Newsgroup: it.comp.sicurezza.varie
Titolo: Violazione PEC

 
Versione corta:
https://tinyurl.com/y8k3ac6w
 
 
Versione estesa:
https://tech.fanpage.it/attacco-alla-posta-elettronica-certificata-da-500mila-account-cambiate-password/
 
 
 
Si sa quali siano i provvider interessati?
 
M.


Potrebbe essere legalmail, essendo interessate caselle della PA. Ma è 
solo una mia supposizione.
 
Bel casino, nel caso dei privati hanno potenzialmente avuto accesso anche 
a copia dei documenti di identità, oltre a tutti i dati anagrafici, alla 
faccia del GDPR!
 
Chissà se ora arriverà la sanzione, visto che a quanto pare non è stata 
fatta nessuna comunicazione di violazione dei dati personali agli 
interessati!
 
g4b0

 g4b0
 
Grazie.
 
M.

 Vero, altro aspetto "interessante" della questione ...
 
E forse vero motivo per cui probabilmente non verrà mai alla luce in nome 
del provider. Spero proprio che per una volta intervenga l'Europa per 
fare chiarezza, non capisco questa coltre di segretezza tutta italiana!
 
g4b0
 

 fili.
 
Dato il meccanismo usato per l'hackeraggio non mi pare opportuno usare 
"telefoni senza fili".... :-)
 
Quindi viva i fili e i guinzagli ai dati

 Quindi viva i fili e i guinzagli ai dati
 
Viva!
A prescindere!
 
M.



Mi sono chiesto se per caso questo "problemino" risalente al 2012 possa
essere correlato con il recente problema relativo alla PEC
 
https://thehackernews.com/2012/11/anonymous-hack-30000-accounts-and.html
 
 
mica per altro, ma considerando che parecchi "evitano" di cambiare le
password e che i "buchetti" che hanno portato al problema di cui sopra,
probabilmente sono stati tappati alla meglio, mi sorge il sospetto che
il recente "attacco" possa essere dovuto a dati "prelevati" tempo fa ed
usati solo oggi
 


Non lo so, però secondo me dovrebbero dirlo!
 
Però una cosa non capisco, le password delle PEC non sono obbligatoriamente criptate in modo serio? Altrimenti perché suggeriscono di cambiarle?
 
 
Gabriele

Rispondo qui sotto a John Smith

Ho cercato un po' senza greande impegno (non ho PEC) ma ho trovato solo 
info generiche e nessun provider di pec nominato

 criptate in modo serio? Altrimenti perché suggeriscono di cambiarle?
 
Speriamo sia un suggerimento espresso da giornalista ignorante... :/


Evidentemente la cosa è più grave di quanto si pensi, a quanto pare sono 
coinvolti anche i militari ed i servizi. Non capisco comunque tutta 
questa segretezza, ormai il danno è fatto!
 
Io nel mio piccolo ho cambiato la password della mia PEC su Aruba, ma 
credo che in questo caso il problema non siano le password, bensì i dati 
scambiati con le PEC e le anagrafiche.
 
g4b0

 Speriamo sia un suggerimento espresso da giornalista ignorante... :/
 
Anche perchè le password NON debbono essere crittate o memorizzate; di
norma, si memorizza il "salted hash" delle stesse usando un hash
robusto come, ad esempio SHA-256 ed un salt totalmente casuale; se poi
qualcuno ha messo in piedi un servizio PEC salvando da qualche parte
delle password crittate... beh, quel qualcuno si meriterebbe una cura
medievale :-D
 
 


Baldoni ha tenuto una conferenza stampa da un lato per rassicurare
sulle operazioni di contenimento adottate: «la situazione è sotto
controllo, il ripristino della funzionalità è tuttora in atto. Vanno
cambiate le password di accesso alla Pec, ma questo devono farlo i
singoli»
 
SBRUOTFL
 
-- 
Lex Tutor
L'Asilo Infantile di Bofhland® è un argomento che sarà oggetto
di un libro di prossima pubblicazione, quindi sto discutendo
di una questione che mi interessa per finalità di ricerca

 potenza di calcolo, poi vendono le password e riprendono i soldi).
 
Beh, credo che con un salted hash fatto ammodino, di potenza di calcolo
ne debbano comprare parecchia, specie nel caso di funzioni di hash lente
 
https://crackstation.net/hashing-security.htm
 
 
no, credo proprio che siano in MOLTI quelli che invece di usare hashing
in modo opportuno, si basano su password crittate e memorizzate nel DB;
ed a quel punto se uno arriva ad avere accesso al DB non c'è neanche
bisogno di usare supercomputers
 

 g4b0
 
Ciao
 
M.

 nome nascosto.
 
Il silenzio continua... Online ormai si trovano solo più congetture, 
anche verosimili: 
https://www.ilfattoquotidiano.it/2018/11/24/sulle-pec-
 
istituzionali-violate-e-calato-il-silenzio-a-chi-interessano-le-nostre-
credenziali/
 
Interessante il passaggio a proposito del perchè del silenzio da parte 
della stampa mainstream e non.
 
g4b0
 
 

 della stampa mainstream e non.
 
In effetti il discorso in merito al coinvolgimento di un "grosso 
inserzionista" sembra credibile ... ...   ;)
 
M.

 inserzionista" sembra credibile ... ...   ;)
 
Mi chiedo in tutto ciò dove sia il garante della privacy, ora gli scrivo 
una PEC :D
 
g4b0
 

 scrivo una PEC :D
 
Ci sono novita' in proposito, se non altro il nome del provider che e' 
stato infinocchiato?
 
 
Fabrizio
 
 


Che io sappia niente di nuovo, insabbiamento totale...
 
g4b0

 stato infinocchiato?
 
Dei "si mormora", dei "si dice", ma niente di affidabile al 100% ...
Continuo a tenere le orecchie aperte.
 
M.

 Continuo a tenere le orecchie aperte.
 
Mille grazie da parte mia.
 
 
Fabrizio
 
 

 Mille grazie da parte mia.
 
Per ora ancora niente, ho scritto una PEC al garante, ma per ora non ho 
ancora ricevuto risposta... e dubito che la riceverò!
 
g4b0

 Fabrizio
 
Iu' hev meil!