Newsgroup: it.comp.sicurezza.varie
Titolo: Libero e cambio password obbligato, odierno.

Sta succedendo anche a voi che vi è stato richiesto il cambio password

sull'account? Sapete cosa succede?

Ciao!




 sull'account? Sapete cosa succede?



Li avranno bucati per l'ennesima volta e si sono fatti un minimo di

scrupolo nei confronti dei propri utenti.





Ciao,

un TJL73 che spinge amici e parenti ad abbandonare Libero, TIN, ecc. ...



-- 

"La gente viene qui da noi per annegare propri guai.

 Ma il problema è che i guai sanno nuotare."

                                                  -- Barista di New York


 un TJL73 che spinge amici e parenti ad abbandonare Libero, TIN, ecc. ...



Io TIN la ho non solo abbandonata, ma ho proprio chiesto che venisse 

eliminata come non fosse mai esistita.

E mi sembra di avere ottenuto il risultato voluto.



Presto farò la stessa cosa con Alice e/o Virgilio (quest'ultima mi 

risulta appartenere alla stessa proprietà di Tin, è corretto?)



Poi però mi devo cercare un provider gratuito, escluso gmail che NON 

uso e non intendo usare in futuro, che sia affidabile e gratuito se 

possibile.

Ma anche a pago, al limite, se costa poco.



Avete qualcosa da consigliare?


 scrupolo nei confronti dei propri utenti.



Eggià :P



Sinceramente, a parte EONI fa, quando ero niubbo :) ho evitato di usare

email collegate ad ISP ed ho sempre preferito utilizzare (a parte gli

indirizzi email privati/aziendali), caselle postali di fornitori del

solo servizio email, un buon esempio è gmx; prendersi una casella su

gmx.com
 è facilissimo, basta andare su 
www.gmx.com
 ed aprire un

account, il servizio è piuttosto buono, come anche il filtraggio spam,

e non ha nulla a che vedere con i vari "libero", "tim", "tiscali" e

simile robaccia che nasce con il concetto che "se è gratis si beccano

quello che viene"








 Poi però mi devo cercare un provider gratuito, escluso gmail



www.gmx.com





 



No era di Tin (la Telecom italia network degli anni novanta). Poi passata a 

Telecom, quindi Tim e da qualche anno mi pare sia stata ceduta a 

Italiaonline. Che a sua volta è stata incorporata in Seat Pagine Gialle 

S.p.A. 



https://www.italiaonline.it/


http://fusione.italiaonline.it/




Storie di ordinaria follia italiana... :-)





-- 

Ciao, Guglielmo.


 Avete qualcosa da consigliare?



Yahoo



-- 

Bye, Yorgos

My blog: 
https://yorgoskourtakis.wordpress.com/


To send me an e-mail, please change cambronne with merde


 
www.gmx.com




Grazie della segnalazione, ho visto il sito e mi piace, sono americani 

e mi va bene, ma finchè posso preferirei che i miei dati restassero in 

Europa.



Ho trovato Bluewin, di Swisscom (chiocciola Bluewin.ch)

https://www.swisscom.ch/it/clienti-privati/internet-televisione-retefissa/internet/e-mail.html




Da un lato mi attira, dall'altro vorrei invece escludere gli ISP.



Che ne pensi?


 Yahoo



No, Yahoo no, lo ho dismesso un paio un anno fa, anche se non lo ho mai 

usato....



E poi si è fatto bucare più volte celandone ipocritamente la notizia 

per anni. Ovviamente hanno poi avuto un crollo importante in borsa.



Escludo anche hotmail e gli altri indirizzi afferenti a MS.


 quello che viene"



Lo sto guardando meglio e, aldilà della mia risposta all'altro post, 

più lo guardo e più mi piace...


 propriet� di Tin, � corretto?)





Sì, sono gli stessi. Pure io sto cercando un provider e lo

vorrei svizzero. Non che con questo gmail sia eliminabile.

Il mio commercialista e diversi dei medici con cui

interagisco insistono a usarlo quindi tutti gli affari

miei privati li sanno e continueranno a saperli. Il

problema è che non possiamo vivere isolati dal mondo e se

la maggioranza della gente fa cose autolesioniste si porta

dietro per forza anche chi non voleva.







-- 

- Tesoro, un pene piccolo non può certo mettere

   in crisi la nostra relazione!

- Lo so cara, ma preferirei che tu non lo avessi

   proprio.




 dietro per forza anche chi non voleva.



Prova Bluemail, di Swisscom



Io non lo ho mai usato come email provider, ma per qualche tempo ne 

usavo i loro DNS che andavano, devo dire, molto bene.



Vedi anche l'altro mio post in risposta ad Obiwan, poco fa.


> Prova Bluemail, di Swisscom



grazie mille, domani mi occupo di questa cosa!



 dietro per forza anche chi non voleva.



Condivido quanto dici, mi trovo nella stessa situazione: il medico, il 

commercisalista, l'amministratore di condominio...

Che palle....



Mailfence.com

A breve l'interfaccia web dovrebbe essere anche in italiano (la sto traducendo).

Se vuoi usare un client allora ti serve l'abbonamento a pagamento.



Gabriele


 un TJL73 che spinge amici e parenti ad abbandonare Libero, TIN, ecc. ...



Perché? Alla fine libero ha la password doppia via sms, gratuitamente, ed

un'interfaccia discreta.






 Avete qualcosa da consigliare?



Apriti un sito con aruba ed hai 5 email.






 vorrei svizzero.



Io uso, quando serve, questa: 
https://protonmail.com/it/




 Da un lato mi attira, dall'altro vorrei invece escludere gli ISP.



Se credi a quanto scrivono, 
protonmail.ch




Non pigliartela con me se ti useranno (te ed i tuoi dati) per 

esperimenti non autorizzati :-)




 scrupolo nei confronti dei propri utenti.



Giusto ieri 2 amici hanno dovuto cambiare la password, guidati dalla 

pagina web di libero.



Sicuro che si sono fatti rubare un'altra volta indirizzi, rubriche e 

password. Tra qualche mese riceveremo mail da "nostri corrispondenti 

veri e verificati" che ci inviteranno a a dare loro i nostri iban...



apro una parentesi. 



ravanando nello spam ho visto che arrivano delle mail che dichiarano di 

aver craccato l'account e chiedono un riscatto per non divulgare 

informazioni più o meno scottanti. voi direte: dov'è la novità? beh, la 

novità è che in queste mail riportano anche una password reale che 

l'utente riconosce come sua. 



è chiaro che questi tizi hanno attinto l'informazione a) da un sito 

violato b) da un sito che salvava le password in chiaro. nel mio caso 

incrociando l'indirizzo e-mail (gmail fra le cose utili consente di 

creare infiniti alias che io uso univoci per registrarmi ai siti) sono 

risalito ad esempio al sito della fantagazzetta.



la morale non sto a dirvi qual'è. se qualcuno aveva usato per il proprio 

account email una password non dico uguale, ma anche simile (so che molti 

pensano sia sufficiente usare delle varianti) e non dispone di (o non ha 

abilitato) autenticazione a due fattori, a quest'ora piange lacrime amare.




 abilitato) autenticazione a due fattori, a quest'ora piange lacrime amare.



Da la utilizzo da quando l'hanno attivata, boh, mi pare strano. Avranno

superato anche quella? Spero di no...





A parte che libero permette di attivare una scadenza di 180 giorni sulla

password.



Personalmente io le cambio autonomamente (e mi sembra anche una buona prassi) a

scadenze random e non tengo mai una password uguale o simile ad altre.




 scadenze random e non tengo mai una password uguale o simile ad altre.



E come fai a ricordarle tutte?




 E come fai a ricordarle tutte?



Io uso KeePass. Ma ce ne sono anche altri.





Ciao,

un TJL73 e uno dei tanti...



-- 

"Il mondo è fatto a scale, c'è chi scende e c'è chi sale...

 Ma a chi, le scale, non può né scenderle, né salirle,

 chi ci pensa?"  -_-


 più lo guardo e più mi piace...



Beh, magari oltre a guardarlo, provalo, non ti costa nulla ed alla

fine, se non ti piace lo lasci perdere; personalmente ho delle caselle

email con loro e mi sono trovato bene







Già che ci siamo, l'accesso IMAP è comodo perchè ti permette anche di

gestire le email messe nella cartella "spam" e di ricatalogarle nel

caso in cui tu non le consideri "spam" (il filtro memorizza le tue

preferenze e si adatta), in alternativa, se preferisci usare POP3, puoi

ricevere con frequenza giornaliera una mail di report relativa alle

email poste nella cartella spam e gestire la stessa tramite webmail; i

tizi che stanno dietro a 
gmx.com
 sono gli stessi di 
gmx.net
; in passato

gmx.net
 offriva anche webmail con interfaccia in inglese, ora hanno

deciso che ".net" è solo in tedesco mentre ".com" è in inglese, ma alla

fine della fiera l'infrastuttura che gli sta dietro è la stessa






 Io uso KeePass. Ma ce ne sono anche altri.



C'è un'alternativa piuttosto semplice, usare un "salted hash" :)



In breve, il "salted" hash è (appunto) l'hash di una stringa alla quale

viene aggiunto un valore arbitrario (il "salt", appunto), ora, supponi

di voler accedere al sito "
forum.example.com
", per generare la password

non ti serve altro che ricordarti il "salt", supponiamo che il "salt"

che hai scelto sia "vispateresa", prendi il nome del sito e ci

appiccichi il salt, ottenendo (ad es.) "forum.example.comvispateresa",

a questo punto, usi un qualsiasi programma di calcolo hash inserendo

nello stesso la stringa di cui sopra e calcolandone l'hash (ad es.

SHA256), il risultato sarà



E99665BAF8071E0B4ABC2CB3BF4B74BE7DBEB4300A618E28BA73B1124D5EAA40



e quella sopra è la tua password per quello specifico sito, in breve,

l'unica cosa che dovrai ricordarti è il "salt" che potrai ovviamente

cambiare ogni tanto, il resto è semplice, anzi, ci vuole più a

spiegarlo che a farlo







Ah una buona idea per rischiare il blacklisting periodico a causa della gran 

mole di spam e affini che continua a uscire dalle loro reti, anche se forse meno 

di un tempo,



Ho fatto una casella, se gestita sulla webmail trovo tutto e di più, per

ora la sto usando con OE e funziona a meraviglia. :-)

Ottima grazie.

-- 

    * b *

  *   y   *

*   Piero   *

#v+

-cogito ergo sum-

#v-






 ci vuole più a spiegarlo che a farlo



Concordo pienamente... ma ci metto molto meno a far generare delle

password casuali e complesse da KeePass e fargliele memorizzare, per 

poi farle ricordare e utilizzare quando necessario.



Ad ogni modo, concordo che, se c'è il rischio o il dubbio che un PC

"pubblico" su cui hai la necessità impellente di accedere a un tuo

account possa essere compromesso, un generatore di hash sia molto 

meno vulnerabile di quanto lo possa essere un'istanza di KeePass o

similari (vedi thread di ArchiPit di qualche giorno fa).



In ogni caso, una stringa mnemonica, seppur con salatura mnemonica, è

comunque più soggetta ad un attacco a dizionario (una volta provate le

combinazioni e gli hash possibili) di quanto possa esserlo una stringa

completamente casuale generata da un buon generatore di password (che

richiederebbe, quindi, esclusivamente un bruteforce).





Ciao,

un TJL73 che il segreto è sempre nella chiave...



-- 

"Un corpo immerso in un fluido riceve una spinta verso il piano

 a pressione relativa nulla, pari al peso del fluido spostato."

                                                            -- Archimede



Sono solo una decina o poco più.

Non è molto difficile ricordarle, anche se "strane".





-- 

Linux PC is like South Pole igloo. Not get blue, not freeze to death,

no Windows, no Gates, and helluva penguins all around.


Ciao!



A me non hanno chiesto mai nulla, su tutte le caselle che gestisco.

Sei sicuro che non sia un caso di phishing?

Stai attento prima di abboccare!



-- 

Lex Tutor

L'Asilo Infantile di Bofhland® è un argomento che sarà oggetto

di un libro di prossima pubblicazione, quindi sto discutendo

di una questione che mi interessa per finalità di ricerca


 email con loro e mi sono trovato bene



Farò così.


 Stai attento prima di abboccare!



Ti confermo che anche ad un nostro "cliente", da venerdì non funzionava

più la posta tramite POP3 (dava un errore "Policy bsc KO").



Quelli di Libero hanno aumentato la lunghezza minima della password 

da 6 o 7 caratteri precedenti a minimo 8 attuali.



Da webmail, non mi ha fatto alcun problema e mi ha consentito di

accedere correttamente anche con la vecchia password; ma, per poter

accedere tramite POP3, ho dovuto cambiare la password e impostarne una

di almeno 8 caratteri. A questo punto, ha ripreso a funzionare

correttamente anche in POP3.



Molto probabilmente, la richiesta di cambio password avviene solo per

chi ne ha impostata una con lunghezza inferiore agli 8 caratteri; per

gli altri, la vecchia password soddisfa già le loro policy.





Ciao,

un TJL73 che sta andando abbastanza per supposizioni...



-- 

"Un problema non definito ha un infinito numero di soluzioni."

                                                   -- Robert A. Humphrey


 Ottima grazie.



Ci mancherebbe :) ti consiglio di aprire la webmail, accedere alla

sezione impostazioni e farti un giro, c'è diversa robetta utile,

inoltre, se usi la casella da smartphone, prova a configurarla (come

IMAP) e facci un giro ;-) non dico sia il top, ma credo si tratti di un

servizio email decente e, per esperienza diretta, stabile














 un servizio email decente e, per esperienza diretta, stabile



Ci avevo già buttato un occhio in modo superficiale, mi riprometto di

approfondire appena mi ci posso dedicare.



Come ho scritto la sto usando con OE e MMM, ma la configurerò anche sul

cellulare come IMAP come hai suggerito. :-)

-- 

    * b *

  *   y   *

*   Piero   *

#v+

-panem et circenses-

#v-






 quello che viene"



Per quanto riguarda caselle gratis isp... be' se sei loro cliente e nel

contratto dice che nel prezzo sono comprese 3 caselle, non è che siano gratis,

le paghi.

E se le paghi...



Per quanto riguarda gmx, ho fatto un account gratis per prova.

Senonchè, usando imap, i dati smtp nell'help di configurazione sono errati.

No problem, ci ho perso solo pochi minuti per capire e correggere!



-- 

Il calicabattelia scollega quando vai a nanna

altlimenti ti blucia la capanna.


 correggere!



I dati sono i seguenti



POP3	
pop.gmx.com
   995 SSL

IMAP    
imap.gmx.com
  993 SSL

SMTP    
mail.gmx.com
  587 STARTTLS



da notare che, mentre POP3 ed SMTP usano SSL implicito, SMTP usa SSL

esplicito, ossia richiede l'uso di STARTTLS; per il resto credo non

dovrebbero esserci problemi; ulteriori info sono qui



https://support.gmx.com/pop-imap/pop3/index.html




https://support.gmx.com/pop-imap/imap/index.html




che altro... ah si, gmx permette anche di creare degli indirizzi alias

(fino a 10), le email inviate a tali indirizzi finiranno sempre nella

casella principale (ma si 'possono creare caselle aggiuntive e spostare

le email come desiderato usando le regole) e, tali indirizzi possono

essere comodi per vari scopi ;-)


















 possono essere comodi per vari scopi ;-)



dimenticavo; gli alias possono anche essere usati come indirizzo

mittente, il che è comodo se non vuoi "dare in giro" l'indirizzo della

tua email principale, inoltre gli alias fanno comodo anche per un'altra

cosetta; supponi di voler scaricare un PDF/File/... da un sito, alcuni

di questi siti richiedono l'inserimento di un indirizzo email e quindi

ti inviano in email il link per il download; a questo punto, ti crei un

alias, usi l'alias per il sito, scarichi il file e... butti via l'alias

così non riceverai email che non ti serve a nulla :D














 essere comodi per vari scopi ;-)



Ottimi per diversificare gli impestati che ti vorrebbero impestare!



 Si, ma l'SMTPS, oltre alla 587, funziona anche sulla 465.



Occhio !! Sulla 587 NON usa SMTPS che richiede l'uso implicito di SSL

per la connessione, ma bensì STARTTLS, in questo caso la connessione

avviene "in chiaro" sulla 587, dopodichè il client invia al server il

comando STARTTLS e la connessione viene crittata



Diverso è il caso di POP3 ed IMAP, entrambi usano SSL implicito, ossia

POP3S ed IMAPS



Per quanto riguarda mutt e STARTTLS, vedi qui



https://www.linux.org/threads/set-up-mutt-for-tls-smtp.10183/




ciao :)




 Ma devo davvero spegnere il PC per essere sicuro al 100% ?

Nemmeno cosi'. Potrebbe caderti su un piede.





Boh, io è un pezzo che uso Claws-Mail (aka Sylpheed) e non ho avuto

problemi, però d'altronde, è anche parecchio che non uso mutt :)



D'altro canto, puoi sempre usare questo



https://github.com/rbsec/sslscan




per controllare come "è messo" un dato server che implementa SSL ;) io

ne ho una mia versione che ho modificato per fare alcune cosette in

più, ma per il momento, non credo sia il caso di rilasciare il codice,

prima dovrò dargli una ripulita ;)
















 comunque più soggetta ad un attacco a dizionario (una volta provate le



Beh, diciamo che le variabili sono parecchie, certo, siccome il

"metodo" non è segreto (la "security through obscurity" NON funziona, e

la cosa è stata ampiamente dimostrata) si potrebbe anche provare un

attacco a dizionario, ma non sapendo a priori se il "salt" sia posto

come prefisso o suffisso e considerando che lo stesso potrebbe anche

essere piuttosto lungo, credo che il sistema resti abbastanza sicuro,

certo, non è un sistema che il DoD approverebbe, credo, in compenso è

una soluzione pratica, semplice e piuttosto efficace al problema delle

password e permette di avere password diverse per ciascun host (sia che

si tratti di un portale web, sia di un server di altro genere)






 
https://support.gmx.com/pop-imap/imap/index.html


    ..._skipped!_

-- 

    * b *

  *   y   *

*   Piero   *

#v+

-in medio stat virtus-

#v-






 che si tratti di un portale web, sia di un server di altro genere)



Sono completamente d'accordo, sistema pratico, semplice da ricordare e

credo sia il piů sicuro. Lo adotto subito. :-)

Poi lungi dai PC pubblici e quelli disponibili per clienti in ogni dove.



-- 

    * b *

  *   y   *

*   Piero   *

#v+

-cogito ergo sum-

#v-






 si tratti di un portale web, sia di un server di altro genere)



Sì, un attacco a dizionario sarebbe comunque un grande spreco di

risorse... quasi equivalente al brute force.





Ciao,

un TJL73 e la salatura del sale...



-- 

"Contare sul segreto di un algoritmo [crittografico] è un grosso errore.

 Ci sono montagne di letteratura a riguardo,

 inutile affrontare il discorso ancora una volta."

                                                    -- Cristiano su ICSC



Che ne pensi, usare come "salt" una frase tipo: a,b;c.d:e-f_ da inserire

prima o dopo l'hash?



Nell'hash ci solo numeri e lettere, così aumenta la sicurezza. ^_^



-- 

    * b *

  *   y   *

*   Piero   *

#v+



 Nell'hash ci solo numeri e lettere, così aumenta la sicurezza. ^_^



Dimenticavo: mi permetto di consigliare MultiHasher veramente completo.

Oltre a controllare l'integrità del file, codifica sia stringe di testo

che intere cartelle. Si installa, download da qui:



https://download.freedownloadmanager.org/Windows-PC/MultiHasher/FREE-2.8.2.html




-- 

    * b *

  *   y   *

*   Piero   *

#v+

-cogito ergo sum-

#v-






 Io uso KeePass. Ma ce ne sono anche altri.



Esiste anche una soluzione che prescinde dall'uso di un computer:



https://www.passwordcard.org/it




Io ne ho stampata una e poi l'ho plastificata.



-- 

Bye, Yorgos

My blog: 
https://yorgoskourtakis.wordpress.com/


To send me an e-mail, please change cambronne with merde


 Io ne ho stampata una e poi l'ho plastificata.



a dire il vero mi sembra un metodo abbastanza deboluccio. se un 

malfattore la dovesse trovare la speranza è che non capisca di cosa si 

tratti; perché a ben guardare il sistema aiuta abbestia un eventuale 

attacco di forza bruta riducendo le combinazioni ad un numero esiguo.










 a dire il vero mi sembra un metodo abbastanza deboluccio



Personalmente uso da sempre KeePass con pw robusta e file immagine come 

ulteriore chiave. Quest'ultima è memorizzata in una pennetta e non nei 

vari PC che possiedo.



La carta segnalata è ovviamente più debole di KeePass, ma in diversi casi 

può tornare utile. E infatti è nel mio portafogli assieme alle carte di 

credito :-)



 essere comodi per vari scopi ;-)



Ecco, questo può essere comodo quando devi dare una email per 

registrarti a siti che usi una volta sola o molto raramente.


 diavolo Tin.it e quelli che fanno così.



Gratis non regala niente nessuno. E si vede che finche' pagavi la linea 

con due spicci si pagavano lo spazio su disco, e quando te ne sei andato 

da Telecom (ovviamente) no.




 Io ne ho stampata una e poi l'ho plastificata.



Conosco, l'ho provata tempo addietro (all'epoca era un sito svizzero

che forniva quelle card); l'idea non è male, ma resta il problema che

se ti fregano la card, sebbene non possano essere in grado di usarla

senza conoscere il "sistema di lettura", sei comunque impossibilitato

ad accedere... sino a che non avrai una copia di *quella* card, il che,

in certe situazioni, potrebbe essere "scomodo"; per capirci, lasciando

per un momento da parte il discorso "fidarsi", per generare un salted

hash SHA256, basta anche soltanto questo



https://hash.online-convert.com/sha256-generator




per dire, nel testo immetti



https://www.google.com/




ed in "shared secret" immetti



la vispa teresa



poi clicchi su  "convert file" e ti trovi di fronte l'hash in diversi

formati, incluso quello convertito in base64, ossia



BTlk3qXOlgYdpq/U7QJkuMVh9vW7ev3GAqOKDLAYzlo=



che, a questo punto, potrai usare come password per il sito (ok,

nell'esempio ho usato google, ma...)
















 nell'esempio ho usato google, ma...)



-- 

    * b *

  *   y   *

*   Piero   *

#v+

-rebus sic stantibus-

#v-






 Telecom (ovviamente) no.



Certo.

Ma io preferirei pagare un prezzo onesto (il che significa però anche 

pagare poco) e essere sicuro che il contenuto dei mail che invio e 

ricevo restasse mio e non essere invece indicizzato (e diciamo pure 

anche letto e capito dai software).



Il fatto purtroppo è che pagare invece che dare i dati personali costa 

troppo: vedi qui, circa 105€ al mese...

<
http://www.businesspeople.it/Business/Economia/Valore-dati-personali-tutta-la-nostra-vita-costa-50-mila-euro-103403
)> 

e pertanto


 



Nel momento in cui usi un server di posta elettronica, a prescindere se la 

posta la leggi e scrivi via web o tramite client apposito, la posta 

transita e sta su quel server. Quindi può essere indicizzata, letta e 

capita dal software...



Se non si vuole, l'unica è tornare alla posta tradizionale e/o ai piccioni 

viaggiatori. :-)









-- 

Ciao, Guglielmo.


 ai piccioni viaggiatori. :-)



E anche di quelli, non mi fiderei...



Ad ogni modo, la crittografia mi sembra sempre e comunque un'ottima

soluzione al problema.



Ma nessuno ha voglia di sbattersi a leggere, capire e applicarsi un

minimo.





Ciao,

un TJL73 che trova sempre un sacco di riluttanza...



-- 

** NOTE: This message is ROT-13 encrypted twice for extra protection **


 viaggiatori. :-)



Già...forse conviene mettere su un loro allevamento.



Comunque sono ormai anzianotto, e dunque della privacy comincia a 

fregarmene sempre meno (ne sono stato quasi un fanatico), tanto che 

comincio a pensare che potrebbero cominciare a essermi utili 

faccialibro per le bollette, l'assistente di google, alexa e un sacco 

di altre cose da comandare a voce, compreso ordinare la spesa.



Spero che Alexa e/o Google possano servirmi anche per comandare, 

dovessi mai averne bisogno, la robotessa badante...

E speriamo anche che abbia 2 morbide ma sode tette di vero 

SimilSiliconSky :-) :-)


 O+jwJUScDlHPH8Dkaq7nstZhuX8sJgxrcPWsieoP/Is=



Si ok, ho fatto un esempio; ad ogni modo. il risultato è una password

univoca per quel dato servizio e non esattamente semplice da craccare,

poi, ci mancherebbe, come ho scritto, non si tratta di qualcosa che il

DoD od NSA approverebbero, ma credo che l'approccio offra una sicurezza

più che decente; tra l'altro, nessuno vieta di creare (es.) due account

con diversi valori di "salt" ed usare l'uno o l'altro a seconda della

necessità, alla fine si tratterebbe solo di ricordare due "salt" invece

di uno, e se uno per il "salt" usa qualcosa di facile da ricordare,

come ad esempio la strofa di una poesia o di una canzone, oppure parte

di una filastrocca ... insomma, ci siamo capiti, credo che sia facile

generare le password e ricordare il "salt", ed al contempo, difficile

craccare gli hash risultanti; tornando all'esempio del tizio che si

reca in Burkina Faso, in quel caso basterebbe che PRIMA di partire il

tizio crei un account sul cloud usando un "salt" diverso ed utilizzi lo

stesso per memorizzare le copie dei documenti, a quel punto, anche se

il computer del locale ufficio di poliZZZZia fosse impestato abbestia,

le credenziali immesse funzionerebbero solo per quell'account e quello

storage su cloud, per cui ...








 minimo.



Nella mia esperienza personale vedo che anche su Usenet tutti si 

sbattono per avere il telefono piu' grosso e poi rognano anche sulle 

minime specifiche hardware dei loro PC, e poi non usano PGP neanche se 

gli ammazzi, e dopo aver speso tanto o poco per il loro corredino 

informatico, ale', tutti su gmail perche' tanto "io sono furbo e non 

pago per quello che posso avere gratis".




 troppo: vedi qui, circa 105€ al mese...



No, non vedo qui visto che il link non mi fa leggere un bel niente, e 

comunque ricordati che al massimo se usassimo tutti lo stesso server, e 

questo server fosse veramente a prova di bomba, prima o poi succederebbe 

lo stesso qualcosa.



Un po' la storia della differenza fra 
protonmail.ch
 e 
protonmail.com
.



E comunque insomma te la cavi con meno, se vuoi una casella di posta 

elettronica a pago pago.




 un TJL73 che trova sempre un sacco di riluttanza...





-- 

    * b *

  *   y   *

*   Piero   *

#v+

Da noi le perle del pensiero sono prodotte dalle cozze.

#v-







Ho notato la differenza che mi ha incuriosito; poi qualsiasi stringa va

bene per avere una password, l'importante è usare la stessa app per

generarla :-)

-- 

    * b *

  *   y   *

*   Piero   *

#v+

-summum ius summa iniuria-

#v-






 la firma digitale che permette anche (volendo) di criptare la mail.



Puoi dare qualche info in più per la firma?




a parte che niente vieta di usare pgp anche con gmail, ma visto che spari 

ad alzo zero sugli altri suppongo che tu lo usi abitualmente per cifrare 

la corrispondenza, dico bene?


anche letto e capito dai software).



Beh, c'è sempre PGP e affini. Considera che comunque se vuoi stare sicuro,

bisogna che anche l'interlocutore sia 'sicurizzato'... e possa fidarsi dei

propri sistemi.



Quindi, email criptata end-to-end, con sistemi open source audited a tutte

e due le estremità.



Leonardo

-- 



"You all presumably know why" :-) :-(


 e due le estremità.



Non è affatto facile convincere utenti "standard" ad applicare norme o 

metodi che non intendono usare, vuoi per ignoranza, vuoi per evitare 

scomodità...


 generarla :-)



La differenza è probabilmente dovuta al fatto che il tool online che ho

usato utilizza HMAC, non so come si comporti multihasher; tra l'altro,

che stringa hai passato a multihasher ? E, se la stringa era in un

file, lo stesso conteneva anche il CR/LF di terminazione ?










 la corrispondenza, dico bene?



Io lo userei anche, ma il 100% delle persone che conosco non lo usano e 

non si preoccupano della riservatezza dei loro dati, posta elettronica 

compresa.



Forse dovrei iniziare per davvero ad usarlo senza avvisare nessuno, poi 

IYHO che succederebbe? :-)




 evitare scomodità...



Il primo passo è, appunto, rendere semplice l'uso di PGP, ad esempio



https://addons.thunderbird.net/en-us/thunderbird/addon/enigmail/




https://www.enigmail.net/index.php/en/home




quello sopra semplifica le operazioni di crittazione/firma e di

decrittazione/verifica, e già, se si tratta soltanto di fare "un click"

l'utente potrebbe anche essere più propenso ad usare PGP, poi resta il

problema sollevato da Leonardo, ossia il fatto che *entrambe* le parti

debbano avere un "ambiente" (computers, rete...) sicuro, altrimenti il

tutto sarà comunque vulnerabile



Tornando a quanto sopra, vedi anche



https://support.mozilla.org/en-US/kb/digitally-signing-and-encrypting-messages




ciao








 E non c'č bisogno di sbattersi. :-P



Assolutamente sě... ma quanti lo fanno?



Era questo, ciň che intendevo per "sbattimento": il semplice "fastidio".



Anche se č gratis (come GnuPG) e relativamente facile da attuare (un 

po' piů di GnuPG), non lo fa nessuno... poi, sempre tutti pronti a

lementarsi per la propria privacy. Ma nessuno che ci pensi prima.  Ź_Ź





Ciao,

un TJL73 che cifra con chi cifra e con gli altri amen...



-- 

"Il numero piů completo č il 73. Il 73 č il 21° dei numeri primi.

 Il suo speculare (37) č il 12° e il suo speculare, il 21, č il

 prodotto di 7 per 3. Inoltre, convertito in binario, č un

 palindromo, in quanto diventa 1001001".               -- Sheldon Cooper



beh richiede oggettivamente uno sforzo di volontà nonché adattamento non 

indifferenti: niente webmail (a meno di usare provider specifici, e 

ovviamente fidarsi di loro), gestione chiavi privata propria e pubbliche 

degli interlocutori su tutti i client da cui si vuole accedere, accesso 

solo da sistemi trusted... insomma una menata non da poco. allo stato 

delle cose usarla sistematicamente verrebbe meno una buona parte della 

praticità della email.



visto che (ovviamente) la chiave pubblica del destinatario non ce l'hai 

potresti iniziare criptando la corrispondenza con la tua stessa chiave. 

più privacy di così...




 Parla per te ;-)



 ^___^





Ciao,

un TJL73 cui mancherebbero comunque le tue chiavi...



-- 

"Il computer non è una macchina intelligente che aiuta le persone

 stupide, anzi, è una macchina stupida che funziona solo nelle mani

 delle persone intelligenti."

                                                          -- Umberto Eco




-- 

"Il competente č un uomo che sbaglia secondo le regole."

                                                          -- Paul Valery



-----BEGIN PGP SIGNATURE-----

Version: GnuPG v1.4.23clb+ (TJL73's) - GPGshell v3.80

Comment: It can't rain all the time...

Comment: OpenPGP keys available at: 
http://tjl73.altervista.org/




iJwEAQEKAAYFAlx/zkUACgkQaMIapodBNtVrZwQAoIjfX0EpwIzPah3MocV3Ausk

NFG5xtZbVSbf2V9Eg5ZxlsWVrq3ksPTvVUX9XgnNvKM2WrFq+qbM5lCcuDQb+BJZ

v1XJZ0KbArbMOF/rlLqIY9jl/8WsAxKY1w5kCFFOGew9Xwg6XelXnUqs2e1kVAfl

KC8jecwrbAEB9lGlw4I=

=KLsU

-----END PGP SIGNATURE-----


 tutto sarà comunque vulnerabile



oggi la maggior parte delle persone legge la mail da minimo due/tre 

dispositivi, fra i quali spesso il pc non c'è nemmeno. quindi secondo me 

stiamo guardando nella direzione sbagliata. il problema imho non è tanto 

nell'avere o meno un plugin che facilita la mera operazione 

crittografica, ma nell'avere un qualcosa che faciliti la gestione e la 

portabilità di questa identità digitale.


 Puoi dare qualche info in piů per la firma?



L'ho scritto qui in un post del 31/10/2016:

https://groups.google.com/d/msg/it.comp.software.mailreader/-sFJfpPPtXE/Dmt85je_AgAJ


-- 

    * b *

  *   y   *

*   Piero   *

#v+

-in medio stat virtus-

#v-







Nell'input di MultiHasher ho immesso la stringa che hai scritto tu:



https://www.google.com/la
 vispa teresa



.............. _*Beginning of the citation*_ ..............

per dire, nel testo immetti



https://www.google.com/




ed in "shared secret" immetti



la vispa teresa

............... _*The end of the citation*_ ...............



non era in un file, ma aggiunta con un copia/incolla e senza il CR/LF,

che ovviamente non poteva stare in un input di testo. ^_^

-- 

    * b *

  *   y   *

*   Piero   *

#v+

Guardo il cielo e sorrido, spero in una foto satellitare.

#v-






 un TJL73 che cifra con chi cifra e con gli altri amen...



Tuttavia c'č chi non si fida piů delle mail criptate.



Corrispondevo usando la mail criptata, ma con il "man in the middle" sei

fregato perché si copiano le chiavi, mi facevano notare, ed č vero.



Allora cosa hanno adottato: mi inviano un link, lo apro e trovo:

https://postimg.cc/6T6JXmtC


dopo aver cliccato su "OK" si apre una pagina in cui inserire le mie

credenziali, compresa la password che uso per abilitare la criptatura

della mail, a questo punto posso leggere il messaggio decriptato. :-)

-- 

    * b *

  *   y   *

*   Piero   *

#v+

-audaces fortuna iuvat-

#v-






 della mail, a questo punto posso leggere il messaggio decriptato. :-)



-- 

    * b *

  *   y   *

*   Piero   *

#v+



 Senza tante menate nè perdite di tempo.



Ottimo, a qualcuno servirà certamente, non a me che il certificato ce

l'ho da tempo :-P

-- 

    * b *

  *   y   *

*   Piero   *

#v+



 
https://is.gd/ROGWgF




Ottimo, a qualcuno servirà certamente, non a me che il certificato ce

l'ho da tempo :-P

-- 

    * b *

  *   y   *

*   Piero   *

#v+

-errare humanum est-

#v-






 



Anch'io uso i certificati S/MIME emessi da Comodo "a gratis", credo che queste 

soluzioni dovrebbero essere più pubblicizzate.


 della mail, a questo punto posso leggere il messaggio decriptato. :-)



Mi fido molto meno di un "servizio presso terzi" in cui inserire delle

credenziali tramite un'interfaccia web.





Ciao,

un TJL73 che si fida a mala pena di sé stesso...



-- 

"Dubitare di se stesso è il primo segno dell'intelligenza."

                                                            -- U. Ojetti


 un TJL73 che si fida a mala pena di sé stesso...



LOL

-- 

    * b *

  *   y   *

*   Piero   *

#v+



 visto che (ovviamente) la chiave pubblica del destinatario non ce l'hai



Non si sbattono.



Conosco gente che ha l'azienda (con relativo server di posta per almeno 

una quarantina di dipendenti) e usa per la sua posta personale gmail e 

non si preoccupa di sapere cosa sia PGP o altro.



Non lo capisco, giuro che non lo capisco.




 credenziali tramite un'interfaccia web.



Analogo servizio offerto da Protonmail come lo vedi? :-)




 Non si sbattono.



ok, ma supponendo che tu voglia leggere l'email sul pc, sul tablet e sul 

telefono, in che modo ti sbatteresti? a grandi linee.


 fregato perché si copiano le chiavi, mi facevano notare, ed è vero.



ovvero?

domanda da curioso, come funzionerebbe il man in the middle in questo 

contesto?




 Analogo servizio offerto da Protonmail come lo vedi? :-)



Pare che pùntino buona parte della loro sicurezza sul fatto che i server

siano in Svizzera.  ¬_¬



Devo studiarmela un po' meglio, prima di dare un giudizio (dal basso

delle mie conoscenza puramente pratiche).



Ad ogni modo, qui parla già di una cifratura end-to-end, anche se non ho

ancora trovato chi genera le chiavi personali e dove vengono conservate.

E' probabile che vengano conservate da loro, ma cifrate con una password

che /dicono di non conoscere/ e che conosce solo il proprietario;

bisogna capire, però, dove vengono create e da chi, perché, in tal caso,

potrebbe essere proprio lì il /punto di fiducia/ di quel sistema (copia

della chiave privata potrebbe essere conservata da loro rendendo inutile

anche uno o più eventuali cambi password).



Questo, in effetti, avviene anche con qualsiasi CA, essendo questa a

generare i certificati e la relativa prima password.

Diventa solo questione di fiducia.



Per avere la (relativa) sicurezza che nessuno sia a conoscenza della

chiave privata e della relativa password di sblocco, è doveroso

generarla in autonomia localmente e conservarla sempre cifrata.

Ogni altro sistema, AFAIK, può creare un buco di vulnerabilità che

permette a chi ha generato la chiave di poterne disporre, anche a

séguito di eventuali cambi password successivi.





Ciao,

un TJL73 che si rimette a chi, sicuramente, ne sa di più...



-- 

"Che, poi, io nemmeno volevo nascere: avevo solo accompagnato uno

 spermatozoo mio amico, ma hanno scelto me."


 nel malaugurato caso del "man in the middle", le chiavi vengono copiate.



No, giuro... non ci ho davvero capito nulla. Perdonami.





Ciao,

un TJL73 cui mancano troppe informazioni sulla tecnica utilizzata...



-- 

"Se la conoscenza può creare dei problemi,

 non è con l'ignoranza che possiamo risolverli."

                                                         -- Isaac Asimov


"rootkit" [by Pan/0.145 (Duplicitous mercenary valetism; d7e168a


Può funzionare se la mail transita attraverso server, in tal contesto

sembrerebbe più facile l'intromissione del MITM.



Se poi ricevo mail con l'avviso di protezione che segnala che il

messaggio è stato alterato:

http://wikisend.com/download/907022/firma-digitale.png


capirai che almeno un dubbio sorge.



Se hai letto anche il mio post più sopra con l'esempio di "tizio e caio"

capirai che tizio ha preferito far transitare il messaggio via https,

ritenendolo più sicuro dei server.



Ciò detto, nulla è sicuro al 100%, di sicuro c'è solo la morte. :-D

-- 

    * b *

  *   y   *

*   Piero   *

#v+

Assolto perché il fatto non costituisce dibattito.

#v-








-- 

"Il numero più completo è il 73. Il 73 è il 21° dei numeri primi.

 Il suo speculare (37) è il 12° e il suo speculare, il 21, è il

 prodotto di 7 per 3. Inoltre, convertito in binario, è un



 sembrerebbe più facile l'intromissione del MITM.



beh si è chiaro, se la mail transita fra server è sicuramente possibile 

possa essere intercettata (sennò a che serve criptarla?).



la mia domanda era però come si inserisce nel mezzo della crittografia. 

il man in the middle dovrebbe, in linea teorica, far sì che io scriva a 

lui credendo di scrivere al destinatario, usando però la chiave sua e non 

ovviamente quella del destinatario. perché se il mitm si limita a 

intercettare il messaggio criptato non è un attacco mitm, ma un banale 

ficcanaso che se lo prende nel bahogigi :-)




 un TJL73 cui mancano troppe informazioni sulla tecnica utilizzata...



Confortami, dimmi che tutta la mia fatica ti è servita. :-)

-- 

    * b *

  *   y   *

*   Piero   *

#v+

Se perdi la calma, non la ritrovi fra gli "Oggetti smarriti".

#v-






"rootkit" [by Pan/0.145 (Duplicitous mercenary valetism; d7e168a


Se riesce ad intercettare la/e mail trasmesse fra due persone, riceve

anche le chiavi (i certificati) che permettono di leggerle.



Prova a leggere la risposta a "TJL73", dove spiego quel poco che so. :-)

-- 

    * b *

  *   y   *

*   Piero   *

#v+

Alzhaimer e... cammina.

#v-






 anche le chiavi (i certificati) che permettono di leggerle.



eh? stai scherzando spero :-)

la chiave privata ce l'ha il destinatario ben al sicuro (si spera). 

ovviamente con la mail non transita nulla che permetta di decifrare il 

messaggio, sennò buonanotte :-)



un attacco "man in the middle" me lo immagino così:



- l'attaccante spoofa in qualche modo la chiave pubblica del destinatario 

al mittente;

- a quel punto il mittente pensa di criptare il messaggio per il 

destinatario, ma in realtà lo cripta per l'attaccante;

- l'attaccante intercetta il messaggio che, a quel punto, è leggibile per 

lui e non per il destinatario.








 messaggio, sennò buonanotte :-)



No non scherzo, nemmeno un po'. :-)

Non esiste la "chiave", vuoi che non conoscerei la mia?

E la password per autorizzare la criptatura non c'entra nulla con la

"chiave", lo scambio delle "chiavi" sono i certificati.

Quando hai "in mano" i certificati puoi leggere le mail.



Queste sono le Opzioni avanzate del certificato:

http://wikisend.com/download/927772/vedi-certificato.jpg




Attendo smentite, io l'ho sempre capito così. :-)

    ..._skipped!_

-- 

    * b *

  *   y   *

*   Piero   *

#v+

M'hanno regalato un libro, ma si sono dimenticati del software.

#v-




 Quando hai "in mano" i certificati puoi leggere le mail.



quanta confusione! urge una lettura su come funziona pgp e, più in 

generale, la crittografia asimmetrica :-)

https://it.wikipedia.org/wiki/Pretty_Good_Privacy#Come_funziona_PGP




pgp è vero invia la chiave di sessione con cui è criptato il messaggio, 

ma questa chiave è a sua volta criptata e per decifrarla serve la chiave 

privata del destinatario. 



d'altronde ribadisco, anche a logica, se chi intercetta il messaggio 

avesse gli strumenti per decifrarlo mi spieghi a che servirebbe 

crittografare? quale sarebbe lo scopo, se non quello di proteggere da 

eventuali terzi che si mettono nel mezzo? :-)


 un TJL73 che non ha nessun iDevice...



eh ma se ti chiedi perché gli altri non lo usano devi uscire dal tuo 

orticello e guardare a quello che fanno gli altri. 


 eventuali terzi che si mettono nel mezzo? :-)



Qui io chiudo, ma resto disponibile solo ad una condizione:



installi un *vero certificato* e quando hai trovato la chiave, mi

segnali dove sta, poi che tu la trovi o non, si finisce il discorso. :-)



-- 

    * b *

  *   y   *

*   Piero   *

#v+

Se perdi la calma, non la ritrovi fra gli "Oggetti smarriti".

#v-








-- 

"La sconfitta è orfana;

 la vittoria ha cento padri."

                                                  -- Napoleone Bonaparte


 "azzo, devo spiegare a chi ne sa più di me, è il colmo. :-D



Guarda, se ti rispondessi ora, non mi sentirei a posto con me stesso, 

in quanto ho dato una rapida lettura al tuo post, ma la situazione non 

è migliorata molto. Non ti riserverei il rispetto che invece meriti.



Mi impegno a rileggere tutto con più calma nei prossimi giorni e spero

di poterti dare una risposta adeguata e approfondita.





Ciao,

un TJL73 e ogni cosa ha bisogno del suo tempo...



-- 

"Se lei si spiega con un esempio, non capisco più niente."

                                                        -- Ennio Flaiano


 orticello e guardare a quello che fanno gli altri. 



Intendo dire che io non ho alcun prodotto Apple, ma non che PGP/GnuPG

non sia compatibile anche con il mondo morsicato (iPhone/iPad/iMac/...)



Per questo motivo, ho citato solo software per Win e per Android.

Alternative per tutti gli altri ambienti sono disponibili... basta solo

cercare e sperimentare (cosa che io purtroppo non posso fare, non avendo

nessun iDevice).





Ciao,

un TJL73 disponibilissimo al dialogo...



-- 

"Se il denaro crescesse sugli alberi, a me capiterebbe un bonsai."

                                                      -- Boris Makaresko


 Ma qual'è l'oggetto del "contendere"?



Nulla. Stiamo solo insegnando a P/ero un po' di sana crittografia.  ^_^





Ciao,

un TJL73 che non si perde d'animo...



-- 

"La prima volta che si trovò di fronte a un piatto di spaghetti

 li scambiò per una versione impegnativa dello Shangai."

                                                -- Alessandro Bergonzoni


 segnali dove sta, poi che tu la trovi o non, si finisce il discorso. :-)



avrei da rispondere, ma mi sembra che la discussione stia prendendo una 

piega surreale per cui va bene finire qui.


 Mmmmm sbaglio o è la mia sensazione che abbia le idee un pò confuse?



alquanto.


 un TJL73 che non si perde d'animo...





-- 

    * b *

  *   y   *

*   Piero   *

#v+

-ad maiora-

#v-






 un TJL73 e ogni cosa ha bisogno del suo tempo...



-- 

    * b *

  *   y   *

*   Piero   *

#v+

Tutto il futuro è racchiuso nella sacra sillaba "bo!".

#v-






 parlando di ciò che ho potuto imparare nell'uso del certificato. :-)



Penso solo che tu sia sempre stato disponibile nei confronti degli altri

e apprezzo molto questo aspetto.



Non tutti gli esperti sono disponibili e non tutti i disponibili sono

esperti ("l'angolo dell'ovvio").





Ciao,

un TJL73 e la buona reputazione...



-- 

"Voi potete comperare il lavoro di un uomo, la sua esperienza,

 i suoi consigli, ma non potete comperare l'entusiasmo, l'iniziativa,

 la devozione del cuore, della mente e dell'animo; queste cose le

 dovete meritare con la vostra lealtà verso di lui."         -- Platone


 mente, ormai quasi vent'anni fa.



urca, c'hai ragione, fa ventanni a maggio mi pare, 

quanto tempo.....   :)





- -- 

.

ciao



GPG/PGP key available on keyservers





-----BEGIN PGP SIGNATURE-----



iQKTBAEBCgB9FiEEbNXbmZWiUZ04pjXm6gyf7l+sQKEFAlyKk1dfFIAAAAAALgAo

aXNzdWVyLWZwckBub3RhdGlvbnMub3BlbnBncC5maWZ0aGhvcnNlbWFuLm5ldDZD

RDVEQjk5OTVBMjUxOUQzOEE2MzVFNkVBMEM5RkVFNUZBQzQwQTEACgkQ6gyf7l+s

QKEhKA//SQFb9d126oOAUwlkZjuWJBGfR5ZzWvIgJZbPhg/cRlXmUx1lxR2pmis8

Nw+Ap4Hwi/AGaC9L6L5jq/xwzuh/H2HGUkChERlQvPV1dd3NAMpF4m4N4HH30hKc

Tz4FxPpjG/ls2woYV0gWz/5szjn0eDfo85HyB0+1kojvjtm6rznGRZ/3qUwjCbn4

OP5k2xG8E2Sq5vgNHH9N9824nIJBsdyoTGWs6L2yMTZbCjh5OUyYdDn2TYcJXT5K

ae8Tku/qUkD1qfQEIBnF/Z1QjKmjS8i1RtdsHSf15Q377Xxpc4kFNrFcuMf1SWrS

7bKO0HwQaOCGExprjypJyC9oG94WG/35nv5sRrz9YuBolehjQt/s0+hcFIjx8QEl

MQCypF0FF2REseIsaFEQNqPAJvaSjVHjLdjqImkeR24VaDXKlaMKc01uzuXooIO7

ySDTlI3upM4PKysKyW65GjWP6dm2yXpcsIotm5kxYeQacqI8ElTlhRBzqbQW6hSW

RvvJforW7FuRWUdgUh6oLUCgQd+//MPHcY4eVwyvss4DL7KdF4N5s2unCVM8oIWS

V0ZtWvu39uvhq9l3C9ZpW2szMhbTjP9epz7HzuuyGuJrTkdS2/s/GZiEWSEx+u7I

qCSvaGhxflTimPFueY0hLhWmQMbNshdVRpq7wENcd8xajut7RrQ=

=ty2i

-----END PGP SIGNATURE-----


 essere comodi per vari scopi ;-)



Uso gmx da alcuni anni e gli alias li ho sfruttati subito per la registrazione 

delle utenze domestiche: luce, gas, acqua, mie e di familiari, dove i fornitori 

spesso usano la email come "user" registrato, quindi p.e. con Enel o SEN non 

puoi crearti l'account per due contatori con lo stesso indirizzo. Giù di alias 

mnemonico per me per capire a quale utenza è associato e via: tutti gli avvisi 

e bollette nella stessa casella "utenze" con un banale filtro sul destinatario.



Come esperienza d'uso poi ne sono ampiamente soddisfatto, mai un problema dalle 

varie piattaforme, desktop e mobile.



-- 

Sans


 quanto tempo.....   :)



Eh, sě... ed č un piacere rileggerti dopo tutto questo tempo.  ;o)



Resta, comunque ancor oggi, per molti aspetti, un ottimo testo di

riferimento... ciň significa che avevate davvero fatto un lavoro

eccellente.



All'epoca, ero cucciolo e avevo ancora *tutto* da imparare... oggi 

che sono piů vecchio, invece, ne ho solo piů *tanto*.





Ciao,

un TJL73 che, nel frattempo, qualcosa ha appreso...



-- 

"Quando ti morde un lupo, pazienza.

 Quel che ti secca č quando ti morde una pecora."

                                                         -- Arthur Bloch


 Diventa solo questione di fiducia.



O di pazienza per andare a spulciare il codice su github.



Comunque, nella settimana del trentennale dell'HTML venuto dal CERN, e vedendo 

su cosa si impegna ora Tim Berners-Lee (
webfoundation.org
), vale la pena notare 

chi c'è dietro PM, tenendo presente che si tratta di un progetto Open Source:

----

"ProtonMail 2.0 can be viewed online on Github at the link below. As a nod to 

our CERN and MIT roots, we are releasing under the permissive MIT license. Let 

us know if you do something cool with our code.

https://github.com/ProtonMail/WebClient


We welcome all feedback at 
secu...@protonmail.ch
 and look forward to 

continuing to improve ProtonMail with your help!

Best Regards,

The ProtonMail Team



We are scientists, engineers, and developers drawn together by a shared vision 

of protecting civil liberties online. Ensuring online privacy and security are 

core values for the ProtonMail team, and we strive daily to protect your rights 

online."

----



E tanto per capire l'aria che tira, due recenti comunicati:

----

8/3/19

We are happy to announce that the European Commission has awarded €2 million to 

Proton Technologies AG, the parent company of ProtonMail and ProtonVPN, to 

develop a suite of encrypted services.



12/3/19

In the past week, the Russian government has been attempting to prevent Russian 

citizens from sending messages to ProtonMail.

----



-- 

Sans


 quanto tempo.....   :)



Wow, ma sei l'originale o solo una copia? :)



saluti archeologici


 Wow, ma sei l'originale o solo una copia? :)



ciao caro, son proprio io, e sono evidentemente invecchiato male 

perche' 2019 - 1998 = 21 anni, non venti    :)





- -- 

.

ciao



GPG/PGP key available on keyservers





-----BEGIN PGP SIGNATURE-----



iQKTBAEBCgB9FiEEbNXbmZWiUZ04pjXm6gyf7l+sQKEFAlyQA7xfFIAAAAAALgAo

aXNzdWVyLWZwckBub3RhdGlvbnMub3BlbnBncC5maWZ0aGhvcnNlbWFuLm5ldDZD

RDVEQjk5OTVBMjUxOUQzOEE2MzVFNkVBMEM5RkVFNUZBQzQwQTEACgkQ6gyf7l+s

QKGQUg//a4LOV7g3UDR9d/WxvrYeHoGXA36ApQ7pLP+g/wmIR8uidboxfYHgMIDn

yuWHnWXJv9rAp5C7odNzN9g/HvvhkWBZC1/AN1lAM46M7klQ1YABAt9ngZU3XHzD

W5bRlrNe+8Nfsb9aUiP1btrwLMTLVQ3NB2O/fUr5ebAJorloAMD9E4lSTpLJIXld

Q5gcE/qHAwjIv4HLUsxRLWyHYbwGVE9iGch3u1lxS6WEMhBuIrX4SUb6sZULYTL7

JRk0FRyo8qzwNpkiOsXJAbW+DwLXPFaGKg7XLRSBKySGkZG8/tL793QWSFN+GMjr

vUe7OM9TM28a8NskRwBjvaC0l+8G+vJkAwenKLu1lJR2ygJMaLT0Msm3dxCFwA/J

L4hAzg8bv4Oa6nL99wxshTylFpW/+uILz8kZtpyZAv6DL+uEPcd6rWubU7H/xX3g

ARc822fOIJu61Zs51ImjYat0DakFw82byxqDU3hNuPlfaC9+3y8LJ9kNj/FSfZYV

EyysE813zUmkVv4DzGQXT77xPz0L4dP/1ZxlDZIKES/vr9+CgEu+jWCicoea/5km

1yfZbSP4xJjjffrCXpEA2A1+jLuX8If8gzHDSnJZo1GvAhGxUaFKZT+u8kHES3aW

A7hDCsvwHxK1Zl4BbezXXMd+zIT4xAog/a0sz5KeUpOUWZJ9W2w=

=o8o3

-----END PGP SIGNATURE-----


perche' 2019 - 1998 = 21 anni, non venti    :)



Un errore off-by-one, da vero programmatore :-D



Leonardo

-- 



"You all presumably know why" :-) :-(


 telefono, in che modo ti sbatteresti? a grandi linee.



Intanto eliminerei dalla lista tablet e telefoni vari e mi limiterei non 

comprando dispositivi androidi. Per questo sono ancora in forse riguardo 

i famosi Gemini e Cosmo PDA, che volevo comprare ma non ho ancora capito 

come funzionano se cancello Android dal loro disco interno.



Per i nuovi Blackberry idem, quindi meglio lasciar perdere.



Riguardo protonmail o servizi simili, per dire, non ho mai provato a 

trivellare le montagne svizzere, so solo che sono granitiche :-)



Chi ne sa di meno si faccia avanti :-)



Altrimenti non so davvero se tornare ai piccioni viaggiatori, e non per 

scherzo.



Sai cosa disse in proposito il Presidente indiano Modi'? :-o


 perche' 2019 - 1998 = 21 anni, non venti    :)



Alla mia età "esserci" è già un risultato. "Invecchiato male" un 

successone. :)



saluti archeologici


 O di pazienza per andare a spulciare il codice su github.



Ecco... per me, continua ad essere solo questione di fiducia.  >_<

(non saprei nemmeno da dove iniziare a spulciare il codice)





Ciao,

un TJL73 e peccato ci siano mille sistemi non compatibili tra loro...



-- 

"Il bello degli standard è che ce ne sono tanti tra cui scegliere"

                                                       -- Andy Tanenbaum




-- 

"Quando tutto il resto fa fiasco, leggi le istruzioni."

                            -- Assioma di Cahn - da "La legge di Murphy"






Per carità, ci perderei il capo :-) è oltre la mia portata, ho visto che

tratta al criptografia relativa a PGP, che, come avevo già scritto, ha

poca corrispondenza con i messaggi criptati con un certificato.



Avevo già scritto che non c'è scambio (cioè l'invio separato) delle

chiavi perché all'arrivo della mail criptata basta installare il suo

certificato ed il gioco nè fatto[¹].

Idem per l'altro che riceverà la tua criptata.



Guarda, non sono in grado di andare oltre nelle spiegazioni, sono un

signore attempato [sai ho una figlia della tua età] che da vero

"apprendista stregone, quello che sa l'ha imparato solo con l'uso".

E ti prego di credermi. :-)



[¹] I maggiori MR fanno tutto automaticamente, installano il certificato

    ricevuto dallo scrivente per leggere le sue mail; usano il tuo

    quando scrivi le mail, che il ricevente leggerà avendo installato il

    tuo certificato, la cosa è reciproca:



Ricevi mail criptata -> certificato installato nel TUO MR, invii mail

criptata -> certificato installato nel SUO MR, questo è lo scambio delle

"chiavi"; le mail che tu invii sono criptate con il TUO certificato e

decriptate con lo stesso certificato che il ricevente ha installato,

tutto si svolge nella stessa modalità per l'altro soggetto.



La prima volta avviene tutto contestualmente, prima installazione del

certificato e contemporanea lettura della mail, poi è la "routine".



Sarò stato chiaro? spero proprio di sì. ^_^



-- 

    * b *

  *   y   *

*   Piero   *

#v+

-carpe diem-

#v-






 un po' le idee sul funzionamento della crittografia asimmetrica?



vedi anche qui, credo possa chiarire diversi punti



https://en.wikipedia.org/wiki/Diffie%E2%80%93Hellman_key_exchange




in alternativa consiglio l'acquisto di questo libro di Simon Singh



https://www.amazon.it/segreti-affascinante-messaggi-dallantico-Internet/dp/8817125393




che spiega, con linguaggio semplice e con uno stile scorrevole e

comprensibile i vari metodi crittografici e l'evoluzione della

crittografia, il libro contiene un chiaro esempio relativamente

all'utilizzo delle chiavi pubbliche ed allo scambio di chiavi

utilizzando il metodo Diffie-Hellman