 
1. Nel fantastico filtro antispam ho trovato le notifiche relative a questa discussione. Si autocastra praticamente.  
2. Ho impostato il filtro come dici tu poi ho inoltrato una mail di spam da Tiscali a Gmail. Su Gmail non è visibile da nessuna parte neppure nella carte lla spam, mentre è tornata indietro su Tiscali con la dicitura "mail delivery failed". Ed era uno spam innocuo senza immagini, una specie di pubblicità a cui magari potevo essere interessato.   
Cioè decidono loro per te.

 fastidiosa per il destinatario.
 
Io la metto di default e considero un maleducato chi non fa quel semplice clic, perchè se non mi dà conferma come faccio a sapere che l'ha letta o magari devo rimandargliela? 
Pensa quanta diversità c'è nel mondo....  
 

 Cioè decidono loro per te.
 
uhm.
se la mail l'hai inoltrata tu il filtro non ha elementi per capire che in 
origine era spam, perché l'inoltro sostituisce tutti gli header e il 
filtro non va a sindacare sul testo contenuto. quindi il test era del 
tutto privo di fondamento.
 
inoltre la risposta "mail delivery failed" non viene dal filtro spam il 
quale non risponde (ovviamente) allo spam. lì è uno dei server, il tuo o 
quello di google, che ti avverte di non essere riuscito a consegnare il 
messaggio. il motivo da qui non si può sapere ma di certo il filtro spam 
non c'entra nulla. 


Non ti seguo. L'ordine era: "lascia passare tutto, poi vedo io". Non sarà il filtro antispam allora è il server che non fa come dico io. 
Questa è stata la risposta:
 
This message was created automatically by mail delivery software.
A message that you sent could not be delivered to one or more of its
recipients. This is a permanent error. The following address(es) failed:
 
 
xx...@gmail.com
 
    host 10.39.80.111 [10.39.80.111]
    SMTP error from remote mail server after end of data:
    550 Mail blocked by spam filter
 
A me sembra che l'antispam Gmail l'ha mandata indietro senza neppure metterla nella cartella spam.
Per completezza me la sono autoinoltrata sulla casella Tiscali (col filtro disattivato) e arriva regolarmente

 regolarmente
 
Il che significa che gmail ha riconosciuto quella email come PALESE
spam e l'ha rigettata senza tanti complimenti, non vedo dove sia il
"mistero", anche se a questo punto mi sorge il dubbio che tu non abbia
le idee chiare sul come funzioni il traffico email
 
 
 

 le idee chiare sul come funzioni il traffico email
 
A me sembra evidente che Gmail, (e non solo) se ne frega delle regole che imposta l'utente e fa come dice lui, che poi non sarebbe l'unico caso. Non c'è nessun mistero infatti,  c'è che Google pretende di comandare lui. Se la regola è "non filtrare" lui non deve decidere se è palese o meno, la deve mandare avanti e basta, poi deciderò io. Era una mail di solo testo + link di una società americana che proponeva di fare soldi investendo nel prodotto X e Y.  E se io volevo investire proprio lì? E se Google ha qualcosa contro questa società e per questo la blocca? Come fa, non solo a qualificarla spam, ma addirittura a decidere che io non possa neppure leggerla recuperandola dallo spam? Fa il tutore o il provider di posta?

 recuperandola dallo spam? Fa il tutore o il provider di posta?
 
Gmail probabilmente usa (tra l'altro) delle URIBL ed alla ricezione
della "mail di testo, contenente solo un link" ha controllato il link e
rigettato la mail come spam PALESE, i "filtri utente" invece lavorano
SOLO sulle email "sospette", ossia ad uno stadio successivo, se poi dal
parlare di mail, vuoi passare a parlare di "mysteriosy gombloddi" allora
ti saluto e ti auguro buon pomeriggio
 

 ti saluto e ti auguro buon pomeriggio
 
Il complotto era solo per dire. Il fatto è che se tu stai in macchina e premi l'accelleratore la macchina accellera e basta, non sa e non deve sapere se tu stai semplicmente partendo da casa, o accellerando vuoi fare una strage di gente che aspetta l'autobus. Lei deve solo eseguire l'ordine di accellerare. 
E così deve fare il provider. Se io dico "lascia passare" deve lasciare passare tutto. La distinzione tra mail palesi e sospette se la tiene a casa sua. Se un altro utente gli dice "filtra tu perchè io mi stanco a vedere 4 mail di pubblicità" allora filtrerà. Ma lo devo decidere l'utente non il provider.

 eseguire l'ordine di accellerare. E così deve fare il provider.
 
No, il provider, specie se offre un servizio gratuito non DEVE nulla,
semmai il provider si preoccupa di mantenere l'efficienza ed integrità
dei propri server evitando che questi ricevano ed elaborino del tutto
inutilmente dei messaggi palesemente SPAM, questo è quello che fanno i
provider di email seri, poi ci sono i "cantinari" che hanno filtri che
fanno ridere ... e conseguenti problemi, le cose stanno così, se ti sta
bene ok, altrimenti cambia provider o installa un tuo server di posta.
 
 

 :)
 
 
-- 
    * b *
  *   y   *
*   Pierо   *
#v+
-do ut des-
#v-
 
 

 mail, mi sembra logico che abbia accesso alla mia mail.
 
 
Ma sei proprio proprio sicuro che gli avvisi che hai ricevuti fossero di
Twitter? Posta gli header completi.

 
 
 
Rootkit, se la email è su Libero non farei tanto affidamento, così come gli
avevano fregato tutte le rubriche... giusto per fare nomi


in realtà sta parlando di tiscali, e me ne sono reso conto dopo quel 
messaggio. anche tiscali non è certo da farci affidamento, fino a poco 
tempo fa utenti segnalavano chiari indizi che si salvavano le password in 
chiaro (banalmente consentiva agli utenti di recuperarla).

 provider.
 
 
Ni, il servizio è fornito gratuitamente e la stragrande maggioranza di chi usa
gmail non vuole sapere come funziona; inoltre il gestore di posta deve
tutelarsi dal traffico anomalo.
NB. a me non piace affatto Gmail in generale, anche perché quando segnali lo
spam che esce numeroso dai suoi utenti non risponde praticamente mai.
 
Personalmente uso questo:
https://mailfence.com/it/?src=onenet
 


Feedback-ID: atla.2167f56461854552bf95f853c95d334d:Twitter
 

 
https://mailfence.com/it/?src=onenet
 
 
sto valutando da un po' di tempo la versione free. devo dire che ci sto 
pensando, anch'io pur avendo gmail (peraltro su 2 domini ho la gsuite 
gratuita, che dovevano dismettere ma poi per l'uso personale ci hanno 
ripensato) non sono un suo tifoso. non la butto via ma probabilmente a 
breve farò l'upgrade e passerò a mailfence per le cose serie. 

 nella cartella spam,
 
Strano. Io con quella tecnica ho creato più "alias" che inoltrano tutti
ad un'unica casella mail (sempre su GMail) e in quelle "alias" non trovo
mai nulla in "spam", mentre càpita di trovarne in quella della casella
di destinazione finale.
 
Mi spiace che a te non funzioni.
 
 
Ciao,
un TJL73 che ormai le ha attive da parecchi anni...
 
-- 
"L'indifferenza è il miglior modo per farti capire
 che non conti nulla."

 password in chiaro (banalmente consentiva agli utenti di recuperarla).
 
Beh, potevano anche salvarle criptate, ma il punto è che le password
NON vanno criptate e NON vanno salvate, quello che il server deve
memorizzare non è la password ma il salted hash (ed il salt) della
stessa ed il salt deve essere toralmente random e diverso per ciascun
account
 
In pratica, alla creazione dell'account vengono immessi in un form
(protetto tramite SSL/TLS) le credenziali, ossia utente e password,
quando l'utente conferma il server genera un valore "salt" totalmente
casuale e di congrua lunghezza, lo accoda alla password e quindi
calcola un hash (es. SHA-2) e tale hash viene quindi memorizzato
insieme al nome utente ed al salt
 
Al successivo logon (sempre protetto da SSL/TLS, mai in chiaro) il
server riceve utente e password, a questo punto, cerca l'utente e
recupera il "salt" memorizzato, lo accoda alla password immessa e
calcola l'hash risultante, poi confronta tale hash con quello che era
stato memorizzato in precedenza e, se i due corrispondono, consente
l'accesso
 
nel caso in cui il database delle credenziali venga "rubato" l'hash non
permetterà un recupero diretto delle password (dato che non si tratta
di un sistema crittografico reversibile) e l'uso del "salt" aumenterà
in maniera esponenziale i tempi necessari per tentare di "craccare" una
password, fosse pure usando "rainbow tables" o simili
 
Provo a fare un esempio, diciamo che il nostro account ha come utente
"pippo" e come password "F3rr4ri.2023", alla creazione dell'account il
server genera un "salt" casuale, diciamo che sia
 
"DH!6K@T`'/!AkN6A?#vBX$L:?Wz*e8FA"
 
quindi aggiunge il salt alla password, ottenendo qualcosa di questo tipo
 
"F3rr4ri.2023::DH!6K@T`'/!AkN6A?#vBX$L:?Wz*e8FA"
 
il "::" è solo una mia aggiunta, può essere omesso o si possono
utilizzare altri caratteri, non è un problema, fatto questo, il server
va a calcolare l'hash della stringa di cui sopra, supponendo di usare
SHA-256 il risultato sarà
 
"544016e3ac0d6815b0c75478bf64c4dbcb5d8a648d7a82419dbd3fe820f4e7cf"
 
a questo punto, il server salva nel DB delle credenziali le seguenti
informazioni (e magari anche altre)
 
utente=pippo
passwd=544016e3ac0d6815b0c75478bf64c4dbcb5d8a648d7a82419dbd3fe820f4e7cf
salt=DH!6K@T`'/!AkN6A?#vBX$L:?Wz*e8FA
 
al successivo logon l'utente immette nome e password (su canale
protetto da SSL/TLS), il server va a cercare l'utente ("pippo" nel
nostro esempio) nel database e, se lo trova, recupera il "salt" e, con
quello ricalcola l'hash della password immessa, se questo corrisponde
all'hash memorizzato, viene permesso l'accesso 
 
Da notare che un livello aggiuntivo di sicurezza è quello di usare per
la validazione un server separato e NON esposto su internet, in tal
caso la registrazione utente vista sopra e la validazione credenziali
verranno effettuate dal server di frontend (esposto su internet)
tramite chiamate a WEB services ed il DB non verrà MAI esposto dal
frontend che NON avrà alcun accesso allo stesso, se non tramite le
chiamate ai necessari WEB services
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 

 account
 
in generale quando si parla di "salvare password criptate" si intende 
salvarne l'hash. anche perché l'hashing è crittografia, seppure non 
reversibile.

 reversibile.
 
il punto fondamentale è proprio quel "non reversibile" :)
 
 
 
 


era solo per puntualizzare che non ho mai ipotizzato, per le password, una 
crittografia diversa da algoritmo di hashing. 

 password, una crittografia diversa da algoritmo di hashing. 
 
Ho visto cose che voi umani... :)
 
 
 
 

 poi sugli aspetti pratici e la fattibilità ne ho parlato dopo.
 
come scrivevo in altro post, il discorso è anche quello di fare in modo
che se l'attaccante arriva "sul sistema" non trovi sullo stesso dati
utili, ossia spostare i dati ad un altro livello e renderli accessibili
solo tramite il "buco della serratura" in modo che l'attaccante non
solo non abbia accesso diretto all'intera mole di dati, ma che
l'accesso ai dati sia limitato/complicato, alla fine anche i tempi in
questi casi contano, e parecchio
 
 
 
 


Nel caso, scrivimi per favore :-)
Grazie!

 la cosa è provata
 
In questo caso, non si tratterebbe di "security through obscurity", 
in quanto il salt casuale generato per il singolo account sarebbe
assimilabile a "una parte della chiave". Ovviamente, la chiave deve
essere segreta per definizione e mantenere segreta la chiave non può
essere considerato "security through obscurity".  ;-)
 
 
Ciao,
un TJL73 che lo è, invece, per le altre componenti...
 
-- 
"Contare sul segreto dell'algoritmo [crittografico] è un grosso errore.
 Ci sono montagne di letteratura a riguardo,
 inutile affrontare il discorso ancora una volta."
                                                    -- Cristiano su ICSC