Newsgroup: it.comp.sicurezza.varie
Titolo: Google ha controllato *tutte* le mie password

Ciao NG,
 
Premetto che sono rassegnato a quanto vado a dire, ma 
vorrei capire solo come tecnicamente sia possibile e 
magari come evitare in futuro.
 
Ho loggato con il mio account google, uso firefox e ho 
sempre ma sempre fatto attenzione a non essere loggato con 
google quando vado su siti che richiedono una password, lo 
faccio normalmente anche con altri. Esco da dove sono, 
apro una singola tab e riloggo dove mi serve. E come 
detto, solo per ordine mentale tanto...
 
Dunque ho loggato e improvvisamente (mai accaduto nulla di 
simile) google mi ha dato un elenco di oltre 60 password a 
suo dire "compromesse" invitandomi a cambiarle. Mi sembra 
veramente troppo anche perché non ricordo di aver dato 
alcun permesso a meta-password o affidare a qualsiasi 
estensione la relativa gestione. Uso molto ma molto 
raramente chromium e non chrome solo se vedo che il sito è 
del tutto incompatibile con FF.
 
Perché questa estrema invasività, come fa google a farlo e 
come posso impedirlo in futuro? Come detto non muore 
nessuno, sono tutti siti da cui compro o relativi ai miei 
hobby ma se succede questo, cosa altro succede che non so?
 
Graziassai e un saluto sconfortato
 
Apx.
 

 hobby ma se succede questo, cosa altro succede che non so? 
 
ti spiego come è successo:
 
- quelle password tu le hai salvate sul browser (firefox)
- quando hai utilizzato chromium hai importato le preferenze da firefox, comprese le password salvate
- su chromium hai attivato la sincronizzazione delle password
- le password sono così finite sul tuo account di google
 
l'accorgimento di sloggarsi e riloggarsi in continuazione è perfettamente inutile perché lui prende comunque le password salvate.
per evitare che accada devi fare due cose:
 
- disabilitare la sincronizzazione
- visto che ci sei evitare di salvare le password sul browser e cominciare ad usare un password manager
 

 cominciare ad usare un password manager
 
Grazie mille, ma il password manager devo usarlo ovunque o
basta firefox? E quale(i) posso usare che funzionino bene
e abbiano fama consolidata di essere affidabili e non spioni?
 
Grazie per il mistero risolto, veramente non capivo come
potesse essere accaduto.
 
Apx.
 


Ma dai google ti è amico! Che vuoi che faccia con le tue ->60<- 
passoword memorizzate? A parte l'accordo che ha con i vari servizi 
segreti ammmmmerricani niente... :D Uhmm... come fare perché non si 
ripeta: non usare google e suoi derivati. ;)
E' vero che la privacy è complicata da proteggere ma usare google e 
chrome è "da impuniti"... ;)

 Apx.
 
Io uso Keepass Password safe; va molto bene.
Gratuito, opensource, sperimentato.
 
Ma non fa tutto lui, bisogna che tu selezioni al suo interno il sito 
che ti interessa e, dipendendo dal tipo di finestra che si vede, puoi 
fare un autocompletamento, oppure un copia incolla delle credenziali 
(una per volta) che puoi anche non vedere mai.
 
Magari fa anche di meglio, ma a me va già bene così.

 Gratuito, opensource, sperimentato.
 
+1
 
 
Ciao,
un TJL73 che lo usa su diverse piattaforme...
 
-- 
"Quando qualcuno che si ammira e si rispetta in sommo grado
 sembra essere immerso in profondi pensieri,
 probabilmente sta pensando alla cena."
                          -- "Legge dei grandi", da "La Legge di Murphy"

 chrome è "da impuniti"... ;)
 
E chi ci garantisce che aziende sconosciute ed anonime non facciano 
carne di porco delle nostre password?
 
Qualsiasi 'protocollo di sicurezza' in ambiente non opensource (e solo 
se ti ricompili il codice personalmente) può essere una fogna. Qui 
parliamo di applicazioni proprietarie, con protocolli proprietari, cloud 
proprietari, su hardware il cui funzionamento è garantito proprio da chi 
vogliamo evitare ed, in tutti i casi, non è sotto il nostro controllo.
 
Già, perché le funzioni di controllo e blocco dei nostri telefonini (e 
computer) sono effettuate dal SO, e chi si fida di Microsoft, Google o 
Apple? Forse (forse) qualche soluzione *nix potrebbe garantirci il 
rispetto della privacy, ma il resto certamente no. Pensare di essere 
protetti è una semplice illusione.
 
Oramai abbiamo accettato che l'hardware possa sfuggire al nostro 
controllo: pian piano accetteremo anche il resto.
 
Google non è che uno dei tanti che, rispettando le regole che 
sottoscrivi, fornisce gratis dei servizi a patto che tu ti faccia 
profilare. Né più, né meno. Se proprio dovessi pensare a qualcuno che 
usa illegalmente le mie password preferirei fosse Google, così da 
potermi rivalere.
 
-- 
gio

 potermi rivalere.
 
Se mai lo potessi provare. Praticamente impossibile. Se non ci fosse 
stato Snowden tanti ancora non crederebbero che determinate pratiche 
sono reali. Ormai sono passati tanti anni e con Trump la situazione può 
essere solo peggiorata. Probabilmente Biden non muterà questa politica, 
senza contare gli altri stati Cina, Russia e chissà quanti altri...
 
 

 impuniti"... ;)
 
 
Io non vorrei avere installato Chromium (Chrome proprio
eliminato 5 anni fa) ma anche con tutte le estensioni
disabilitate ogni tanto qualche sito è incompatibile con
Firefox ma funziona con Chromium. Ho sempre cercato di
controllare spesso se le opzioni sono sempre al valore
corretto ma non c'è storia: anche sullo smartphone avevano
preso l'abitudine di resettare le opzioni di privacy a
ogni aggiornamento (ora credo non lo facciano più solo
perché gli serve la pezza legale, non perché altrimenti
non lo farebbero) e già il solo fatto che hanno i miei
contatti mi manda in bestia perché è chiaro che nessuno
vorrebbe la stessa cosa, ma lo fanno. Questo per dire 
quanto li ho in odio.
 
Ecco perché sono costretto a usare Chromium se pure ogni 
tanto. Ma è sicuramente bastata una volta chi sa quanti 
anni fa.
 

 resto.
 
 
Quali potrebbero essere gli scenari futuri? A me pare che
con windows-as-service e tutti i programmi chiave in 
affitto e che funzionano solo se connessi non si possa 
andare oltre. O il recente annuncio di MS secondo cui 
dalle prossime versioni parte di office non funzionerà se 
non si è connessi al cloud. Ovvero dati non più 
appartenenti al legittimo proprietario (*) e con il resto, 
il controllo è totale. Cosa altro di peggio si può fare?
 
 
(*) so che è possibile resistere e nulla vieta di usare 
LibreOffice, ma vorrei concentrare il discorso sulle idee 
e tendenze.
 

 office non funzionerà se non si è connessi al cloud.
 
 
Che annuncio? Puoi postare qualche link?


Se ho capito bene parliamo di due cose, l'affidabilità di un sistema di 
archiviazione e gestione delle password, e la coscienza sociale del 
problema della sicurezza e della privacy.
 
IMHO, finché chi si occupa di profilazione è la stessa compagnia che 
crea gli strumenti (hw e/o sw) che utilizziamo, ogni discorso è inutile.
 
Sono anni che lavoro con applicazioni che validano il mio network, il 
mio computer ed infine me, anche con elementi biometrici. Questo perché 
le procedure ed i dati aziendali sono molto più importanti della mia 
privacy. Chi pensa che una azienda non archivi le mie password, anche 
sono per fare dei controlli a tempo, è fuori strada. E il badge non 
viola la mia privacy? E le telecamere sparse ovunque? E il cell 
tracciabile dalla rete dei trasmettitori?
 
Ogni cambiamento della quotidianità, dal diciannovesimo secolo in poi, è 
stato caratterizzato da una limitazione delle libertà personali. Ci si 
incazza, poi passa un po' di tempo e non ci si pensa più. Ad ogni nuova 
gabella c'è chi dice "ora basta", ed intanto mentre si chiude una porta 
c'è un portone aperto poco più in là. Di fatto nessuno oggi può anche 
solo pensare di fare a meno di tutto questo, e se un sito memorizza i 
nostri dati, si può star certi che lo abbiamo autorizzato a farlo. È che 
spesso (mi ci metto anche io) siamo disattenti...
 
Si arriva così a comprendere che esistono due livelli di problema: 
quello su scala sociale e quello di tipo personale. Su scala sociale, 
non frega a nessuno di ciò di cui parliamo: i vantaggi percepiti 
superano ampiamente le limitazioni, percepite come piccolezze, che 
subiamo nella vita quotidiana.
 
Dalle tastiere di casa (o di piccoli uffici) non si ha un quadro 
sufficiente a trarre conclusioni, o anche solo ad avere una opinione, su 
cosa accada "là fuori". Forse possono salvarsi le persone che non 
lavorano in contesti strutturati, ma senza usare FB, Amazon, MS, 
Instagram, Linkedin e altro; per il resto mettetevela via, che anche 
Linux e LibreOffice parlano con la mamma, e basta un disattenzione per 
trovare le nostre password nel dark web, anche in contesti protettissimi 
e rispettosissimi della privacy.
 
Il mondo del lavoro è molto diverso dal mondo SOHO o HOME. Tutto è 
legato a cloud, reti ed identificazione: il "chi fa cosa" è un 
imperativo senza cui non si può pensare di lavorare. Tutto questo 
proprio perché si conosce bene ciò che ho descritto poco più sopra.
 
Per "far franca" (avere una immagine pubblica inconsistente e/o limitata 
ai nostri desideri, non avere password in circolazion, non essere 
profilati) si deve tenere la spina del piccì (e del tablet e del cell) 
staccata dal muro. Possiamo farlo? No. Ebbene? Di che cosa stiamo parlando?
 
La mia allusione a Gugl era legata al fatto che millemila addetti ai 
lavori hanno gli occhi puntati su Mountain View, e non aspettano altro 
che sia violata una virgola degli accordi per scatenare una guerra 
santa, con tanto di class action, contro il diavolo. L'idea che non si 
possa fare la guerra a gugl è sbagliata: molti esempi insegnano (Philip 
Morris in primis), che i grandi sono vulnerabili perché hanno molto da 
perdere.
 
E le password? Le nostre password sono in giro nel mondo, basta andare a 
vedere nel DW. E allora? Cambiarle spesso, validazione a due vie e non 
perdere tempo a pensare di poterle controllare. Il solo pensare che 
potremmo avere delle password sicure è un segno di poca protezione dei 
propri codici di accesso.
 
E non a causa di gugl.
 
NB: tutto questo IMHO, perché non è mia intenzione fare lezioni a nessuno.
 
-- 
gio


Nulla vieta di comprare le attuali versioni di Windows e conservarle a 
memoria futura. Certo puoi accedere al cloud se hai connessioni decenti, 
non ancora disponibili in ogni dove, ergo credo che le versioni 
stand-alone MS le fornirà lo stesso. Come le licenze a vita che dovevano 
sparire ma al contrario sono sul mercato. Se comunque MS accellera verso 
questa transizione sono pronto a rinunciare a qualche funzione e magari 
compatibilità. Al momento non mi fascio la testa. ;)

 
 
Sicuramente incrementare la sicurezza a 2 fattori è utile ma non tutti i 
siti la supportano, ergo delle 60 password magari una decina gli puoi 
mettere il 2° fattore per il resto c'è... no Mastercard non risolve, 
temo. Rimane inteso che chrome ti chiede allo sfinimento di registrare 
con lui le password, può capitare di sbagliare e ti ritrovi tutte le tue 
password sue... capisci a me. Cambiare, in questi casi, la password 
immediatamente è utile.

> Che annuncio? Puoi postare qualche link?
 
Lo avevo letto quasi nero su bianco seguendo non so che 
link sul NG dedicato a win10, e non lo ritrovo. Ma 
googlando esce per esempio questo. Molto più paludato ma 
il senso è abbastanza chiaro.
 
https://www.zdnet.com/article/microsofts-next-non-cloud-office-releases-whats-coming-when/
 
 

 altri stati Cina, Russia e chissà quanti altri...
 
E l'italia dove la metti?
Chi è che parlava di Trojan di stato? Renzi? (domanda retorica)
 
Per me, che sono (o sono stato) mezzo paranoico al riguardo, le varie 
App tipo Io, Cie, Spid vari, Immuni etc tutte hanno dentro il trojan di 
stato.
 
Ma chi se ne frega... :-(

 suo dire "compromesse" invitandomi a cambiarle.
 
La funzione è derivata da un'estensione di Chrome rilasciata un paio d'anni
fa, che da qualche mese hanno direttamente integrato nel browser. Oltre a
fare controlli "locali" (come ad esempio verificare se hai usato la stessa
password per diecimila account), verifica sul database di google se i dati
di login fanno parte di di account che sono stati compromessi. Il controllo
viene fatto usando una tecnica chiamata "blinding":
 
https://security.googleblog.com/2019/02/protect-your-accounts-from-data.html
 
 
In sostanza vengono generati hash dei dati di login utilizzando due chiavi
diverse, una che conosce solo google e una che conosci solo tu (*), in modo
che attraverso Internet passino solo dati cifrati e che nessuno dei due
interlocutori (google e tu) possano leggere i dati non cifrati dell'altro.
 
Ovviamente con "tu" (*) si intende in realtà google chrome, che deve essere
considerato affidabile. Ma questa è una premessa ovvia nell'utilizzo di
qualunque browser, almeno finché continueremo a usare login e password di
testo e quindi dovremo per forza inserirle non cifrate nel browser.
 
-- 
Fletto i muscoli e sono nel vuoto.

 immediatamente è utile.
 
chrome non te lo chiede fino allo sfinimento; intanto se non lo colleghi all'account non ti chiede (ovviamente) nulla, se lo colleghi all'account puoi disabilitare la sincronizzazione (di tutto o solo le password) e nel caso cancellare le password salvate. inoltre puoi *non* salvare le password quando le digiti e se ti da fastidio che te lo chieda puoi disabilitare anche questo.
come ho già scritto io non salvo mai le password sul browser qualunque esso sia, quindi non è impossibile.
 

 Ma chi se ne frega... :-(
 
che ci creda o no la consapevolezza è molto più sicura della paranoia.
a meno che non sia paranoico a tal punto da isolarti dal resto del mondo, ma visto che sei qui tenderei ad escluderlo.

Rispondo qui sotto a rootkit

:-)


Ah OK, avevo letto queste notizie. Ma a me pare invece che MS ha 
confermato la disponibilità del tradizionale Office, limitandosi solo a 
diminuirne il periodo di supporto. Stessa cosa ha fatto con la ltsc di 
Windows 10.
 
Non proprio un solo cloud e/o solo online :-)

Grazie a tutti, discussione fantastica oltre che utile ad
apprendere un po' di cose che non sapevo :)

Ma chi se ne frega... :-(
 
A me frega.
BTW per evitare qualsiasi *troiaio* basta rootare il citofono e tenere
d'occhio le cartelle di sistema e tutto il resto, every now and then.
 
PS: parlo solo per "IO".
"Spid" non richiede alcuna app. "Cie" non so cosa sia. "Immuni" invece
dovrebbe averlo perché integra il geoposizionamento obbligatorio ma
non l'ho mai installata, provata o vista in alcun modo.
 
-- 
Lex Tutor
L'Asilo Infantile di Bofhland® è un argomento che sarà oggetto
di un libro di prossima pubblicazione, quindi sto discutendo
di una questione che mi interessa per finalità di ricerca

 non l'ho mai installata, provata o vista in alcun modo.
 
Io la ho usata per almeno un mese e poi la ho eliminata brutalmente.
 
Il problema non è tanto nell'app, che comunque è uno schifo, non 
funziona, ma l'Api di google: siccome è parte dell'App "Google" che 
controlla l'account e tutte le sue impostazioni, l'Api non la puoi 
evitare e funziona anche se non installi Immuni, e dunque google 
continua ad aggiungere sempre più informazioni su ogni singolo telefono 
e dunque sul suo utente e ne sa più del ministero della salute.
 
Quindi Immuni non sa dove sei, mentre Google si, quando utilizzi 
immuni.
Che poi Google, anche se dice che non usa le informazioni di posizione, 
comunque /le possiede/ e non dice se le userà in futuro per altri usi.

 comunque /le possiede/ e non dice se le userà in futuro per altri usi.
 
A me non risulta che Immuni utilizzi la geolocalizzazione.
 
CIT: "Immuni non ha assolutamente accesso ad alcun dato di 
geolocalizzazione. Sugli smartphone Android, a causa di una limitazione 
del sistema operativo, il servizio di geolocalizzazione deve essere 
abilitato per permettere al sistema di notifiche di esposizione di 
Google di cercare segnali Bluetooth Low Energy e salvare i codici 
casuali degli smartphone degli utenti che si trovano lì vicini. 
Tuttavia, come si può vedere dalla lista di permessi richiesti da 
Immuni, l'app non è autorizzata ad accedere ad alcun dato di 
geolocalizzazione (inclusi i dati del gps) e non può quindi sapere dove 
si trova l’utente".
 
Lo sa Gugl, alla faccia del caciocavallo :|
 
 
 
-- 
gio

Il 02/03/2021 14:33, gio ha scritto:
 
Scusa, quotato male.
 
Rispondevo a questo:
 
[paste]
"Immuni" invece
dovrebbe averlo perché integra il geoposizionamento obbligatorio ma
non l'ho mai installata, provata o vista in alcun modo.
[/paste]
 
-- 
gio

comunque /le possiede/ e non dice se le userà in futuro per altri usi.
 
SBRUOTFL
Quando mai un ladro ti ha comunicato dopo come impiegherà le risorse
che ti ha già rubato???


Lo sa Gugl, alla faccia del caciocavallo :|
 
Google, e quei bastardi dei suoi avvocati calunniatori e bugiardi (che
ho appena querelato...), sa anche che io sono stato condannato e sono
un protestato e un fallito, oltre che un finto avvocato... EG
Da quasi 15 anni. :-(
Qualunque cosa sappia quella fogna di ladri americani di dati
personali altrui, mica significa che sia vera.


E se fosse incastrato ben nascosto in altre parti di android?
 
O, più probabilmente - se hai un Samsung - di Kinibi ;-)
 
Leonardo
-- 
 
"You all presumably know why" :-) :-(


Cosa che vedono tutto quello che compri, quando etc.?!
Almeno ti danno 150e, prima era gratis. :D