Newsgroup: it.comp.sicurezza.varie
Titolo: Re: x chi usa internet point: rischio webmail, occhio.

..
Ci dovresti dire quale provider e' per starne lontano, fin tanto che 
non risolvono il problema o spronarli a fare la modifica.

...
P.S. hai provato anche con altri provider?


tempo fa ebbi modo di dire che io usavo per i miei login il metodo 
incriminato, e mi risposero che assolutamente non si deve fare cos�, poich� 
il meccanismo, prima e pi� che essere un bug, di per s� comporta certi 
rischi, a prescindere dai provider; non � problema di provider, ma di 
qualsiasi sito 

 qualsiasi sito
Bel casino.


infatti avevo trovato il metodo di costruire un'unica stringa che conteneva 
anche la password, per ogni sito dove dovevo fare login.
e proprio la stringa, che viene evidentemente conservata, non ore, ma certo 
alcuni minuti, parfe possa essere recuperabile, ma in effetti non pare un 
bug vero e proprio, pare proprio qualcosa da non farsi.
ora invece, con opera, c'� una gestione molto comoda dell epassword, e ho 
evitato il rischio, a me quello che interessava era non dover digitare ogni 
volta la password, e non � facile trovare metodi comodi ed anche sicuri, 
questo di opera mi sembra che lo sia 

 questo di opera mi sembra che lo sia
Io ho appena scoperto che su W7 / IE9, tutti gli
aggiornamenti e settaggi abbastanza paranoici, se
apro la mia mail su 
hotmail.com
 poi mi scollego con
un corretto sign-out, *senza* aver scelto di conservare
nè l'utente nè la password, al prossimo accesso ad
hotmail.com
, IE9 mi riapre tranquillamente da solo la
casella di posta e hotmail permette tranquillamente
l'accesso. >:-[
Mi pare di essere tornato a dieci/quindici anni fa. 8-(
Bye, G.

l'accesso. >:-[
La cosa scocciante è che l'algoritmo con cui IE9 salva quei dati non
è né AES né niente di riconoscibile: fermo restando che posso starmi
prendendo un granchio da un chilo, e bischerate ne sparo come e piu'
della media, il dubbiello che ho e' che quei dati siano criptati con
un algoritmo "sicuro" e "sviluppato in proprio".
Ora, siccome almeno QUALCUNO in MS era convinto che "criptare" fosse
una roba fattibile con base_64_encode(), e qualcun altro se ne venne
fuori con NTLANMAN (l0pht Heavy Industries anyone?), vedere che - di
nuovo: ***se*** non mi sbaglio - in MS stanno violando così la Prima
Direttiva[1] come ai bei tempi...
Leonardo
[1] Thou Shalt Not Implement Your Own L33t Cryptography Algorithm
-- 
Surstangas via akcipitr', la ceval' fojnumas nur:
Jen vigla damo en brakum', kaj vi pensas pri forkur'?
Do li turnis sin, kaj turnis sin, kaj ekdormis sen singard';
Kaj lin apudis je l' vekigx, soldatoj kaj Barnard'.

 [1] Thou Shalt Not Implement Your Own L33t Cryptography Algorithm
E ultimamente ho visto pure un certo post sulle CryptoAPI.
Bye, G.

> E ultimamente ho visto pure un certo post sulle CryptoAPI.
Ti riferisci a qualcosa tipo... (leggere i links in sequenza :D)
http://msdn.microsoft.com/en-us/library/aa376210%28VS.85%29.aspx
http://en.wikipedia.org/wiki/Microsoft_CryptoAPI#Cryptography_API:_Next_Generation
http://www.schneier.com/blog/archives/2007/11/the_strange_sto.html
;-) ?

 Direttiva[1] come ai bei tempi...
Ah, I corsi e ricorsi storici... 
http://xkcd.com/936/
 :D

 e scarica il tuo file   ANCHE SE TU HAI GIA' FATTO IL LOGOUT
Ecco, io pero' comincerei anche e soprattutto ad evitare internet cafe'
o comunque postazioni pubbliche per l'accesso a internet che non usino
sistemi analoghi a steady state (protezione disco e profilo utente
da modifiche permanenti, e diverso altro, unito alle raccomandazioni
di utilizzo, sicurezza e privacy ben visibili), perche' il danno
potenzialmente maggiore non e' tanto quel che descrivi nel tuo post...
bye G.L.
-- 
Da i.d.c.tutela:
P.S. Quando ci sarà lo switch-off, avrò problemi anche col
monitor del PC? Ho visto che è collegato in modalità analogica.