Newsgroup: it.comp.sicurezza.varie
Titolo: Blocco password sbagliata spinge a password deboli

VAFFANCULO!!!
Ecco scusate ma dovevo sfogarmi contro questi sistemi COGLIONI che 
bloccano la password in caso di digitazione sbagliata.
Questo sistema COGLIONE evidentemente spinge verso l'uso di password 
deboli e uguali in tutti i sistemi perchï¿œ se viene meno la possibilitï¿œ 
di tentare quelle che ho in mente e devo beccarla al primo (o entro il 
terzo) colpo allora sceglierï¿œ password deboli e uguali in tutti i sistemi.
E anche chi fosse cosï¿œ stoico da resistere, dopo un paio di 
disattivazioni (a me ï¿œ giï¿œ successo con un conto di deposito, 2 volte, e 
con la password della carta di credito per gli acquisti online), 
disservizi e trafila per la riattivazione, capitolerï¿œ.

 bloccano la password in caso di digitazione sbagliata.
Certo, moooooolto meglio facilitare un attacco brute force ....
M.
-- 
"Ho perso le parole" (Ligabue)
"Mi restano un po' di parolacce" (Smith)

 Certo, moooooolto meglio facilitare un attacco brute force ....
Se chi impone questi sistemi non fosse un COGLIONE potrebbe ad esempio 
avere il barlume di intelligenza da porre il limite di blocco della 
password a 50 errori invece che a 3!
Una persona non sbaglia 50 volte, un attacco a forza bruta sï¿œ.
Questi sistemi di sicurezza sempre piï¿œ invadenti:
1) rendono scomodi i sistemi peggiorando il servizio offerto ai clienti
2) spingono le persone a comportamenti insicuri come scegliere password 
semplici e sempre uguali (e ho ben spiegato il perchï¿œ), scriversele 
eccetera.
Ad esempio io una volta le password le tenevo a mente.
Adesso invece me le devo scrivere perchï¿œ c'ï¿œ il sistema X che vuole la 
password con la prima lettera maiuscola. C'ï¿œ il sistema Y che vuole la 
password con almeno due numeri. C'ï¿œ il sistema Z che vuole almeno un 
segno di punteggiatura. C'ï¿œ il sistema H che vuole che cambi la password 
ogni mese.
Quindi devo scegliere password continuamente nuove password con regole 
sempre diverse (una volta le mie password erano solo minuscole e senza 
numeri ma di caratteri casuali quindi forti) e non potendo tenere a 
mente tutte queste nuove password ed il maiuscolo/minuscolo di ogni 
carattere ho finito per doverle scrivere.
Il risultato ï¿œ che tutto il sistema di protezione perde sicurezza invece 
che accrescerne.

 password a 50 errori invece che a 3!
Calma calma: quello che dici tu succede raramente e comunque ci sono
utenti che scriverebbero la password sul postit attaccato al monitor
anche se fosse "pippo" o il proprio nome.
Comunque al di la del turpiloquio, il problema effettivamente esiste e
si fa sempre piï¿œ grave con il progredire del numero di sistemi a cui
occorre accedere, ognuno con il suo sistema di autenticazioni.

 occorre accedere, ognuno con il suo sistema di autenticazioni.
Lessi qualche giorno fa che l'80% degli utenti usano la stessa password 
per tutto, dalla posta ai siti, dall'home banking all'accesso a uindos.
Credo che oggi un password wallet sia indispensabile.
Ho un iPhone e ce ne sono di meravigliosi...
-- 
-> GbC|
www.gbcweb.com
www.chiappori.com
 

 per tutto, dalla posta ai siti, dall'home banking all'accesso a uindos.
Si tende a fare cosï¿œ, una sana via di mezzo forse ï¿œ quella che uso io:
Siti con gestori *imbecilli* che per darti qualsiasi info vogliono un 
login: username e password banali e uguali per tutti.
Sistemi a cui accedo anche come root ed account di posta, password 
complesse e differenziate.
Home banking, per fortuna ho un token otp! :)
saluti organizzati
-- 
Il re ï¿œ nudo! 
it.wikipedia.org/wiki/Ordine_esecutivo_11110

 bloccano la password in caso di digitazione sbagliata.
E' un concetto idiota in partenza: a questo punto
qualcuno puo' farlo apposta a bloccarti l'accesso
sbagliando in continuazione.
Sulle aree di login che ho creato io nei miei
siti funziona cosi': *ovviamente* non esiste un
"blocco dell'account" in base al numero di
tentativi, ma *sullo stesso IP*, se sbagli piu'
di tre volte di seguito ci sara' un delay che
blocchera' tutti i tentativi seguenti per un
tempo esponenzialmente crescente:
*4 tentativi: delay di 2 secondi
*5 tentativi: delay di 4 secondi
*6 tentativi: delay di 8 secondi
*7 tentativi: delay di 16 secondi
*8 tentativi: delay di 32 secondi
*9 tentativi: delay di 64 secondi
e cosi' via fino ad un massimo di 1024
secondi (per uno stesso IP). In questo
modo l'unico modo per cui un ipotetico
cracker puo' tentare un attacco di forza
bruta *decente* e' utilizzando una botnet.


Per "delay" intendo dire che il sistema
durante quel periodo rifiutera' qualsiasi
tentativo di login (con dati giusti o sbagliati
che siano)