Newsgroup: it.comp.sicurezza.varie
Titolo: problemi di password!!!

Ciao ragazzi,
ho intenzione di pubblicare solo on line un magazine settimanale. Ho fatto
una mini ricerca e moltissime persone mi sono sembrate entusiaste!
Il problema č che vorrei farlo a pagamento (tipo abbonamento semestrale o
annuale) e potrei lasciare anche consultare il numero della settimana in
corso per una cifra ridicola.
Ma se uso le classiche userid e password, e i miei potenziali utenti se li
scambiano, che faccio?Mi piacerebbe avere piů di un abbonato che paga e mi
acconterei di 100 lettori paganti piuttosto che 1000 che scroccano!!!
Avete suggerimenti al riguardo?
Kimmy

 scambiano, che faccio?
Non molto, se non vuoi mettere in gioco sistemi di autenticazione ben al 
di là del respiro del tuo progetto, mi sembra di capire (almeno per ora, 
poi ti auguro di crescere ;-)), come smart card e co.
Il massimo che si può fare è fare dei controlli da applicazione 
(cookie-based) per intercettare eventuali utilizzi contemporanei dello 
stesso account da indirizzi diversi e in tal caso segare l'account o 
comunque inibirne l'utilizzo.
D'altra parte anche se un abbonato salva su disco l'HTML del magazine e 
poi lo forwarda agli amici via e-mail ci puoi fare poco...
bye bye
-- 
Fabrizio "Hermooz" Ermini

 poi lo forwarda agli amici via e-mail ci puoi fare poco...
questo è un altro problema che cercherò di risolvere...
kimmy

 scambiano, che faccio?
la faccenda e' questa: tu puoi complicare la vita finche' vuoi ma fintanto
che il tuo prodotto sara' leggibile in qualche modo allora sara' anche
copiabile illecitamente. inoltre un sistema che limita l'utente in qualche
modo senza offrire nulla in cambio fa preferire altri prodotti piu'
semplici o la via illecita.
prendi ad esempio la musica e le protezioni dei cd: non fermano le copie
illecite, rompono le palle agli onesti e fanno venir voglia di optare per
la copia pirata/mp3 o per un altro prodotto senza limitazioni di sorta. e
qui parliamo di roba attorno a cui gira una quantita' di soldi e mezzi ben
oltre la tua portata (per grande che possa essere).
se vuoi fare una cosa del genere vendi un numero limitato di accessi (ad
esempio: 20 login poi scade l'account) e offri degli extra o qualcosa di
veramente unico. non eviterai la copia illecita (cosa impossibile da fare)
ma se due persone condividessero le pass farebbero semplicemente scadere
prima l'account.
-- 
per leggere e postare su free.it.*:
http://infofreeit.altervista.org/polacco.zip


certo, però intanto ciascuno paga la metà!!!
kimmy

 scambiano, che faccio?Mi piacerebbe avere più di un abbonato che paga e mi
Associa la userid/password al numero di carta di credito, o 
all'email, a qualcosa di personale insomma in modo da costringere 
l'utente a pensarci bene prima di 'regalarla' via... In alternativa 
dovresti loggare gli ip corrispondenti ad ogni sessione e controllare
sullo stesso login se l'ip varia troppo e troppo spesso... O magari 
se vi sono sessioni contemporanee con lo stesso login.
-- 
Field tested: Manufacturing doesn't have a test system.
News 2000 [v 2.06] / StopDialer / PopDuster - 
http://www.socket2000.com

 certo, però intanto ciascuno paga la metà!!!
e accede meta' delle volte ;)


 O magari se vi sono sessioni contemporanee con lo stesso login.
stavo navigando e ho visto un trafiletto interessante solo che dovevo
uscire cosi' ho attaccato il portatile all'hub, ho fatto un login per
scaricare l'articolo da leggere in treno e mi han segato l'account:
niente perry mason, ora mando bud spencer!


 mare, dal portatile con collegamento satellitare e per di piu' sempre con
[cut]
Basta creare regole precise da sottoscrivere prima di abbonarsi.
-- 
This fortune soaks up 47 times its own weight in excess memory.


 Basta creare regole precise da sottoscrivere prima di abbonarsi.
secondo me sono condizioni che non varrebbero una cicca su un contratto ma
qui si esula sia dalla sicurezza che dal buon senso e mi fermo.


 qui si esula sia dalla sicurezza che dal buon senso e mi fermo.
Certo, adesso abbiamo anche gli esperti giuristi... Nei contratti non
sono valide solo le clausole vessatorie se non controfirmate una per 
una. E simili clausole non mi sembrano tali...
-- 
Death is a nonmaskable interrupt.


 simili clausole non mi sembrano tali...
cosi' parlo' il principe del foro prima che una siringata antitarlo lo
condannasse all'oblio.



ma chi non possiede un cellulare al giorno d'oggi? Beh, forse mia zia, che
manco sa usare il telecomando, però!!!
E poi si tratta di uno squillo! Quanti squilli fai ai tuoi amici?
Beh, costa poi tanta fatica farne uno in più per leggere la mia mitica
rivista?
leggi un po' quà (l'articolo 2 piccioni con 1 fava!):
http://mebnet.eblab.ai.polimi.it/mebnet/content/public/home/bn/bn_tec_10_200
3
Io ieri sera sono andata sul sito suggerito dall'articolo e ho provato la
storia del cellulare (per registrarti mandi un sms e poi fai uno squillo e
ti riconosce!!!una figata!!).
kimmy

scusa, ho sbagliato link (il 3 di 2003 è finito sotto il link!!!), ecco
quello giusto:
http://mebnet.eblab.ai.polimi.it/mebnet/content/public/home/bn/bn_tec_10_200
3
kimmy

UFFFFAAAA!
il 3 di 2003 mi va a capo!!!Senti aggiungitelo tu, ok?
http://mebnet.eblab.ai.polimi.it/mebnet/content/public/home/bn/bn_tec_10_200
 3
kimmy

 rivista?
Contento te. Hai chiesto suggerimenti, poi fai quel che vuoi.
-- 
HappyCactus - Linux User #209744
* 
http://sourceforge.net/projects/qixl
* 
www.google.com
 / 
groups.google.com


E' ovvio che farň quello che voglio, ma mi č permesso almeno chiedere
consigli e avanzare le mie riserve al riguardo?
Un newsgroup serve anche per questo, o no?
E' il tuo nick che ti costringe ad essere cosě pungente?
Un'opinione l'ho chiesta a tutti, te compreso, e se tutti intervenissero
dicendo:
"senti, fa come ti pare", beh, grazie tante Cactus...6 stato VERAMENTE poco
HAPPY e molto ILLUMINANTE!!!
kimmy

 >
Ma di che parla 'sta benedetta rivista?
Ma come si chiama 'sto software? Perchč ne ho sentito parlare anche io di
una cosa del genere!!
er_cigno

 
http://mebnet.eblab.ai.polimi.it/
non risolvo il dominio al momento (poi vedo).
domandati: tu pagheresti $ciframodesta per visitare $sitochetipiace se
fosse a pagamento o ripiegheresti su $sitochetipiacegratis che piu' o meno
va bene uguale? e se $sitochetipiace offrisse un extra unico pagheresti o
pagheresti piu' di $ciframodesta?
alla fine il segreto degli affaristi e' azzeccare questo tipo di domande.


 questo č un altro problema che cercherň di risolvere...
e' un problema che semplicemente NON puoi risolvere:
- se il tuo documento e' visualizzabile sotto forma di testo puoi sempre 
selezionarlo, copiarlo e incollarlo su un qualsiaso txt,doc...
- se il tuo documento e' un semplice file htm lo puoi salvare o fare come 
sopra ..
- se al max visualizzi il tuo documento come immagine puoi sempre salvarti 
l'immagine e sendare quelle
- se riesci a mettere un'immagine nn salvabile ( ci credo poco .. ) puoi 
sempre premere il tasto "Stamp" e salvarti il video come immagine..
- supponendo che utilizzi un programma per visualizzare il file e poi 
elimini tale file, puoi sempre farti delle copie preventive del file prima 
di aprirlo
.. potrei continuare ancora, ma credo sia inutile ;)
ps. per la faccenda del controllo degli ip, senza considerare la casa, 
l'ufficio etc.., prova a pensare che succede se per navigare uso 
abitualmente un programma come multiproxy o qualcosa di simile che sceglie 
di volta in volta il proxy migliore in base a velocita', anonimita'...
-- 
bits are bits
Posted from X-Privat Free NNTP server - 
www.x-privat.org

 Basta creare regole precise da sottoscrivere prima di abbonarsi.
dopo aver letto le quali basta non abbonarsi. A nessuno piace sapere di 
avere a che fare con qualcuno che si crede più furbo di lui
-- 
  < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
      Don't stand, REACT!      version 0.1.4. C, C++ and ASM developers
                               and beta testers are welcome!

 certo, però intanto ciascuno paga la metà!!!
cazzo di discorsi sono? quei soldi potrebbero anche averli rubati


 ma chi non possiede un cellulare al giorno d'oggi?
io, ad esempio. E non dimentichiamo che TACS vive. Morente, ma vivo



ma che vuol dire? Se vai dal giornalaio con dei soldi rubati, non è che lui
quei soldi non li vuole in cambio delle riviste che ti porti a casa, o
no?!!!!?
Forse se cerchi di appioppargli dei soldi falsi, potrebbe alterarsi, ma
sulle banconote rubate mica c'è scritto RUBATO!
kimmy

no?!!!!?
Il fatto e' questo: tu fornisci un certo bene (consultazione di pagine a
tempo).
Ricevi un certo corrispettivo (diciamo, per buttare un numero, un euro a
pagina).
Ti cambia qualcosa se di quel bene usufruiscono mille persone o una?
Attento, sto parlando del NUMERO DI PAGINE, e *non* del numero di utenti
abbonati potenziali [1]
E la risposta e': no, non ti cambia niente, ANZI, se mille persone vanno
a leggere ciascuno una pagina, e a dieci di loro piace al punto da farsi
un altro abbonamento, alla fine dei salmi hai venduto undici abbonamenti
in tutto.
Se due persone condividono l'abbonamento, e una e' molto interessata, ci
sta che quando l'abbonamento scade anzitempo si incazzi e chieda i soldi
indietro all'altra persona, per farsi un secondo abbonamento lei... e tu
di abbonamenti ne avrai venduti DUE.
L'unico caso in cui ti butta male e' se una persona si abbona, fa vedere
la rivista a mille persone, e a loro fa cosi' tanto onco che NEMMENO UNA
si abbona ne' ora ne' mai, mentre se non avessero letto niente, forse un
fesso che si abbonava a scatola chiusa l'avresti trovato [2].
Pero', io non credo che il tuo target sia quello.
Leonardo
[1] il mistico "market peak", che fa comparire i segni del dollaro negli
    occhi di quelli del marketing, che partono dal presupposto che se il
    prodotto lo vendono loro, CERTAMENTE e' piu' addictive dell'eroina e
    piu' alluring di una notte nell'harem del sultano del Topei.
[2] Legge di Bob: "Non migliorare i prodotti: cerca clienti piu' fessi."
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.

 abbonati potenziali [1]
Certamente il numero potenziale è sempre un dato da prendere con le 
pinze. Però è certo che se una cosa la si può avere gratis 
'facilmente' dubito che si cacceranno i soldi per averla ...
-- 
This fortune soaks up 47 times its own weight in excess memory.


 capirai che investimento...
cosa cambia al commerciante se pierino si mangia da solo tutte le
caramelle che ha comprato o se le condivide con gli amici?
cosa cambia al nostro amico se pierino consuma da solo gli accessi al sito
o se ne cede un po' agli amici?


 ha scritto nel messaggio
news:Xns942B323E...@127.0.0.1...


 caramelle che ha comprato o se le condivide con gli amici?
Cambia che non hai capito una mazza. La caramella è un bene, la 
lettura del documento è un servizio. Se la caramella se la ciucciano 
in 10,  ognuno alla fine avrà avuto un decimo della caramella, il 
servizio invece lo riceverebbero al 100%... Sono due cose ben 
distinte... Cosa cambia se al cinema ci entra 1 con un biglietto o 
100 con 1 biglietto? Tanto lo devono proiettare lo stesso no? 
Cambia... cambia.
-- 
"Daddy, what does FORMATTING DRIVE C mean?"


 cosa non buona perchè anche se unico io potrei volerlo nascondere 
Bravo. E allora a che serve l'identificazione? Il numero GARANTISCE 
che è la tua SIM, ovvero presumibilmente sei tu.
-- 
The best way to accelerate a Mac is at 9.8 m / sec^2


 invece lo riceverebbero al 100%...
e qui casca il somarone con tutte le orecchie e l'espressione beota: non
hai letto (o capito) un bel niente perche' qui si parla di vendere un
numero limitato di accessi (pagine o che) e non di abbonamenti "che ci fai
quel che ti pare".
vai a dormire va che per 'sta sera ne hai dette abbastanza
p.s. e ficcaci il f/u


capirai che investimento...
Ma il numero di pagine servito e' lo stesso, quindi la banda rimane la
medesima. L'amico vuole vendere un accesso a "numero di pagine", cioe'
l'abbonamento non e' per un mese ma per mille pagine.
Se lo usa una persona, si scarica mille pagine; lo usano in cento sono
dieci pagine ciascuno, poi l'abbonamento si esaurisce. Il server pero'
ha sempre servito mille pagine, e chi e' rimasto a bocca asciutta (per
qualche articolo di undici-dodici pagine) sa che e' colpa degli altri,
non del server, e potrebbe decidere di riabbonarsi [1].
Diciamo che potrebbe esserci il problema di non copiarsi le pagine per
rivenderle o regalarle ad amici e conoscenti, quello si'. Pero', avere
un accesso singolo o decuplo IMHO non cambia nulla (se non in meglio).
Leonardo
[1] anzi, se gli interessano solo dieci pagine, il pensiero di potersi
    poi rivendere le altre 990 lo incoraggia ad abbonarsi.


 non del server, e potrebbe decidere di riabbonarsi [1].
A me sembra di aver capito che l'accesso è un abbonamento, non va a 
numero di pagine... Quoto:
"Il problema è che vorrei farlo a pagamento (tipo abbonamento 
semestrale o annuale)"...
-- 
IBM: Illustrious Busy Mice
News 2000 [v 2.06] - 
http://www.akapulce.net/socket2000

 che è la tua SIM, ovvero presumibilmente sei tu.
Ok, questo significa però che il sistema funziona solo se il numero è in
chiaro...
Diventa obbligatorio mostrarsi, che magari non è una grossa limitazione,
però, c'è sempre qualcuno che gli rode e che nasconde l'identità...
C'è gente che fa tanti discorsi sulla 'propria' privacy...e poi magari manda
tranquillamente un sms che costa 1 EURO a trasmissioni del tipo
'Votate questo o votate quello' non accorgendosi di avere inviato con l'sms
il proprio numero, che verrà archiviato certamente, magari a solo uso
statistico ma certamente archiviato....
Ma mi fermo qui senno il discorso si deve sopstare su unn altro ng :
alt.<qualcosa>.privacy ...
 WizoWoz


:Provate a guardare gli ingredienti del famoso Labello che si usa per
:le labbra screpolate: Butirrospermum Parkii (sperma di maiale).


Adesso il discorso sta prendendo una piega che mi piace, se ho capito bene,
quindi proponi una specie di 'saintlogin' fatto in casa...
non ho però capito il suo funzionamento, il cellulare S25 riceve una
chiamata e che c'entrano i cookies ?
Io ho riprovato saintlogin, ho i sorgenti in mano e non usa i cookies (li ho
disattivati per prova) funziona lo stesso....
Poi ho aperto più sessioni, dallo stesso pc e da due pc e mi da numeri
diversi da chiamare, funziona sempre, la sessione del numero chiamato si
attiva da sola,  oppure scade se passa 1 minuto...
IMHO doveva usare una applet java per fare questo ma ho disattivato JAVA e
funziona uguale...
Allora ho 'mantrugiato' nei sorgenti che ho scaricato e ho visto come fa, ma
ammetto che chiunque l'ha scritto è un tipo sveglio...
WizOWoz

 sempre selezionarlo, copiarlo e incollarlo su un qualsiaso txt,doc...
c'era una volta 
lyrics.ch
 dove il testo delle canzoni era visualizzato da
una applet java che ne rendeva impossibile la copiatura
potrebbe fare al suo caso?
-- 
/-\ /\/\ /\/\ /-\ /\/\ /\/\ /-\ T /-\

chiamata e che c'entrano i cookies ?
No, veramente pensavo al contrario, cioe' un telefono che GENERA la
chiamata a saintlogin, si autentica sul server protetto e poi funge
da proxy per un client che non dispone di cellulare, non vuole dare
il numero, e' paranoico, o quant'altro.
La mia idea e' questa:
- mi collego, da un server in un bunker, a $PROXY, porta 3129.
	- $PROXY capisce che voglio una sessione saintlogin.
- chiedo di collegarmi al server www.saintprotected.pc
- $PROXY si finge un Internet Explorer 6.0 SP1 Q123456, e manda una
  richiesta a www.saintprotected.pc
- il server manda una richiesta di autenticazione a $SAINTSERVER, e
  un challenge al client (cioe' a $PROXY)
- $PROXY riceve lo stream HTTP e lo purga via mod_snooper estraendo
  le informazioni necessarie per effettuare la chiamata, eliminando
  tutti i dati di sessione, e genera una sessione "privata" fra se'
  e il client (cioe' me)
- $PROXY si collega a $SIEMENS, e fa uno squillo
- $SAINTSERVER conferma a www.saintprotected.pc che $PROXY e' buono
  e caro
- Io proseguo la sessione, usando la chiave di sessione del proxy e
  senza sapere altro
- $PROXY ricava i dati di sessione, elimina i miei header HTTP e li
  sostituisce con i propri, si ricollega alla sessione protetta, vi
  instrada i miei dati e invia tutto a www.saintprotected.pc
- www.saintprotected.pc riceve una sessione valida, con dati validi
  e da un indirizzo valido, e quindi risponde gentilmente a $PROXY.
- $PROXY prende i dati, ne elimina gli header, li sostituisce con i
  propri, si collega alla sessione client-side e me li manda.
Gli ultimi quattro passi vengono iterati ad libitum.
In teoria un numero infinito di persone potrebbe navigare usando un
solo abbonamento, specie se le pagine hanno un contenuto statico (o
staticizzabile ;-) ); in questo caso $PROXY farebbe si' che - anche
se dieci persone accedono alla stessa pagina - questa sia richiesta
una volta sola al server, che in tal modo non si accorge di nulla.
Se uno volesse semplicemente rubare gli abbonamenti, anziche', come
vorrei fare io, usare un abbonamento in modo piu' comodo, allora e'
ancora piu' facile e basta uno Squid plain vanilla[1]... si collega
UN client legittimo, autorizzato a richiedere nuove pagine, a Squid
e da li' si naviga. E diecimila clienti possono richiedere pagine a
Squid, che, "solo se" le ha in cache, le fornisce agratis, ma se no
non le richiede neppure.
In teoria, uno ladro ladro potrebbe poi masterizzare la cache Squid
con un convertitore (o usare una versione taroccata di w3mir), fare
una copia di tutto l'anno di abbonamenti con un solo abbonamento, e
poi clonare il CD in un mostrilione di copie.
Leonardo "many such journeys are possible"
[1] al massimo configurato per essere MOOOLTO trasparente :-)


     uno fra un paio di settimane al Milipol di Parigi.
Lo voglio :-). Ne avevo visto uno (autocostruito) per i TACS, anni fa,
era una meraviglia, come si lavorava bene in quell'ufficio... :-)
Bye, G.


wrote:


Oh, se vuoi... ho scoperto che l'ultimo giorno delle fiere e' sempre un
ottimo momento per "fare la spesa" 8-)
Leonardo


 un ottimo momento per "fare la spesa" 8-)
'ulo. Non si può, me l'hanno bocciato "dall'alto". :-(
[BOHF]
    La prossima volta non propongo niente a nessuno. Lo faccio e basta.
[/BOHF]
Bye, G.