Newsgroup: it.comp.sicurezza.varie
Titolo: Gestore di password - Lastpass

NON ho mai utilizzato un gestore di password e quindi sono poco ferrato sull'argomento...
 
.. da ricerche in rete sto documentandomi  su Lastpass:
 
https://support.logmeininc.com/it/lastpass?c_name=prodselect
 
 
....qualcuno conosce questo programma?
 
E' affidabile e sicuro?
 
Al momento, lo utilizzerei solo per smanettarci ... in seguito, dopo aver fatto pratica,  è  il caso di impiegarlo per gestire anche password legate a *dati sensibili*, come *account per home banking*?
 
Esiste un programma migliore?
 
Ciao e grazie mille!


Ciao,
sinceramente io sono fortemente dubbioso di un programma per password
che mi memorizza tutto online: vattelappesca dove vengonoo salvate
queste password...
Inoltre è a pagamento, e il codice sorgente non è disponibile, quindi
non c'è modo di verificare (per chi ne ha le competenze) quanto sia
sicuro.
 
Io uso da anni KeePass: gratuito, open source, funziona offline,
disponibile per più piattaforme (windows, linux, android), e
soprattutto, usa un formato che è standard de facto (.kdbx), per cui
se un giorno vuoi cambiare client perché non ti piace quello che stai
usando, non c'è bisogno di riscrivere tutte le password, basta aprire
il db con il nuovo client che gestisce file kdbx (in questi anni mi è
successo, sia su linux che su android).
 
Qui il client ufficiale:
https://keepass.info/
 
 
-- 
Tilt
 

 Esiste un programma migliore? 
 
ne esistono altri. per esempio io uso bitwarden, di cui puoi fare una tua installazione personale. 

 successo, sia su linux che su android). 
 
tutto molto bello. ma c'è un problema: essendo un database locale devi distribuire una copia su ogni dispositivo dove ti serve usarlo. poi immagino tu voglia fare anche le copie di backup. 
cosa ti fa pensare che tutto questo sia più sicuro? solo il fatto che è open source? beh ce ne sono anche nel cloud di open source e che sottopongono i loro sistemi a security assessment, cryptographic analysis, penetration test, etc.
keepass è gratis? anche il piano base di bitwarden è gratis, il premium costa 10$ l'anno credo ci si possa stare.
 
 


Interessante.. essendo un neofita della materia, NON ho ben capito la master password dove viene salvata se NON è conosciuta al server.
 
Inoltre, come utente poco esperto, che errore potrei commettere con un generatore di password?
 
PS
Ho alcuni dubbi su come scegliere la master password ed in generale sulle password, ma preferisco aprire un altro thread. 
 
 
Ciao e grazie mille!
 


Ops.. volevo scrivere:
 
Inoltre, come utente poco esperto, che errore potrei commettere con un *gestore* di password?
 
 Ciao e grazie mille!

 conosciuta al server.
 
Non č salvata, semplice. Almeno una sarai in grado di
ricordarla a memoria, no? :-)
 
Quando la inserisci sul client, al server viene inviato un hash
crittografato, non la password stessa.
 
Poi, se il programma lo prevede e hai un lettore di impronte
digitali o altro sistema biometrico (riconoscimento facciale,
impronta retinica) o un altro apparato di sicurezza tipo una
cryptokey USB, di solito puoi usare quello.
 
Bye, G.
 
 
----Android NewsGroup Reader----
https://piaohong.s3-us-west-2.amazonaws.com/usenet/index.html
 

 Bye, G. 
 
OK... quindi, quando inserisco un password, viene crittografata e confrontata  con quella presente sul server?
 
E la mia password presente sul server NON può essere decriptata?
 
Ciao e grazie mille!


Come NON detto... un hash è irreversibile:
 
https://eternalcuriosity.it/funzioni-hash-a-cosa-servono-e-perche-dovresti-conoscerle
 
 
Ciao e grazie mille!

 Inoltre, come utente poco esperto, che errore potrei commettere con un generatore di password? 
 
in questi sistemi la master password sia il passepartout per tutti i tuoi segreti nonché l'unico modo per accedervi, ed è in gestione dell'utente.
è chiaro che questo sia il punto debole. che l'utente usi una password debole o che la gestisca in modo da farsela fregare è ragionevolmente l'unica vulnerabilità probabile, per non dire possibile.
 

 OK... quindi, quando inserisco un password, viene crittografata e confrontata con quella presente sul server? 
 
questo nella normalità, ma non in questo specifico caso.

 sto semplificando, ma il principio alla base è questo. al server non viene mai mandata la master password, in nessuna forma, neanche hashed.
 
Davvero molto interessante, ma, da neofita, NON riesco a seguirti... quando digito la password per la prima volta, allora ok... ma poi quando rientro nel mio gestore di password, come fa a sapere se ho inserito la password corretta se da qualche parte NON è stata precedentemente salvata (anche se in una qualche forma criptata)?
 
 
Ciao e grazie mille!!!
 

 keepass č gratis? anche il piano base di bitwarden č gratis, il premium costa 10$ l'anno credo ci si possa stare.
 
Secondo me il fatto piů limitante č il formato in cui vengono salvati:
io ho sostituito diversi client nel corso degli anni, ma il passaggio č
stato indolore perché adoperavano lo stesso formato kdbx (che č uno
standard de facto per i db di password).
 
Poi ovviamente il prezzo che dici tu č abbordabile, nessuno dice che
tutto deve essere gratis.
 
Ovviamente queste soluzioni magari comportano piů tempo e voglia, non
dico che tutti devono fare cosě, ho solo dato una mia opinione sul tema
Gestore password ;)
-- 
Tilt
 

 Davvero molto interessante, ma, da neofita, NON riesco a seguirti... quando digito la password per la prima volta, allora ok... ma poi quando rientro nel mio gestore di password, come fa a sapere se ho inserito la password corretta se da qualche parte NON è stata precedentemente salvata (anche se in una qualche forma criptata)? 
 
cosa intendi dire con "quando rientro nel mio gestore di password"? in generale quando rientri devi sempre digitare la password, che rimane in qualche modo in memoria del client (ribadisco, sto semplificando) per quella sessione.
se chiudi il client o rimani inattivo per un certo periodo di tempo devi nuovamente fornire la password.
ora il meccanismo è più articolato e possiamo entrarne nel merito, ma deve essere chiaro un principio: la master password è la tua chiave crittografica privata e come tale non viene *mai* passata a nessuno per nessun motivo compresa l'autenticazione.


Mi spiego meglio... installo lastpass sul mio pc, creo la mia master password per la prima volta, poi smanetto con il programma e spengo il pc... ..successivamente, accendo il pc, accedo a lastpass, inserisco la mia master password (creata in fase di installazione) e, in tal caso, come fa a verificare se è corretta NON essendo stata salvata?
 
 
Ciao e grazie mille!

 Mi spiego meglio... installo lastpass sul mio pc, creo la mia master password per la prima volta, poi smanetto con il programma e spengo il pc... ..successivamente, accendo il pc, accedo a lastpass, inserisco la mia master password (creata in fase di installazione) e, in tal caso, come fa a verificare se è corretta NON essendo stata salvata?
 
 
È salvata sul tuo computer, immagino.


OK.. quindi, se ho ben capito, la master password viene salvata in locale sul mio pc, *forse in formato hash*?...  e se voglio installare, ad es. successivamente, lastpass su un altro device (es. smartphone), la sincronizzazione con la master password che avevo creato dal mio pc come avviene?
 
 
Ciao e grazie mille!


Dal sito:
 
https://www.lastpass.com/it/how-lastpass-works
 
 
"Crittografia solo locale
I tuoi dati vengono crittografati e decrittografati a livello di dispositivo. I dati memorizzati nella tua cassaforte vengono mantenuti segreti, anche a LastPass. La tua master password e le chiavi utilizzate per crittografare e decrittografare i dati non sono mai accessibili a LastPass né vengono mai inviate ai suoi server"..
 
..quindi .. a maggior ragione resta il mio dubbio.. cioè, se voglio installare, ad es. successivamente, lastpass su un altro device (es. smartphone), la sincronizzazione con la master password che avevo creato dal mio pc come avviene? 
 
 
Ciao e grazie mille!
 

 Mi spiego meglio... installo lastpass sul mio pc, creo la mia master password per la prima volta, poi smanetto con il programma e spengo il pc... ..successivamente, accendo il pc, accedo a lastpass, inserisco la mia master password (creata in fase di installazione) e, in tal caso, come fa a verificare se è corretta NON essendo stata salvata? 
 
è molto semplice: se una passphrase è stata usata per criptare una informazione, solo quella stessa passphrase sarà in grado di decifrarla. siccome tutte le tue informazioni sul server sono criptate usando la master password se sei in grado di decifrarle vuol dire che la password è inequivocabilmente giusta altrimenti inequivocabilmente sbagliata.

 ..quindi .. a maggior ragione resta il mio dubbio.. cioè, se voglio installare, ad es. successivamente, lastpass su un altro device (es. smartphone), la sincronizzazione con la master password che avevo creato dal mio pc come avviene? 
 
quale sincronizzazione? se la installi su un altro dispositivo quando accedi a lastpassword da quel dispositivo dovrai semplicemente digitare di nuovo la password.


OK, grazie mille.. mi ero basato sulla risposta di Guglielmo che immaginava il salvataggio della master password sul pc, quindi, il mio dubbio, su come poi fosse possibile utilizzare la stessa master password su un altro device.
 
Le altre password contenute in lastpass, ad es. per accedere a dei siti, sono invece salvate e crittografate con tecnica hash su un server?
 
Ciao

 se sei in grado di decifrarle vuol dire che la password è inequivocabilmente giusta altrimenti inequivocabilmente sbagliata.
 
Se il file crittografato contiene l'hash della password, credo che ci 
sia una probabilità piccolissima (ma non nulla) che una password 
completamente diversa generi lo stesso hash :-)
Forse addirittura ci sono infinite password che possono generare lo 
stesso hash? Se così fosse ci sarà sicuramente un teorema che lo 
dimostra, ma sono completamente ignorante su questo argomento.
 
-- 
Saluti
VITRIOL


NON credo....
 
https://eternalcuriosity.it/funzioni-hash-a-cosa-servono-e-perche-dovresti-conoscerle
 
 
"Determinismo
L’input A produce e produrrà sempre lo stesso hash B. Le funzioni di hash sono deterministiche proprio perché l’output di un input fisso è sempre uguale.".
 
Ciao

 NON credo....
 
No, attenzione. L'input A produce sempre l'output B, ma non è detto che 
l'output B non possa venire prodotto anche dell'input C, D, E e infiniti 
altri.
Pensandoci è logico che debba essere così, anche senza dimostrazioni 
matematiche. L'hash ha una dimensione finita (in bit). Se tutti gli 
input possibili, anche di dimensione illimitata, possono andare a buon 
fine e produrre un hash, ci sono letteralmente infiniti input possibili. 
Un sottoinsieme infinito di tutte le infinite possibilità dovrà per 
forza produrre lo stesso output finito.
 
-- 
Saluti
VITRIOL


..è un argomento interessante ed anche a me totalmente sconosciuto... però, ad es. con l'algoritmo MD5, sono 16 simboli (sistema esadecimale) su 32 posti, pari a 16^32: un numero pazzesco di disposizioni con ripetizione...
 
 
Ciao

 un numero pazzesco di disposizioni con ripetizione
 
Ma è un numero finito, invece gli input possibili sono infiniti.
Intendiamoci, non dico che necessariamente debba essere un problema 
reale, voglio solo dire che *in teoria* l'hash non è univoco ma può 
essere generato da input diversi. Letteralmente infiniti input diversi.
 
-- 
Saluti
VITRIOL

 completamente diversa generi lo stesso hash :-) 
 
non ho capito che vuoi dire con "Se il file crittografato contiene l'hash della password".


Sì, hai ragione... stavo documentandomi sull'argomento... si parla di "Resistenza alle collisioni"....
 
https://academy.binance.com/it/articles/what-is-hashing
 
 
"Resistenza alle collisioni
 
[cut]
 
In altre parole, una funzione di hash è resistente alle collisioni quando la possibilità di trovare una collisione è così bassa che richiederebbe milioni di anni di computazioni. Quindi, anche se non esistono funzioni di hash resistenti alle collisioni, alcune sono abbastanza forti da essere considerate resistenti (ad es., SHA-256)."
 
 
Ciao e grazie mille!

 non ho capito che vuoi dire con "Se il file crittografato contiene l'hash della password".
 
E' stato detto che la password non è scritta da nessuna, invece per 
controllare che sia corretta si usa hash. Ci sarà un file crittografato 
che contiene tutti i dati e anche l'hash della password. Altrimenti come 
fa sa a sapere se la password è giusta? Il software calcolerà l'hash 
della password che inserisce l'utente e poi lo confronterà con quello 
che è scritto nel file insieme ai dati, almeno credo.
 
-- 
Saluti
VITRIOL

 da nessuna
 
*da nessuna parte
 
-- 
Saluti
VITRIOL

Il giorno sabato 30 gennaio 2021 alle 16:05:25 UTC+1 VITRIOL ha scritto:

certo dire "sono teoricamente possibili infinite collisioni" è molto suggestivo, ma ometti un presupposto importante: ovvero su un input di infinita lunghezza. ma le password non possono essere più lunghe decine di caratteri e all'interno di questo range le probabilità che ci sia una collisione è molto prossima allo zero. cioè tu potresti provare tutte le combinazioni di tutte le lunghezze, impiegando tutto il tempo da qui alla fine dell'universo, e non trovare nessuna collisione perché non c'è proprio.
 
sempre nel campo delle password c'è comunque un'altra complicazione: il salt. prima di essere calcolato l'hash le password vengono "salted", ovvero vengono aggiunti dei caratteri (spesso random), e ovviamente la verifica viene fatta facendo la stessa operazione. quindi non ti basta trovare la collisione ma devi trovare anche quella che contiene il salt altrimenti è un esercizio che non ti serve a nulla. 
 
 
 


Se ho ben capito quello che ha scritto rootkit, NON viene salvato nessun file contenente la master password... ma attendo un suo intervento in merito...
 
Ciao

 sempre nel campo delle password c'è comunque un'altra complicazione: il salt. prima di essere calcolato l'hash le password vengono "salted", ovvero vengono aggiunti dei caratteri (spesso random), e ovviamente la verifica viene fatta facendo la stessa operazione. quindi non ti basta trovare la collisione ma devi trovare anche quella che contiene il salt altrimenti è un esercizio che non ti serve a nulla.
 
Questo non lo sapevo, ma era ovvio che si cercasse di rendere il sistema 
più robusto, soprattutto se questo ha un costo basso in termini di calcolo.
 
-- 
Saluti
VITRIOL


Dimenticavo..
 
https://www.lastpass.com/it/how-lastpass-works
 
 
"Crittografia solo locale
I tuoi dati vengono crittografati e decrittografati a livello di dispositivo. I dati memorizzati nella tua cassaforte vengono mantenuti segreti, anche a LastPass. La tua master password e le chiavi utilizzate per crittografare e decrittografare i dati non sono mai accessibili a LastPass né vengono mai inviate ai suoi server."
 
.. ma quindi, anche le password contenute in lastpass, NON vengono inviate al server?
 
Ciao e grazie mille!

 essere così. 
 
ma lì non stavo parlando degli algoritmi di hashing. spiegavo che nei password manager essendo i dati criptati lato client, usando la master password come chiave privata di cifratura e inviati al server già criptati, nel momento in cui il server te li restituisce e tu sei in grado di decifrarli vuol dire che la password è corretta. quindi esso stesso è un controllo di correttezza password.
era per dimostrare come sia fattibile che questi servizi autentichino l'utente senza avere in pancia nessun riferimento alla master password.

 ma lì non stavo parlando degli algoritmi di hashing.
 
Non l'avevi scritta tu la frase che ho citato :-)
 
-- 
Saluti
VITRIOL

 Non l'avevi scritta tu la frase che ho citato:-)
 
Anzi sì, ma ho capito quello che volevi dire, almeno credo. Grazie per 
lo spunto.
 
-- 
Saluti
VITRIOL

 distribuire una copia su ogni dispositivo dove ti serve usarlo.
 
Io uso keepass e memorizzo il file cifrato su google drive. E' del tutto
identico a quello che fa LastPass o tutti gli altri servizi simili, l'unico
vantaggio di questi ultimi è che ti forniscono una soluzione più
"integrata". Questo a molti piace, mentre a me innervosisce.
 
Preferisco avere un software che mi memorizza le password su un file
cifrato (e basta), un software di un'altra azienda che mi pubblica il file
sul cloud (e basta), e per il resto gestire io manualmente dove e come
vengono copiate e incollate le suddette password senza che una qualche
"estensione del broswer" proponga di aiutarmi.
 
Uno potrebbe dire che con questo tipo di ragionamenti non se ne esce più:
dopotutto uno sviluppatore "rogue" del progetto Keepass potrebbe inserire
un pezzettino di codice che gli spedisce via e-mail tutte le password non
appena sblocchi il database. Però più circoscrivi il rischio più e facile
identificarlo e isolarlo (ad esempio uno potrebbe inserire una regola del
firewall per bloccare le connessioni da e verso Keepass, per dire).
 
Con questo non voglio dire che Lastpass e similari non siano sicuri. Sono
sicuramente un gran passo avanti rispetto a usare password stupide e/o
scriversele sull'agendina e/o affidarsi al browser.
 
-- 
Fletto i muscoli e sono nel vuoto.

 "estensione del broswer" proponga di aiutarmi. 
 
Se ho ben capito quanto spiegato da rootkit,  lastpass, NON memorizza un file con la master password....
 
 
Ciao
 

Un bel giorno pippo digitò:

Non ho capito il senso della tua frase. Se intendevi "non memorizza la
master password in un file", questo è ovvio. Se intendevi "non memorizza un
file cifrato con la master password", questo può anche essere: siccome
lastpass gestisce anche la memorizzazione delle password su cloud, è
plausibile che non usi un file locale ma faccia tutto direttamente via
rete. L'importante è che la *codifica* sia fatta in locale, con una master
password che conosci solo tu.



Mi riferivo a questo commento di rootkit:
 
https://groups.google.com/g/it.comp.sicurezza.varie/c/mhVq2BCjMyM/m/OPb8T0EVAgAJ
 
 
"ma lì non stavo parlando degli algoritmi di hashing. spiegavo che nei password manager essendo i dati criptati lato client, usando la master password come chiave privata di cifratura e inviati al server già criptati, nel momento in cui il server te li restituisce e tu sei in grado di decifrarli vuol dire che la password è corretta. quindi esso stesso è un controllo di correttezza password.
era per dimostrare come sia fattibile che questi servizi autentichino l'utente senza avere in pancia nessun riferimento alla master password."
 
...ma mi sorge un DUBBIO: lastpass è accessibile anche in locale?... ad es. se manca la connessione al loro server, posso ancora accedere alle mie password?
 
 
Ciao e grazie mille

 ...ma mi sorge un DUBBIO: lastpass è accessibile anche in locale?... ad es. se manca la connessione al loro server, posso ancora accedere alle mie password? 
 
no.

 
 
 
1Password, a scelta tra versione stand-alone del programma oppure versione in
abbonamento online.
 
 


Pare esserci questa possibilità....
 
https://support.logmeininc.com/it/lastpass/help/how-do-i-permit-offline-access-to-my-vault-lp010127
 
 
 
Ciao e grazie  mille!

 ....qualcuno conosce questo programma? 
 
Dai un'occhiata a pass 
https://www.passwordstore.org/
 
Gratuito, open source ecc. ecc.
 
Ciao

 Al momento, lo utilizzerei solo per smanettarci ... 
 
Sto smanettando con Lastpass ed ho notato che, dopo aver inserito la master password la prima volta, poi, al successivo avvio del browser, *NON mi veniva più richiesta di nuovo la master password*....
 
.... ho trovato poco sicura questa impostazione di default, in quanto, se qualcuno riesce ad accedere al pc, NON ha bisogno della master password... ho risolto seguendo le seguenti indicazioni:
 
https://support.logmeininc.com/it/lastpass/help/manage-automatic-log-out
 
 
..anche gli altri password manager si comportano così per default?
 
Ciao e grazie mille!
 

 ..anche gli altri password manager si comportano così per default?
 
 
KeePass, sia l'originale che tutte le implementazioni basate su di lui 
che ho provato, chiedono ad ogni avvio la password generale.

Sto smanettando con Lastpass ed ho notato che, dopo aver inserito la master password la prima volta, poi, al successivo avvio del browser, *NON mi veniva più richiesta di nuovo la master password*....
 
Non conosco Lastpass, ma, -->SE<-- è solo una estensione del browser, buttalo
via. Se può fornirti password SENZA la master password significa che questa è
archiviata di fatto in chiaro. Offuscata finché ti pare, ma in chiaro.
 
Leonardo
-- 
 
"You all presumably know why" :-) :-(

Sto smanettando con Lastpass ed ho notato che, dopo aver inserito la master password la prima volta, poi, al successivo avvio del browser, *NON mi veniva più richiesta di nuovo la master password*....
 
Forse hai smanettato poco :-)
https://i.imgur.com/vJ5SoRS.png
 
Hai smesso la spunta in preferenze>sicurezza?


Grazie, come ho già scritto in precedenza, ho risolto proprio come suggerisci:
 
".. ho risolto seguendo le seguenti indicazioni:
 
https://support.logmeininc.com/it/lastpass/help/manage-automatic-log-out
" ....
 
...quello che trovo INCREDIBILE è che default, le impostazioni indicate al predetto link, sono entrambe DISABILITATE: ma come è possibile una così grave mancanza?... ci sono in rete molti articoli su questa problematica!
 
... almeno la prima opzione "Disconnetti alla chiusura di tutti i browser", dovrebbe essere già settata per default!!!
 
 
 
Ciao e grazie mille!
 
 

 ...quello che trovo INCREDIBILE è che default, le impostazioni indicate al predetto link, sono entrambe DISABILITATE: ma come è possibile una così grave mancanza?... ci sono in rete molti articoli su questa problematica! 
 
non uso e non conosco lastpass, quindi prendo per buono che sia come dici. ad ogni modo si tratta di una preferenza, se non sta bene il default si cambia e morta lì. 
si presume che se ci tieni alla riservatezza tu usi gli accorgimenti disponibili sui sistemi a che nessuno utilizzi il tuo account se non autorizzato, perché se non è così salta tutto.


OK, grazie.. concordo, però secondo me,  la maggior parte degli utenti, è più  portata a lasciare le impostazioni di default, almeno per quelli meno esperti in materia.
 
Dashlane, ad esempio, si comporta diversamente per il  logout automatico:
 
https://www.safewise.com/blog/dashlane-password-manager-review/
 (vedi: Aggressive automatic logout)
 
"Dashlane defaults to the automatic logout setting, and you have to go in and manually turn it off" ... ma, al momento, sto smanettando solo con Lastpass....
 
Bitwarden che utilizzi, quali impostazioni di default ha per il  logout automatico?
 
Last pass ha anche  la possibilità di richiedere nuovamente la master password:
 
https://ibb.co/vqq2snh
 
 
però, NON ho capito la differenza tra "Accesso ad un sito" ed "Accedi a un sito".  :-(
 
 
Ciao e grazie mille!

 Bitwarden che utilizzi, quali impostazioni di default ha per il logout automatico? 
 
non lo so, l'ho adattato alle mie esigenze (esce quando entra il lock, che vuol dire che mi sono allontanato dal pc) non ho idea di quali fossero le impostazioni di default.


OK, grazie!
 
 
Ciao

 ne esistono altri. per esempio io uso bitwarden, di cui puoi fare una tua installazione personale.
 
Sto provando bitwarden, interessante... però ho notato che, con la relativa estensione per Chrome (S.O. Win 10), per il seguente sito, NON richiede il salvataggio della password (come indicato al link: 
https://bitwarden.com/help/article/getting-started-browserext/#add-a-login
):
 
https://www.enel.it/it/login
 
 
..come mai?
 
Ciao e grazie mille !


Come NON detto... è un problema noto...
 
https://community.bitwarden.com/t/problem-with-request-to-save-password/18180
 
 
Ciao

 tutto molto bello. ma c'è un problema: essendo un database locale devi distribuire una copia su ogni dispositivo dove ti serve usarlo. poi immagino tu voglia fare anche le copie di backup. 
 
Ma il database, NON posso comunque trasferirlo sul cloud, utilizzando ad es. google drive?
 
In tal modo, avrei la sincronizzazione su tutti i dispositivi che utilizzano KeePass.
 
Ciao e grazie mille!
 


-- 
"In teoria, non c'è differenza tra teoria e pratica. Ma in pratica c'è."
                                          -- Jan L. A. van de Snepscheut

 Attualmente, utilizzo "KeePass Sync for Google Drive"[ą].
 
Sinceramente anche leggendo la descrizione sul sito non ho ben capito a
cosa serva. Forse gestisce la concorrenza nel caso che si voglia accedere
al database da piů host contemporaneamente?


 database da più host contemporaneamente?
 
Anche nel caso si voglia accedere al kdbx aggiornato da più postazioni
contemporaneamente (ad esempio, un db di pass amministrative nel gruppo
di lavoro, tra colleghi), ogni volta che si apre il kdbx locale su ogni
postazione (o si sblocca l'app), viene sincronizzato e allineato con la
copia su GDrive. Se vengono effettuate delle modifiche e salvate sul
kdbx locale, questo verrà a sua volta sincronizzato automaticamente con
la copia su GDrive e tutti avranno l'aggiornamento delle modifiche,
all'apertura successiva.
Il backup, in caso di modifiche errate, viene fato automaticamente dalla
gestione delle versioni di GDrive, mantenendo tutte le versioni dei 30gg
precedenti e permettendo di segnare alcune di queste versioni come punti
di ripristino.
 
 
Può essere usato sia da un singolo individuo su più dispositivi non
necessariamente in contemporanea (come faccio con il mio kdbx
personale), che da più individui su più postazioni in contemporanea (in
caso di kdbx aziendale, tra colleghi).
 
 
Ciao,
un TJL73 che lavora così ormai da parecchio tempo...
 
-- 
"Chi corre vede,
 chi cammina nota i dettagli."
                                                          -- G. Ortolani

 sincronizza con quello su GDrive.
 
 
Puoi dire il nome del plugin? Grazie :-)


Ah OK, chiedo scusa per la sbadatagine, era nel post che avevi quotato


 sempre nel campo delle password c'è comunque un'altra complicazione: il salt. prima di essere calcolato l'hash le password vengono "salted", ovvero vengono aggiunti dei caratteri (spesso random), e ovviamente la verifica viene fatta facendo la stessa operazione. quindi non ti basta trovare la collisione ma devi trovare anche quella che contiene il salt altrimenti è un esercizio che non ti serve a nulla.
 
Molto interessante... ma nell'ipotesi remota che due persone scelgano la stessa master password, che succede?
 
Inoltre, la funzione hash, viene calcolata dalla combinazione di user e password?... mentre la password potrebbe essere la stessa, l'user è sicuramente univoco.
 
 
 
Ciao e grazie mille


OK..sembra proprio così, leggendo il sistema di crittografia di Bitwarden:
 
https://bitwarden.com/help/crypto.html
 
 
Ciao

 E' affidabile e sicuro?
 
Mah...  o_ò
 
http://www.androidblog.it/213896/scoperti-su-lastpass-7-tracker-che-raccolgono-dati/
 
 
https://reports.exodus-privacy.eu.org/it/reports/165465/
 
 
https://www.theverge.com/2021/2/26/22302709/lastpass-android-app-trackers-security-research-privacy
 
 
https://www.gsmarena.com/lastpass_for_android_has_seven_builtin_trackers_security_firm_warns-news-47977.php
 
 
https://www.reviewgeek.com/72272/the-lastpass-android-app-contains-7-trackers-from-third-party-companies-??/
 
 
 
Ciao,
un TJL73 che forse è solo un caso... o forse no...
 
-- 
"Voi potete comperare il lavoro di un uomo, la sua esperienza,
 i suoi consigli, ma non potete comperare l'entusiasmo, l'iniziativa,
 la devozione del cuore, della mente e dell'animo; queste cose le
 dovete meritare con la vostra lealtà verso di lui."         -- Platone