Newsgroup: it.comp.sicurezza.varie
Titolo: sicurezza di una password

Buongiorno e buon nuovo anno.
Vorrei un chiarimento sulle password. Premesso che so che non bisogna
mettere come password un nome (particolarmente se associabile agli
interessi del possessore della password), mi domandavo:
essendo io (per esempio) un appassionato di montagna e di Formula 1, una
password "facile da ricordare per me" potrebbe essere lagorai27 (lagorai =
nome di montagna; 27 = numero della Ferrari di G. Villeneuve). Tale
password è "più facile da scoprire" di una generica password alfanumerica
di 9 caratteri (tipo abcdefg12 oppure kyctyi78e)?
Io credo di no, ma vorrei una conferma.
Vi pongo il quesito perchè vorrei usare password che mi siano facili da
memorizzare, basandomi su "ciò che mi piace".
Grazie
Norbert

.................
  La PW composta da nomi e/o numeri che riguarda la nostra sfera di
interessi è più debole all'interno della nostra cérchia di persone
conosciute (amici, parenti, colleghi di lavoro, ecc.)

 Vorrei un chiarimento sulle password.


 di 9 caratteri (tipo abcdefg12 oppure kyctyi78e)?
le password basate su ciņ che ti piace, affetti o altro sono le pił facili
da beccare, cmq puoi provare a camuffarle
es se hai la ragazza che si chiama silvia ed č nata nel 77, anzichč silvia77
prova con 7$!lv!a7
sembra strana, ma io ho solo sostituito la S col $ e la i con il !
sicuramente il tuo miglior amico non riuscirą a fregarti subito!

 
Grazie ma... perchè? 
Voglio dire: data una password lunga x caratteri, nessuno che non conosca
la password può sapere che quella password è composta con (esempi per
password di 8 caratteri):
nome di aereo di 3 caratteri + nome di monte di 5 caratteri (es. f16sella)
nome di montagna di 6 caratteri + data di nascita della mia gatta di 2
caratteri (pordoi87).
Potresti darmi maggiori lumi sulla maggiore "vulnerabilità" di una password
tipo la suddetta "f16sella" rispetto ad una "x89yuiot"?
Ancora grazie
Norbert
 

 il ! sicuramente il tuo miglior amico non riuscirà a fregarti subito!
Che sono le prime cose che un qualsiasi programma di scanning delle
password prova
-- 
Roberto Tagliaferri<-> r.tagliaferri@(forse)
tosnet.it
	Povero Carlo.. E` l' unico a cui hanno rifilato 
	una Camilla scaduta senza neanche il coccio del
	Mulino Bianco!!!

 ha scritto nel messaggio
news:01c074aa$f5bf6f40$1c03...@496buq017087.fonspa...

   Rimaniamo sulle grandi linee;
Per memorizzare f16sella tu hai bisogno di 6 coordinate mentali:
1-tipo: aereo
2-nome aereo: f16
3-posizione: 1°
+
1-tipo: monte
2-nome: sella
3-posizione: 2°
Oltretutto per te Sella è il nome di un monte, ma per un computer è un nome
è basta (esempio: se tu vai su:
http://ourworld.compuserve.com/homepages/fsella/
  trovi un certo Franco
Sella che (quarda caso) colleziona foto di aerei, ha avuto anche quella
dell'F16, ora ne ha altre...)
mentre per memorizzare "jveqvpk." ho una sola coordinata mentale, composta
da un'unica parola, senza allacci a significati e che può essere pronunciata
per sillabazione (termina con un punto, che è afono).
Io non ti conosco, ma se ti conoscessi, potrei restringere facilmente
l'ambito di ricerca e così farei risparmiare molte (molte di più di quello
che si crede) ore alle macchine preposte all'attacco "rude" alla tua
password.
Tu dimostri delle costanti nel creare le password:
diciamo che il numero di asterischi ci indica da quante lettere/numeri è
composta la parola (ma anche se non lo dice è lo stesso) le lettere sono 26
[a - z] ed altre 26 [A - Z] più l'uso dei possibili segni di interpunzione,
ma i numeri arrivano a 10 [0 - 9] quindi le combinazioni di lettere sono
maggiori delle combinazioni di numeri (con 2 lettere ho 2704 combinazioni,
con 2 numeri ho 100 combinazioni)
e tu cosa mi fai? Scegli dei nomi già fatti (cioè esistenti, cioè i primi
che vengono presi in considerazione), quindi ti togli un grande oceano di
combinazioni tra tutte le lettere è poi inserisci pochi numeri, che già di
per se contano poco (lo sai quanti decimi di secondo un computer impiega per
aggiungere ad una parola anche una componente numerica da 0 a 100? compresa
l'inversione delle posizioni e compresa la risposta alla PW?
Anche la casistica non ti aiuta, si sa bene che la media delle parole che si
usano nel linguaggio normale è di circa 700 parole [nella trattazione di
argomentazioni specifiche (chimica, medicina, matematica, oppure hobby come
la montagna, il nuoto, l'aereonautica ecc.) si può arrivare a 3000 vocaboli
diversi, (la lingua italiana è composta da circa 170.000 vocaboli, se non
erro) quindi tu offri un'insieme di parametri fissi, per di più legati
all'usuale impiego che fai della parola.
    Quindi ritengo che sia più difficile (non impossibile) trovare una
parola composta di sole lettere, intervallate casualmente da minuscole e
maiuscole e con inframmezzatura di segni di interpunzione, piuttosto di
parole già composte, tratte dalla propria vita comune, con l'aggiunta (prima
o dopo) di numeri il cui riferimento a date o situazioni, ad un computer non
gliene frega niente; cioè, capisco che tu abbini un numero ad una situazione
e dici: " chi mai può sapere che ho messo la data di nascita del mio gatto?"
Un computer però se ne frega, lui passa tutti i numeri, velocemente,
attraversando anche la data di nascita di tua madre, di tua zia (già, quella
data che la zia tiene tanto nascosta) passa anche il numero dei gradini di
casa tua, attraversa ed indovina anche il numero di scarpe di tuo nonno, ed
è inutile dire: "ora metto nella mia password il numero di rimbalzi che fece
la pallina di mio nipote quando ci giocò al suo quarto compleanno; un simile
dato sicuramente non ce l'ha nessuno".
   Se poi proprio non riesci a memorizzare un complesso di lettere casuali,
allora posso darti un piccolo trucchetto (che tutti conoscono in area), nei
NG scegli una parola che ti piace, anche a senso compiuto, poi vai su
"messaggio" e fai "decodifica ROT13", ti verrà la parola stravolta nelle
lettere
(Perfette sarà: Cresrggr), beh, usa quella, se ti dimentichi Cresrggr
(combinazioni possibili: 56^8) puoi sempre recuperarla scrivendo "Perfette"
e facendo ROT13.

 e facendo ROT13.
   Scusate, le combinazioni sono 52^8 e non 56^8

...
Grazie, era proprio il tipo di spiegazione che desideravo avere. 
Norbert

Io credo di no, ma vorrei una conferma.
Dipende dall'impiego e dalle situazioni.
Ad esempio, ci sono situazioni in cui la bassa complessità della
password non è l'anello debole (es. nel 99% dei casi di utenti che
hanno attivato l'home banking, se ti trovi in casa loro è molto più
semplice trovare dove è annotata la password piuttosto che
indovinarla).
In altri casi eccedere nelle seghe mentali non rende proporzionalmente
in sicurezza. 

indovinarla).
e' semplice, sotto la tastiera :))
-- 
/\/\arco /\/\ex
----------> 
www.haivistolasta.com
 <-----------
da oggi puoi ascoltare le Pubblicita' Regresso

 ha scritto nel messaggio
news:01c07495$c48d0820$1c03...@496buq017087.fonspa...

Puoi trovare alcuni consigli su come scegliere le password, su questo sito:
http://web.tiscalinet.it/netdoc/mouse/index.htm
 sezione Privacy.
Ciao!

 password prova
non mi ero riferito ad uno scanner, ma a tentativi "a mano" di persone
vicine

...
: >
: >   La PW composta da nomi e/o numeri che riguarda la nostra sfera di
: > interessi è più debole all'interno della nostra cérchia di persone
: > conosciute (amici, parenti, colleghi di lavoro, ecc.)
: >
: >
: Grazie ma... perchè?
: Voglio dire: data una password lunga x caratteri, nessuno che non conosca
: la password può sapere che quella password è composta con (esempi per
: password di 8 caratteri):
: nome di aereo di 3 caratteri + nome di monte di 5 caratteri (es. f16sella)
===>se intendi -monteStella(a Milano)- allora puoi usare (f16sSiro)
«-:)montagnetta(;-¤
==> oppure i caratteri di mappi'n !  tipo  (f16s$­¡®Ø) :-)))))
       M@ssy
---se fossi imperatore farei per prima cosa un dizionario,
---per dare ad ogni parola il suo significato (Confucio)
: nome di montagna di 6 caratteri + data di nascita della mia gatta di 2

:
:

 memorizzare, basandomi su "ciò che mi piace".
Gli attacchi a "forza bruta" possono considerare per prima cosa un
dizionario in cui ci siano tutte le parole di senso compiuto (quelle
di un normale vocabolario, tutti i nomi e i cognomi conosciuti, i nomi
delle località planetarie, le marche delle auto ecc.), più quelli
ottenuti applicando una serie di regole diffuse (es. aggiungere o
precedere dei numeri, combinare un paio di questi ecc)... Quindi una
password più sicura è quanto più è una parola insensata se non casuale
tout-court.
Bye Krmel
--
Vuoi guadagnare con la rete? Impara a pescare...
Microsoft Outlook Express: cosa vuoi postare postare postare postare
oggi?

memorizzare, basandomi su "ciň che mi piace".
Potresti usare le prime o le n-esime lettere di una frase.
"leprsssl" = "Luganeghe e polenta, rifugio Sette Selle, sul Lagorai"
Leonardo
-- 
And where the black and corkscrew towers climb
Lost and athirst the ragged pack abides,
Old as the aeons, trapped in tombs of time,
Sailing the tortuous temporal tides...

 
???
Intendo il massiccio del Sella, alla confluenza delle valli Badia, Gardena,
Fassa e Cordevole.
"Quello" del Passo Pordoi, se preferisci.
Bye
Norbert at work

Per non intasare il NG con risposte ai singoli
G R A Z I E
a tutti coloro che mi hanno risposto.
Norbert at work

Norbert wrote:

Domanda: una pssw di 8/9 caratteri composta da come dici non è comunque 
difficile da decifrare? Ci vorrebbero molte ore e giorni con uno scanner, 
soprattutto se il collegamento non dura molto. Forse con un collegamento 
permanente si potrebbe scoprire, ma ci vorrebbe molto tempo. 
Ciao. 

 permanente si potrebbe scoprire, ma ci vorrebbe molto tempo.
e chi dice che devi scoprirla subito?
un vero brute force, ti da l'opzione pausa;
che so.. chi cracca le password dei siti, si mette un'oretta ogni sera,
finche' non la trova; il prog. naturalamente memorizza quelle gia'
provate;
oppure organizzi un brute force di gruppo;
una saletta con 5 pc, si dividono i listati delle parole/combinazioni,
e gia hai ridotto il "lavoro" e il tempo di 1/5;
facile no!?
cmq questo e' un gruppo di sicurezza, faccio una domanda;
il povero webmaster che si vede attaccato da un proxy che puo' fare?
ammettiamo che l'attacco sia venuto non da proxy, se si fa cadere la
connessione dell'attaccante si commette reato?
antes

connessione dell'attaccante si commette reato?
Be', sai, su internet un disgraziato incidente a una connessione puo'
sempre accadere.
Per i CGI, qualcosa del tipo
	echo "<!-- "
	while true; do
		echo " "
		sleep 30
	done
o una accidentale attivazione di ipchains in -j DENY dovrebbe fare al
caso.


 caso.
roftl, casualmente...
antes

 roftl, casualmente...
Certo casualmente. Sappiamo quanto sono inaffidabili le linee,
soprattutto della RTC. Quante volte un FTP da 20 mega si resetta per un
timeout, o rimane piantato al 95% per lunghissimi minuti richiedendo
piu' e piu' volte la ritrasmissione di un pacchetto. In entrambi i casi
dei pacchetti sono andati persi o sono arrivati errati.
Ovviamente un acher con esperienza acuisita sarebbe in grado di
dimostrare che e' stato il server remoto a far cadere deliberatamente la
connessione.
****
Acher: "Pronto?"
App.Caputo: "Stazione CC di XXXXXX, chi parla?"
A: "So' Giggi er Cracca, teribbile eccher. Devo dda fa' 'na denuncia.
Zeh."
AC: "Parli pure."
A: "Ieri sera me stavo 'ttaccato all'Internette, ma er sito me buttava
sempre giu' 'a conessione, 'sto anfame, ma ssi 'tte pijo! Zeh!"
AC: "Ma potrebbe essere stato un semplice problema tecnico. So che le
linee spesso sono sovraccariche..."
A: "No, je dico che 'sto anfame 'mpunito ce faceva apposta, zeh. Dia
retta, appunta', cer so io come che gireno le cose a 'sto mondo."
AC: "Ma cosa la fa sospettare che ci fosse dolo da parte del sito?"
A: "Perche' e' 'na settimana che ce sto a prova' a sgamaje la passUord
ma 'sto fijo de mamma sua me fa casca' 'gni vorta. Zeh."
AC: "Ho capito, interverremo subito. Buongiorno e grazie per la
segnalazione."
A: "Grazie a lei appunta'. Me riccomando je dia giu'".
-CLICK-
AC: "Pronto, centrale? C'e' un intervento urgente da fare, credo che la
competenza ce l'abbia la sezione del maresciallo Giraldi."
-- 
Max e la produttivita' in ambiente Windows
SecurFaq             : 
http://members.nbci.com/gouldukat/
Biancorossi Siamo Noi: 
http://www.tifonet.it/free/ancona/

 competenza ce l'abbia la sezione del maresciallo Giraldi."
ROTFL!!
ah ah, Bombolo l'avevo riconosciuto dal "Zeh"
Salutami Giraldi... :))
antes