Newsgroup: it.comp.sicurezza.varie
Titolo: due cose sul recupero della password

 
Stavo prendendo in esame i meccanismi di recupero delle password e i 
connessi metodi fraudolenti per sottrarle al legittimo titolare.
 
Bene: mi ha "stordito" questa tecnica "dei 3 giorni" usata da Libero
( 
http://aiuto.libero.it/liberoid/password/faq/5133.phtml
 ):
 
"
Se hai dimenticato la password e hai inserito la domanda segreta nella 
tua gestione dati personali, puoi recuperarla attraverso la risposta 
alla domanda segreta, dopo 3 giorni dall'ultima login che hai effettuato.
Questa scelta ï¿½ stata fatta per proteggere i tuoi dati da tentativi 
fraudolenti, si suppone che chi ha recentemente effettuato un accesso, 
difficilmente possa aver dimenticato la password il giorno dopo, dovrai 
avere un poï¿½ di pazienza, ma questo scoraggerï¿½ un probabile ï¿½ladro di 
passwordï¿½ che abbia indovinato la risposta alla tua domanda segreta e 
stia provando a fare il reset della tua password.
 
Nel contempo sarai avvisato di eventuali tentativi di recupero password 
tramite domanda segreta e potrai andare subito a modificarla.
"
 
Nel senso che: o sono io che non la capisco, o non mi sembra molto 
furba. Se il ladro conosce la risposta alla domanda segreta e sono 
passati 3 giorni dal tuo ultimo login, bingo!
Diverso sarebbe se --che so-- bloccassero per 3 giorni la possibilitï¿½ di 
utilizzare il sistema della domanda segreta qualora sia stata data una 
risposta sbagliata (e nel contempo ti avvertissero via email del tentativo)
 
Quasi un anno fa (mi sono letto il thread adesso), in questo newsgroup, 
un utente della posta Tin diceva che il messaggio che lo avvertiva gli 
era finito in Spam (!!! -- probabilmente perchï¿½ Tin ï¿½ spesso 
blacklisted...?). Il messaggio diceva:
 
"
Se questo accesso ï¿½ stato effettuato da Lei La preghiamo di ignorare
questo messaggio.
In caso contrario Le consigliamo di accedere al piï¿½ presto ad Area
Clienti all'indirizzo 
https://areaclienti.virgilio.it
  e modificare sia
la coppia domanda/risposta che la password di accesso..."
"
 
Ma...??? se l'accesso ï¿½ stato un vero accesso (e non un tentativo), 
l'utente legittimo ï¿½ giï¿½ tagliato fuori, in quanto (a quanto mi risulta) 
la procedura c.d "di recupero" consiste ***non*** nel recupero della 
password esistente, bensï¿½ nella possibilitï¿½ di impostarne una nuova
( 
http://assistenzatecnica.telecomitalia.it/at/portals/assistenzatecnica.portal?_nfpb=true&_pageLabel=GuideBook&radice=consumer_root&nodeId=/AT_REPOSITORY/532004
 
).
 
Insomma, vorrei che qualcuno mi spiegasse:
 
- il senso del metodo dei 3 giorni adottato da Libero;
 
- come ï¿½ possibile che Tin mandi un messaggio di avvertimento cosï¿½ 
contraddittorio;
 
(
al limite l'email di avviso da parte di Tin potrebbe avere un senso 
precauzionale se la password esistente (e dimenticata dall'utente) 
venisse comunicata in qualche modo (ad esempio via SMS) ***E*** questa 
via alternativa non fosse giï¿½ caduta in possesso dell'intruder (ad 
esempio tua moglie che ha in mano il tuo telefonino ;-) e legge l'SMS 
che comunica la password) ***E*** questo/a intruder, subito dopo, NON 
avesse cambiato la (tua) password (mossa sensatissima se il suo 
obiettivo ï¿½ controllarti). Se invece, come mi risulta, la procedura di 
Tin consiste nella reimpostazione della password, consigliare di recarsi 
in areaclienti ï¿½ un assurditï¿½
)
 
P.S.
Per ricambiare, segnalo questo (vecchio) articolo di Attivissimo
http://attivissimo.blogspot.it/2010/03/come-rubare-la-password-della-mail.html
 
il cui pregio ï¿½ che parla di un furto... ***involontario***.
 
 
 

 hai effettuato. Questa scelta è stata fatta per proteggere i tuoi
 
In effetti usare un intervallo di tre giorni non ha molto senso; se si
pensa che, in tre giorni c'è gente che è in grado di resuscitare, credo
sarebbe opportuno ridurre l'intervallo a 72 ore
 
 

alla domanda segreta, dopo 3 giorni dall'ultima login che hai effettuato.
 
Appunto, bisogna sapere la risposta alla domanda segreta.
 
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 Appunto, bisogna sapere la risposta alla domanda segreta.
 
Infatti. Ma come dicevo, se chi vuole fregarti la password conosce la 
risposta, non vedo quale efficacia abbia inibire la possibilit� di 
recupero nei 3 giorni successivi all'ultimo login dell'utente.
 
 

recupero nei 3 giorni successivi all'ultimo login dell'utente.
 
Si salvano quelli che guardano la posta spesso.
Effettivamente non � una gran misura di sicurezza.


 sarebbe opportuno ridurre l'intervallo a 72 ore
 
I tre giorni del... Condor    ;-)
 
 

 della tua password.
[...]
 
 
In sostanza cercano di mettere una "pezza", non fortissima ma comunque 
meglio  che niente,  al sistema delle "domande segrete", forse 
rendendosi conto che ï¿½ un sistema assolutamente insicuro per noti 
motivi. Non conosco quelle di Libero.it, ma in generale le risposte non 
hanno la forza di una vera password, perchï¿½ sono spesso prevedibili, 
chessï¿½ la squadra del cuore, se sei di Firenze, nel 90 percento dei casi 
sarï¿½ la Fiorentina! o al massimo qualche squadrone dei piï¿½ famosi... o 
addirittura si tratta di notizie facilmente rintracciabili da chi ti 
conosce, chessï¿½ il nome del tuo animale domestico, la scuola dove ti sei 
diplomato, il cognome da nubile di tua madre...!).
 

 sarebbe opportuno ridurre l'intervallo a 72 ore
 
Semmai l'intervallo andrebbe allungato un po', 5 giorni?, per aggiungere 
un tantinello di sicurezza extra. Se hai usato la password cinque giorni 
fa, tenderai a ricordarla anche oggi, mediamente.
 

 Effettivamente non � una gran misura di sicurezza.
 
Non � un gran misura di sicurezza, d'accordo, ma � pi� sicuro che 
permettere il recupero della pwd con domanda segreta senza alcun limite, 
come fanno molti altri.
 
 

 fa, tenderai a ricordarla anche oggi, mediamente.
 
E' il contrario: Libero permette il recupero SOLO DOPO 3 giorni, perch� 
si basa sull'assunto che dopo 3 giorni � ammissibile che uno se la sia 
dimenticata, mentre (sempre secondo Libero) entro 3 giorni � pi� normale 
che uno se la ricordi (secondo te, invece, dopo tot giorni si tenderebbe 
a ricordarla). Quindi hai ragione (ma vedi oltre) sui 5 giorni, ma il 
motivo assunto da Libero sarebbe che dopo del tempo � ammissibile che 
uno se la sia dimenticata.
Secondo me, invece, tutto ci� � sbagliato e dannoso, oltre che inutile 
(inutile perch� serve ad evitare il recupero fraudolento ***solo*** nei 
casi in cui uno consulti la posta senza far passare mai 3 --o 5-- 
giorni), in quanto non � affatto infrequente che un utente, al 
contrario, non riesca ad entrare proprio SUBITO DOPO aver modificato la 
password.
Per esempio:
- non l'ha immessa ***digitandola*** due volte, ma la seconda volta 
facendo un copia&incolla;
- l'ha immessa digitandola due volte (o facendo un copia&incolla la 
seconda volta), ma l'ha annotata sbagliando un carattere (o scrivendolo 
male), per cui quando --anche subito dopo-- prova a rientrare non ci 
riesce ed entra nel panico (e non riesce a risalire al carattere scritto 
male o sbagliato);
- l'ha immessa digitandola due volte e ***tutte e due le volte*** 
sbagliandola nello stesso punto rispetto a quella che voleva inserire (e 
che si � scritto a parte) -- ***questo � uno dei casi pi� frequenti***;
- l'ha immessa inventandone una strong, sta per appuntarla (doveva 
annotarsela prima), suona il telefono, risponde e... quando torna al pc 
per rifare il login... se l'� dimenticata (e siccome era strong non ha 
un metodo mnemonico per ricostruirla) e non aveva fatto in tempo a scriverla
 
Quindi: quella dei 3 giorni � una misura di sicurezza dalla dubbia 
efficacia e che crea (quindi) un inutile impedimento agli utenti 
legittimi che si sono scordati la password subito dopo averla cambiata e 
che devono di conseguenza aspettare 3 giorni per poter rientrare in 
possesso della propria mailbox. Se poi venisse allungata a 5 giorni 
l'impedimento diventerebbe inconcepibile.
 
In conclusione: � una misura di sicurezza ***sbagliata***. Punto e 
basta. E come tutte le misure di sicurezza sbagliate � dannosa. Non c'� 
modo di migliorarla allungando il termine di quarantena, perch� se da un 
lato cos� si renderebbe (ipoteticamente) la vita pi� difficoltosa a un 
eventuale intruder, dall'altro lato si danneggerebbe in modo 
ingiustificabile (e ingiustificato, a mio parere) il legittimo proprietario.
 
Siccome che si fossero inventati una roba del genere mi pareva assurdo 
(come dicevo nel post iniziale, l'invenzione dei 3 giorni mi aveva 
"stordito"), pensavo di essere io che non capivo qualcosa.

 In sostanza cercano di mettere una "pezza"...
 
Ok --grazie-- direi che ï¿½ tutto chiaro.

 come fanno molti altri.
 
Visti i costi (per l'utente legittimo), rispetto ai benefici (dubbia 
efficacia nell'impedire recuperi fraudloenti), secondo me � 
semplicemente una misura di sicurezza dannosa per i propri clienti e che 
non aggiunge effettivamente alcuna sicurezza.
La sicurezza dev'essere prevedibile in modo il pi� possibile "solido" 
(cio� verificabile, o meglio: ***non falsificabile***), non si pu� dire 
"bah, questa cosa qui mettiamocela che magari serve nei casi in cui..." 
trascurando gli effetti collaterali, o comunque senza aver chiaro in 
mente un grado di efficacia prevista, o presunta, ma che sia 
quantificabile in modo dimostrabile con un ragionamento (dotato di 
senso). Non si pu� aggiungere una misura di sicurezza per tentativi, 
come se si salasse la pasta.
 
Se dalle (loro?) statistiche risulta che la maggior parte degli utenti 
guarda la posta a intervalli inferiori ai 3 giorni, l'intralcio del 
dover attendere 3 giorni si verificherebbe potenzialmente in molti casi.
Mentre se dalle statistiche risulta che la maggior parte degli utenti 
guarda la posta a intervalli superiori ai 3 giorni, un intruder avrebbe 
la possibilit� di attivare un recupero password nella maggior parte dei 
casi.
Ok ok, per riuscire a entrare in possesso della casella dovrebbe 
conoscere la risposta (segreta...) alla domanda (segreta...), ma 
pensiamo al caso qui segnalato qualche tempo fa:
 
"
Scrivo questo messaggio anche perch� se a qualcuno succedesse una cosa
del genere e si trovasse quella stessa domanda in francese, "mon premier
enfant gacon", la risposta �
 
dorcas
 
E comunque adesso mi sembra molto facile rubare un account di posta,
basta provarne tanti richiedendo la domanda di sicurezza per il recupero
della password.
 
Non se ne esce: misura (di non sicurezza) dannosa e inutile.
"
( 
https://groups.google.com/forum/#!topic/it.comp.sicurezza.varie/D6KM0BBUkhU
 
)
 
Il punto che fa sorridere in senso affermativo � "E comunque ADESSO mi 
sembra molto facile rubare un account di posta": se un ladro di password 
provava tanti account e trovava una domanda in francese, la risposta era 
scontata ;-)
La casella, forse, apparteneva a qualcuno che... non consultava la posta 
da pi� di... ehm... 3 giorni... o comunque che la consultava tanto di 
rado da non accorgersi che era stata vulnerata e che qualcuno gli aveva 
cambiato la password nonch�... modificato la risposta (ed eventualmente 
la domanda) per il suo recupero/reimpostazione.

 "stordito"), pensavo di essere io che non capivo qualcosa.
 
 
Qualsiasi misura di sicurezza deve garantire  un compromesso tra 
comodit� d'uso e, appunto, sicurezza.
Il  recupero via domanda e risposta, a mio parere, � sbilanciato verso 
la comodit�, tralasciando la sicurezza. Su questo spero che concordiamo: 
� ridicolo che tu possa accedere a una casella di posta semplicemente 
indovinando (o venendo a sapere) che il mio cane si chiama Beethoven, 
che la mia prima insengnante al liceo era la professoressa Rossi, che 
tifo per la Juve piuttosto che per l'Inter...!
Se proprio si vuol usare questo sistema, deve essere una estrema ratio: 
per esemppio, se non fai login da un anno, � ben possibile che la tua 
password sia dimenticata o persa, e che magari la tua email secondaria 
sia non pi� valida... quindi pu� aver senso consentire il recupero in 
quel modo meno sicuro,  con la risposta segreta.
Se invece non fai login solo da un paio di giorni, pare sospetto che tu 
abbia bisogno di recuperare la password (casi particolari a parte), e un 
po' di diffidenza non guasta, IMHO.
 
 
 

 Non se ne esce: misura (di non sicurezza) dannosa e inutile.
 
Semmai dannoso e rischioso � permettere l'accesso con domanda di 
sicurezza, come fanno tanti siti. E' paradossale: da una parte si 
sollecitano gli utenti a usare password sempre pi� complesse, con 
maiuscole e minuscole, lettere e numeri, punteggiatura, almeno una certa 
lunghezza minima, e a cambiarle periodicamente.  Dall'altro, per�, tutta 
questa blindatura � aggirabile indovinando che il tuo piatto di pasta 
preferito � la Carbonara! :D
Non � una pratica sicura, e infatti nessun online banking usa niente del 
genere che io sappia.
Per� lo si usa per una mailbox, dalla quale magari l'intruso potrebbe 
accedere anche ad altro...
 
 
Libero, limitando il ricorso alla domanda di sicurezza secondo il 
criterio appena discusso, quantomeno riduce il pericolo.
Introduce una piccola scomodit�, d'accordo, ma per un buon motivo.

tifo per la Juve piuttosto che per l'Inter...!
 
Anche secondo me quella della "risposta segreta" � una cazzata.
Se uno mette cose vere (come quelle elencate da te) gli altri le
possono scoprire.
 
D'altra parte, se mette cose inventate � un'altra cosa in pi� che �
possibile dimenticarsi. E a quel punto si hanno due cose complesse,
tanto vale memorizzare la password in un posto sicuro.


 tanto vale memorizzare la password in un posto sicuro.
 
Una via di mezzo � usare il "metodo Serni", se ricordo bene quel che 
espose tempo fa: risposte a domande diverse da quelle indicate! :)
 
"Come si chiamava la tua prima maestra alle Elementari?"
 
"Lamborghini Gallardo LP560-4" che invece � la tua macchina (dei sogni!).
 

 Introduce una piccola scomodità, d'accordo, ma per un buon motivo.
 
Un sistema decisamente migliore che ho visto usare in alcuni casi è
quello che prevede l'inserimento tra i dati dell'account di un
indirizzo email alternativo e/o di un numero di cellulare; in tali
casi, avviando un recupero password viene inviato un SMS (o una email)
contenente un "ticket" (codice numerico) che, inserito in apposita form
permetterà di reimpostare la password per l'account; il codice ha una
validità limitata nel tempo (es. 24 ore) e comunque viene disattivato
una volta completata la procedura di reimpostazione
 
 

 una volta completata la procedura di reimpostazione
 
Anche questo non � che mi rassicuri del tutto. Il telefono cellulare lo 
si lascia a volte incustodito in casa,  in ufficio, e non sempre 
"blindato". Meglio allora combinare pi� criteri: se conosci la risposta 
alla domanda, ti invio il codice per reimpostare la password via SMS al 
numero che mi hai indicato.
Inoltre, verificher� ogni tanto  che quel  numero sia ancora valido...

 quel  numero sia ancora valido...
 
troppo macchinoso e non aggiunge nulla
 
 
 

espose tempo fa: risposte a domande diverse da quelle indicate! :)
 
E' pi� sicuro che rispondere le cose vere, ma peggiora un altro
aspetto: bisogna ricordarsi sia la domanda che la risposta.
 
E questo sul singolo sito: se non vogliamo dare a tutti i siti la
stessa risposta segreta, bisogna fare lo stesso per tutti gli altri.
 
Quindi altre cose da memorizzare: per ogni sito
 
-nome utente
-password
-domanda segreta
-risposta segreta
 
Io non uso per niente questa funzione: scelgo una domanda a caso e
come risposta butto gi� sulla tastiera lettere e numeri a casaccio,
combinazioni che non sto neanche a segnare. Tanto le segnerei dove
segno la password, e se perdessi una perderei anche l'altra.


 mano il telefono non sa di quale portale si parli :)
 
per chiarire, la pagina di recupero ti chiede di inserire il ticket,
l'indirizzo email e la nuova password; l'unica cosa che ti arriva in
SMS è il ticket, quindi non hai l'URL del portale e non hai la email
 
Non pretendo che sia una cosa sicurissima, ma non è neanche semplice
sgamare le informazioni mancanti... oh, per carità, poi se uno è un
fesso e lascia il telefono in giro ogni 3x2...
 

 mano il telefono non sa di quale portale si parli:)
[...]
 
Chi ha in mano il telefono � appunto colui che ha generato la richiesta 
del codice sul portale per potervi accedere, quindi sa benissimo di che 
portale si tratta :)
 
Ovvero, ai colleghi ficcanaso e ai fidanzati gelosi... basta poco per 
impadronirsi temporaneamente di un telefonino e tramite quello, se � 
previsto il recupero via SMS, aver accesso alla mailbox o altro.
 

 fesso e lascia il telefono in giro ogni 3x2...
 
Le persone normali non tengono il telefono "sotto chiave". Magari 
dovrebbero, visto che, con meccanismi tipo il recupero password via SMS, 
dal telefono si pu� accedere alla mailbox e dalla mailbox ad altro...!

 benissimo di che portale si tratta :)
 
non necessariamente, non è detto che la richiesta di reset sia stata
generata dal telefono o che l'account email sia configurato sullo
stesso
 
 

 stesso
 
Non occorre che l'account sia configurato sul telefono per sapere qual � 
l'indirizzo email di una persona. Basta chiederglielo! :)