Newsgroup: it.comp.sicurezza.varie
Titolo: Piccola statistica delle password usate

Incredibile quanto sia superficiale la scelta delle 
password nelle iscrizioni a siti web. I dati provengono 
dal mio sito rivolto al pubblico italiano con community 
e newsletter.
Parole di senso compiuto (circa un utente su 4) si 
sprecano.
Anche i nomi propri (un utente su 20) ricorrono. E non 
ho voluto conteggiare password come ad esempio "mario7".
Ma c'è di peggio. Un utente su 30 usa come password lo 
stesso nome utente.
Numeri che non aprono bensì spalancano le porte ad 
attacchi.

 password nelle iscrizioni a siti web.
E non ti chiedi perchè?
Per lavoro sono costretto a gestire una ventina di account differenti 
(altro che single signon!) di una certa importanza.
Inutile dire che le password di cui sopra sono sempre piuttosto 
complesse e differenti (parecchio differenti) tra loro, inoltre variano 
con una certa frequenza.
Inoltre devo gestire un centinaio di account a siti web, dove la cosa 
peggiore che può accadere è che qualcuno partecipi a un asta (ebay) a 
nome mio.
Immagini bene che in questi casi un banale "pippo" basta e avanza 
(uguale per tutti!); devo pur essere in grado di sapere a memoria che pw 
uso sui vari account web, che mi costringono (legittimo per carità) a 
registrarmi per usufruire di qualsivoglia piccolissimo servizio.
saluti saturati
-- 
L'"affaire Dreyfus" del XXI secolo: 
www.brunocontrada.info

 attacchi.
 
Ma la vera domanda è : tu, come cazzo fai a vederle ?

 Ma la vera domanda è : tu, come cazzo fai a vederle ?
Beh le memorizza in chiaro no? :)

 Beh le memorizza in chiaro no? :)
MD5 questo sconosciuto :D

 (altro che single signon!) di una certa importanza.
Suggerisco l'uso di un programma quale keepass - io lo uso sia su linux sia
su windows: il file lo trasporto tramite pennetta.
Buona giornata
-- 
Norbert il COBOLdo (
www.mandos.it
) - Registered Linux user #464864 
E anche adesso una parte di me
sorvola Dresda a quota 1 5 
(Pink Floyd)

 su windows: il file lo trasporto tramite pennetta.
Me l'avrebbero anche regalata una pennetta con processore crittografico 
a bordo; ci posso infilare un giga di roba e la crittografia la fa lei 
col processore dedicato e certificato inamovibile.
Piů sicuro di cosě! Tant'č che mi fido poco e continuo a tenere i 
foglietti nel portafogli assieme alle carte di credito.
Credo che sia il principio cardine della sicurezza; se mi fregano il 
bancomat me ne frego degli account amministrativi: ubi maior minor 
cessat. :)
saluti all'antica


 saluti all'antica
Saluta da un pigro che non digiterebbe mai n password diverse (perché le ho
diverse, per le varie registrazioni. Se le ricorda keepassx :-) )
E buon pranzo ...


 per usufruire di qualsivoglia piccolissimo servizio.
Quoto in pieno.
Pensa ad esempio ai forum, ai siti dai quali scaricare qualcosa, ma anche 
eventualmente ad un indirizzo di posta webmail di poca importanza, magari da 
usare proprio per accedere ai servizi di cui sopra...


Volendo essere pii (e ndo la pii la pii) magari prima di memorizzarle le 
aggiunge a un database, slegate dagli utenti.
Certo, anche cosi', se uno si intrufola nel DB con un attacco a dizionario 
(e il dizionario lo fornisce il DB, con tanto di ranking!) ci mette 
veramente un attimo a craccarle...
Ciaotutti,
* 

 utenti.
Uh... e per quale motivo ?!? Se pensi ai casi di "lost password" basta
prevedere un meccanismo che rigeneri una pass temporanea per
l'account e la invii all'indirizzo email dell'utente; per il resto,
conservare
le pass in chiaro non serve a nulla e crea problemi di sicurezza; oltre
a ciň, č facile implementare algoritmi di hashing quali MD5, SHA-1 o
altri, a quel punto si aggiunge un pochino di "salt", si calcola l'hash
della
pwd utente e si memorizza quest'ultimo evitando cosě che, nel caso in
cui qualcuno riesca a mettere le mani sul db utente, quest'ultimo possa
avere accesso a tutte le passwords... poi ovviamente ci sarebbero anche
altre misure da prendere (es. criptare l'indirizzo email e/o eventuali
altri
dati "sensibili") ma finiremmo OT quindi mi fermo qui :)

 le pass in chiaro non serve a nulla e crea problemi di sicurezza; oltre
... oppure serve per un'autenticazione challenge-response ;-)
Fabio

 avere accesso a tutte le passwords... 
oppure fai utilizzare una password composta di due parti, una inserita 
dall'utente e una generata come risposta dal sistema con un algoritmo che 
utilizza quella dell'utente come seme, assieme ad altri valori, come 
email, data di registrazione, indexrecord o loginID. A quel punto non 
occorre memorizzarla, basta ricalcolare la seconda parte al volo e 
confrontarla con l'inserito.
L'importante è non farsi decompilare l'eseguibile ;-)
-- 
Sans