Newsgroup: it.comp.sicurezza.varie
Titolo: Postel data breach

Incursione di quelle serie, con ogni tipo di dato personale interno, documenti
identità, parmessi per malattia, retribuzioni, password di ogni genere:
https://www.wired.it/article/postel-attacco-ransomware-medusa/
 
 
Vediamo se pagheranno il riscatto o se tutta sta roba finirà online. E occhio
alle truffe!


 
Non ho capito se chi ha lo spid su Poste senza essere dipendente di 
postel debba temere il data breach.
 
Comunque io cambio la password del mio spid che è già lunga 12 
caratteri
Sarà lunga abbastanza?

 Sarà lunga abbastanza?
 
Se sui un password manager, quindi non te la devi ricordare o scrivere
altrove, personalmente la metterei più lunga.

 postel debba temere il data breach.
 
Per quello che si sa, no. 
Al momento si conosce solo quello che trapela dalle anteprime dei dati 
trafugati, perché lato Poste si guardano bene di rivelare natura e entità 
del data breach. Si tratterebbe di molte cartelle di documenti archiviati 
alla cazzum e non di archivi database o password. Non che ne sminuisca la 
gravità perché in quei documenti c'è sicuramente una grande quantità di 
dati personali e anche sensibili. 
Se fossero arrivati ad attaccare l'infrastruttura dello spid avrebbero 
certamente fornito la prova in anteprima. 
 

Rispondo qui sotto a ArchiPit

Grazie a tutti
Cambio eaAllungo la password

 Grazie a tutti Cambio eaAllungo la password
 
Premesso che fai benissimo soprattutto a cambiarla, però 12 caratteri in 
cui usi l'ASCII ha circa 90 bit di entropia, quindi già abbastanza per non 
dare speranze ai malfattori. Meglio una password di 12 caratteri generata 
bene che una più lunga ma generata a mano.
 
Inoltre se temessi che il sistema SPID sia interessato dal data breach la 
password sarebbe l'ultima delle preoccupazioni. Quella si cambia. Il 
problema sono tutti quei dati personali e identificativi di cui sono in 
possesso e che se venissero divulgati possono fare molto, ma molto male. 
Furti di identità, sostituzione di persona, truffe, phishing mirato e chi 
più ne ha più ne metta.
 
 
 

 più ne ha più ne metta.
 
E' anche la mia opinione e nel mio post del 17Ago chiedevo per capire 
se erano stati trafugati i dati degli spid di tutti quelli che usano 
Poste e non solo di quelli dei dipendenti di Postel.
 
Pare di no.

 Sempre troppo poca.
 
Su che base lo affermi?
Per un moderno PC il tempo stimato è circa 600 milioni di miliardi di 
anni, cioè 50 milioni di volte l'età dell'universo. Troppo poco?
 
Va bene è una prudenza che non costa nulla, ma bisogna comunque dare un 
senso razionale a quello che si dice. 

 anni, cioè 50 milioni di volte l'età dell'universo. Troppo poco?
 
Credo che siano dati non aggiornati
 
https://www.puntoinformaticofree.it/password/creazione/entropia_password.html
 


LOL.
 
"una password per essere sicura dovrebbe essere di almeno 42 caratteri"
 
E perché non 72, o 147 o 233? Tanto come dicevo è una prudenza che non 
costa nulla, se uno non si prende la briga di spiegare dati alla mano il 
perché di quel numero.
 
E no, straparlare (a vanvera) dei computer quantistici non è "essere 
aggiornati". Come è facile immaginare la caratteristica del quantum 
computing non è quella di introdurre mera potenza di calcolo (per quella 
c'è sempre il problema fisico che bisogna scalare) ma di introdurre nuovi 
algoritmi che, attualmente ancora a livello teorico, andranno a rompere la 
crittografia RSA. Significa che potrebbero venire usati efficientemente 
per il brute force? NO! Sarebbe come voler usare un aereo supersonico per 
andare da Londra a New York ma facendolo andare per mare.


Ma dai, quello è il primo link di una serie, non l'avevo nemmeno letto 
tutto.
 
Non credo proprio a server farm dedicate a craccare le mie password.
 
Io penso solo che una pw lunga faccia faticare di più di una corta 
qualunque craccatore, e mi basta.

 qualunque craccatore, e mi basta.
 
Questo è lapalissiano. Ma il tema è conoscere la complessità minima che 
garantisce un ragionevole livello di sicurezza e quella oltre la quale non 
ha più senso andare. Perché per ogni password che scegli ce ne saranno 
sempre di più lunghe e ad un certo punto ti dovrai decidere non trovi?
 
 

 ha più senso andare.
 
Perfettamente corretto, ma si tratta di definire il ragionevole livello 
di sicurezza...
10 anni fa potevano bastare password di 10 caratteri

 di sicurezza...
 
Appunto, è quello che si fa quando viene stimato il tempo teorico per 
forzare una password con una data entropia sulla base delle potenze di 
calcolo attuali.
 
Il che riporta alla domanda: perché considerare "ancora troppo poco" una 
password che si stima possa essere craccata in un tempo superiore all'età 
dell'universo? 
 
Non è una critica, più che altro un esperimento sociale :-) Scherzi a 
parte capisco questo atteggiamento che riconduce ad un ben noto bias 
cognitivo detto "euristica della disponibilità". 
 
https://menteinnovativa.com/i-bias-cognitivi-sulle-probabilita/
 
 
(fine della divagazione psicologica :-) )