Newsgroup: it.comp.sicurezza.varie
Titolo: Password riciclate

Ogni tanto si leggono casi di milioni di password carpite, anche se 
magari di vecchi servizi non più esistenti o comunque prontamente 
sostituite quindi non più utilizzabili sul servizio dal quale erano 
state sottratte.
Resta però il problema del "riciclo": se Tizio ha usato la stessa parola 
chiave, associata alla stessa email/user-id, su tutti i siti che 
frequenta (e vi assicuro che c'è gente che lo fa), allora qualcuno 
potrebbe introdursi nei suoi account. Non so quanto spesso succeda, ma 
almeno in teoria esiste la possibilità.
 
Morale della favola: verificare che il nonno *non* usi la stessa 
password JOSHUA anche per la posta elettronica oltre che per WOPR. :D

edevils ha spiegato il 26/12/2014 :

La cosa è molto più comune di quanto si creda.
Ho un sacco di clienti che ammettono candidamente di usare la stessa 
password per tutto, nonostante io glielo sconsigli.
A nulla vale anche consigliare l'uso di prodotti appostiti tipo KeePass 
o LastPass.
Finché la gente non viene toccata pesantemente nella cosa a cui tiene 
di più (il portafogli), nozioni come "sicurezza", "riservatezza" o 
anche semplicemente "backup", non entrano nel cervello.
 
 

almeno in teoria esiste la possibilità.
 
I più maligni ;-) dicono che un buon sistema per raccogliere delle
password è mettere su un qualche servizio gratuito.
La gente si iscrive, mette "la solita" e gli puoi bucare la mail,
facebook, twitter etc.
 
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 facebook, twitter etc.
 
In effetti...
 
Una variante ancora più cattiva, sfruttando l'umana ingenuità, potrebbe 
essere quella di proporre una finta autenticazione con token facebook, 
non so se mi spiego. A quel punto l'utente è fregato anche se usa parole 
chiave diverse per ogni sito!
"Vuoi vedere migliaia di foto delle più belle fOche gratuitamente e 
senza censure? Accedi inserendo il tuo user-id e password Facebook."
:(
 

 senza censure? Accedi inserendo il tuo user-id e password Facebook."
 
Ma non lo fanno di già? :-/
 


Boh, immagino di sì. Peggio ancora se lo fanno con token google, dove la 
password è la stessa per tutti i servizi e anche per gmail, e sappiamo 
che dalla posta elettronica passano info delicate, la si usa per 
recuperare altre password, ecc. ecc.
 
Personalmente, anche per altri motivi, evito di usare sistemi basati sul 
token, preferisco sempre autenticazione indipendente per ogni account, e 
semmai usare io un sistema tipo lastpass o simili.
 

 password è mettere su un qualche servizio gratuito.
 
http://xkcd.com/792/
 
 
:P
 

Sembra che Skywalker Senior abbia detto :

Ciao,
mi piace molto quello che hai scritto e che consigli!!!
 
S.

 facebook, twitter etc.
 
E' il principio di funzionamento del phishing
 
 

 S.
 
Grazie...
Io uso LastPass. Nonostante dicano tutti che KeePass è più sicuro 
(perché è un prodotto offline, mentre LastPass è on-line), io 
preferisco la comodità di non dovermi portare appresso qualcosa in cui 
tenere il mio archivio (una chiavetta USB, ad esempio), anche perché 
sono un distratto cronico e me la scorderei sicuramente da qualche 
parte.
 
 

password è mettere su un qualche servizio gratuito.
 
Tana per XKCD ;-D
 
Leonardo
 
-- 
 
Enough, enough!  But, stranger, ere we part,
Glancing farewell to each nefarious bier,
This warning would I beg you take to heart:
There is an end to e'en the worst career!

 parte.
 
Esiste anche Keepass per smartphone, e il file kdb lo puoi tenere su Drive
o Dropbox in modo da condividerlo su tutti i dispositivi. In questo modo
più o meno dovrebbe funzionare come Lastpass, con il vantaggio di essere
open source (di solito non mi interessa particolarmente, ma nel caso dei
software che gestiscono dati sensibili un po' sì).
 
-- 
Fletto i muscoli e sono nel vuoto.

Il 27/12/2014, dalai lamah ha detto :

Questo è buono e giusto...
Proverollo...
 
 


http://xkcd.com/792/
 
 
Era proprio quella che ricordavo :-)


E' il principio di funzionamento del phishing
 
Secondo me è una cosa differente.
 
Nel phishing è un sito falso a carpire le informazioni. 
Qui è un sito legittimo in cui ti registri volontariamente, il
problema è nel mettere la stessa password dappertutto.


 problema è nel mettere la stessa password dappertutto.
 
non proprio; nel senso che quello che chiami "sito falso" è
regolarmente registrato alla pari del "sito legittimo"; ma nel caso in
questione, il sito fa di tutto per apparire buono e bravo, tiene un
basso profilo, non spia e non è assolutamente invadente ... solo che ti
frega le credenziali e prova a giocare al "credentials reuse"; in
tal modo, le vittime non riusciranno a capire come/dove le proprie
credenziali siano state sottratte ed il bello di tutta la faccenda è
che, accorgendosi del furto di credenziali, le sostituiranno anche
sul sito "bello & bravo" ... :P
 
 

sul sito "bello & bravo" ... :P
 
Ah, certo, se continuano a usare la solita dappertutto... :-)
