Newsgroup: it.comp.os.linux.iniziare
Titolo: Sicurezza passwd

Due domande e grazie in anticipo a chi mi da' lumi.
 
Domanda_1. C'e' qualche controindicazione a scegliere per passwd di
tre utenti (della stessa macchina e root escluso) la stessa passwd
uguale per tutti?
 
Domanda_2. Che grado di validita' ha la seguente di 29
- caratteri lower: nelmezzodelcammindinostravita
- oppure meno nota (29 lower): chebellofarlamoreconlombrello
- oppure inventata (28 alpha): sonoandatoaMilanoesontornato
 
rispetto, ad esempio, a quest'altra? di soli 8 ma alnum:
Ag3Wk11z
 
Domanda_3 (mai 2 senza 3). E' pericoloso includere caratteri punct
nella passwd di root?
 
-- 
Yoda
 

 passwd di root?
 
uhm, no perché?

 uhm, no perché?
 
Ho vaghi ricordi d'altri tempi su tastiere che danno codici
differenti. Ad esempio per le cifre io nelle passwd non uso
mai il tastierino numerico; ma si vede che adesso e' cambiato
tutto ciao e grazie
 
-- 
Yoda
 

 nella passwd di root?
Vedi sopra.
 
 
 

 avvisato sul dizionario :-(
 
8 caratteri alfanumerici non sono tanti. però bisogna vedere di cosa si 
parla. se è la login di linux considera che un attacco di forza bruta è 
fortemente mitigato dal fatto che ogni tentativo richiede molti secondi, 
quindi è imho sufficiente. una login web invece ha il problema che, in 
caso di attacco al sito, l'hash potrebbe finire nelle mani sbagliate e lì 
un tool automatico potrebbe lavorarci sopra senza limitazioni. in quei 
casi però è conveniente un password manager e a quel punto tanto vale 
arrivare a 12/15 caratteri casuali, tanto non la devi ne ricordare e ne 
digitare.

 Vedi sopra.
 
Be' la punteggiatura e' la manpagina del comando passwd che la
consiglia esplicitamente, io non l'ho mai usata.
Potresti spiegarmi, anche solo in due parole, la storia dell'accesso
e della cifratura? ciao e grazie
 
-- 
Yoda
 

 8 caratteri alfanumerici non sono tanti. però bisogna vedere di cosa si
-snip-
 
Capit, ciao e grazie!
 
-- 
Yoda
 

 caratteri perche' e' di 7 parole?
 
No, perché di caratteri ce ne sono 26, 52 se aggiungiamo le maiuscole, mentre di
parole in un dizionario ce ne sono, boh, facciamo 10 milioni.
 
Quindi una password di 7 lettere alfabetiche maiuscole e minuscole ha 52^7
combinazioni possibili, quindi circa 10^12. 7 parole a caso da un dizionario di
10^7 parole fanno (10^7)^7 = 10^49 possibili combinazioni. Sono 49-12=37 ORDINI
DI GRANDEZZA di complessità in più.
 
 

 
 
spero che la calcolatrice non impazzisca...
 
primo e secondo caso 26 ^ 29 = 1.082 x 10^41
 
terzo caso 52 ^ 28 = 1.117 x 10^48 (ricerca brute force dieci milioni di 
volte più lunga)
 
quarto caso
26 + 26 + 10 = 62 ^ 8 = 2.183 x 10 ^ 14 (miliardi di miliardi di miliardi 
etc etc di volte MENO lunga)
 
conclusione: password molto lunghe = molto meglio, senza dimenticare 
opportuni "errori" per ingannare i dizionari
 
p.e. Que5tapa5word5embrerebelungaedificilE
-- 
/-\ /\/\ /\/\ /-\ /\/\ /\/\ /-\ T /-\
-=- -=- -=- -=- -=- -=- -=- -=- - -=-
........... [ al lavoro ] ...........

 consiglia esplicitamente, io non l'ho mai usata.
 
La punteggiatura aumenta il numero di caratteri possibili. In altre parole, se
consideriamo i caratteri ascii[1] dal 33 al 126, ossia tutte le maiuscole,
minuscole, numeri e segni di punteggiatura, abbiamo una tavolozza di 94
caratteri. Se componi una password di un solo carattere, ci sono 94 possibili
password. Facile da indovinare. Con due caratteri, 94^2=8.836, ancora pochine.
Con 12 caratteri, 94^12=4,8+10^23. Comincia a diventare complicata da
indovinare, e così via.
Un esempio di quanto la complessità influisca sulla craccabilità:
https://www.komando.com/wp-content/uploads/2021/03/Passwords-chart-970x510.jpg
 
 
[1] 
https://www.asciitable.com/
 

 
 
per il documento delle password siamo sui 34.000 anni, ma se aggiungo un 
carattere diventano due milioni... meglio che vada subito a farlo ;)


 [1] 
https://www.asciitable.com/
 
 
-- 
Yoda
 

 uguale per tutti?
 
Bello questo.
 
Cosi' se uno caccia la sua password d'abitudine su un pc bloccato
che ha tenuto memorizzato l'ultimo utente questo si ritrova
autenticato come l'altro.
E se e' sveglio capisce che puo' entrare come chi gli pare.
Vai cosi!!
 
P.S. stai studiando per qualche concorso in ambito IT per
      la regione Lazio?

Addi' 06 ago 2021 13:48:26, LutherBlissett scrive:

No.. sono sempre e solo io, compreso root, scusa ho dimenticato di
dirlo ciao e grazie
 
-- 
Yoda
 

 
 
 
 
Ma tu pensi veramente che al giorno d'oggi qualcuno si mette a fare brute 
force? I sistemi si violano sfruttando i tanti bug di sicurezza o in altro 
modo, non certo mettendosi a fare brute force, che come qualcun altro ha 
gia' scritto vengono tracciati e segnalati.
 
Per la password utente basta una semplice da sei-otto caratteri 
alfanumerici e già rendi il brute force complesso quel tanto che basta che 
nessuno avrà voglia di provarci.

 Ma tu pensi veramente che al giorno d'oggi qualcuno si mette a fare brute
-snip-
 
No di certo, m'interessava soprattutto la domanda_1, adesso questo
a R2-D2 l'ho chiesto solo per curiosita' ciao e comunque grazie!
 
-- 
Yoda
 


A parte le ottime risposte che ti hanno
gia` dato, devi anche considerare come
sia "esposta" tale password.
 
Un conto e` un sito accessibile a tutti,
un conto e` una LAN protetta da, magari,
due firewall (router + PC).
 
Nel secondo caso, puo` essere che vi siano
molte meno persone con volonta` e capacita`
di forzare tale password.
 
bye,
 
-- 
 
piergiorgio

Addi' 06 ago 2021 17:02:43, Piergiorgio Sartor scrive:

Ti ringrazio per la risposta antiparanoia, pero' la domanda_2 l'ho
fatta per sapermi regolare nella scelta, visto che ho dovuto
cambiare la passwd del router ed allora ho pensato che era tempo
di cambiarle tutte.
 
La 1 invece non ci avevo mai pensato di farle tutte uguali (sono
sempre e solo io tutti gli user e anche root), ho chiesto per vedere
se per caso ci fosse qualche motivo di farle diverse ciao
-- farle tutte uguali tranne root e' molto chic! ;^)
 
-- 
Yoda
 

 -- farle tutte uguali tranne root e' molto chic! ;^)
 
Anche quella di root, tanto cosa ti cambia?
 
Considera il seguente scenario.
 
Supponiamo io sappia che tu 1) puoi diventare
root (con "su", quindi usando la pass di root)
e che 2) io riesca ad avere la tua pass (diversa
da quella di root).
 
Quello che faccio e`:
 
1) entro come te
2) cambio $PATH in modo da metter prima un
folder della $HOME, tipo $HOME/bin
3) metto dentro $HOME/bin un comando "su"
taroccato che mi salva la pass (e login)
da qualche parte
4) aspetto... :-)
 
Immagino che vi siano anche altre possibilita`
piu` convolute...
 
bye,
 
-- 
 
piergiorgio

 puo' sapere neppure che sono solo 3, quindi? ciao
 
banalmente cominciano dalle password più brevi a salire visto che fino a 
4/5 caratteri il tempo è istantaneo. inoltre i lowercase sono i primi 
caratteri provati perché più probabili. quindi è vero, non lo sanno a 
priori che sono solo tre caratteri e solo lowecase, ma quella password la 
scovano ai primissimi tentativi. in altre parole: è vero che le possibili 
combinazioni sono 94^3, ma praticamente dopo 94 * 2 tentativi l'hanno già 
trovata.


dipende di cosa stiamo parlando. prendi il caso delle password sottratte 
ai siti web: in quel caso c'è modo di provare senza nessun disturbo.

 piu` convolute...
 
-- 
Yoda
 

 Io pero' $HOME/bin l'ho messo invece in coda ciao
 
Che e` cosa buona e giusta...
 
bye,
 
-- 
 
piergiorgio

puo` diventare root.
 
Se "Yoda può diventare root" vuol dire "Yoda apre una shell, mette 'su
-' e poi mette la password che sa a memoria, all'attaccante che ha
preso controllo del suo utente manca quel piccolo dettaglio.
 
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

 preso controllo del suo utente manca quel piccolo dettaglio.
 
Dopo avere creato un "su" apposito e messo
disponibile prima del "su" di sistema,
quel "piccolo dettaglio" diventa noto.
 
Lo ho spiegato prima. Leggiti il post precedente.
 
bye,
 
-- 
 
piergiorgio

Lo ho spiegato prima. Leggiti il post precedente.
 
Spiega meglio...
Il "su apposito" gira con l'utente, andrà pure a sbattere i denti
contro qualcosa a livello di diritti?


Addi' 07 ago 2021 10:03:58, Piergiorgio Sartor scrive:

Non mi e' riuscito di spiegarmi: il comando "su" non lo uso, MAI.
Dunque la passwd di root la metto solo a manina quando mi loggo
root, dovrebbe ipnotizzarmi per obbligarmi a batterla per lui.
 
Pero' ho vaghi ricordi di programmi pericolosi perche' suidati root,
ma non con la strada che indichi tu ciao
 
-- 
Yoda
 

 contro qualcosa a livello di diritti?
 
No. Il "su" taroccato non fa altro che dare
un errore, ma nel frattempo ha memorizzato la
password e poi, magari, lancia il "su" vero.
Non servono privilegi per *chiedere* la pass.
 
Questo e` solo uno dei *tantissimi* modi, vi
sono sicuramente altre possibilita`, come ho
gia` scritto, piu` o meno complesse.
 
Ad esempio, supponiamo che l'utente faccia
logout e poi poi torni come root.
 
Da bash, credo con .bash_logout, si puo`
simulare il logout e lanciare un "login"
taroccato che chiede user e pass e continua
come sopra (salva, da errore, continua con
"login" vero).
 
In pratica, se uno puo` accedere ad un account,
poi creare tutta una sessione "virtualizzata",
per cosi`, dire e fare sempre e continuamente
un "man-in-the-middle".
 
Non appena servono privilegi, si ritorna un
errore, ma nel frattempo il danno e` fatto.
 
bye,
 
-- 
 
piergiorgio

 root, dovrebbe ipnotizzarmi per obbligarmi a batterla per lui.
 
Ma tu ti loggi come root sempre e
solo dopo un reboot?
 
Oppure fai un logout e poi login?
 
Quando fai logout e poi il prompt ti chiede
login e pass, come fai a sapere che quel
prompt e` "reale", appartiene al programma
"login" (o chi per esso), oppure e` solo
un "fake" che ti prende user e pass?
 
bye,
 
-- 
 
piergiorgio

 un "fake" che ti prende user e pass?
 
Ma e' un gatto che si mangia la coda, CHI ha potuto manomettere il
comando login? solo all'onnipotente root e' concesso farlo!
 
Io la macchina l'avvio all'antica in console a caratteri, nella GUI
ci vado nel caso dopo col comando startx; e root li' non ci va mai.
Forse tu pensi a quel disastro ecologico del login grafico ciao
 
-- 
Yoda
 

 comando login? solo all'onnipotente root e' concesso farlo!
 
Ma quante volte te lo devo ripetere?
 
Se tu passi da utente a root (e non con
console dedicata) il comando "login" puo`
anche non essere /bin/login, ma $HOME/bin/login.
 
Se tu, invece come sembra, mantieni l'isolamento
tra utente e root, allora le cose vanno meglio.
 
In questo caso, allora va bene avere due pass
diverse (utenti vari e root).
 
bye,
 
-- 
 
piergiorgio

 diverse (utenti vari e root).
 
Ok benissimo, ma tanto a root non l'avrei mai messa uguale.
La mia domanda era se per metterne una sola, uguale per tutti gli
user, ci fosse qualche controindicazione.
Be' mi sembra che tutti mi abbiate detto che non ce ne sono ciao e
grazie ancora
 
-- 
Yoda
 


Ah! Ok.
 


Se sono password a tempo d'inserimento umano basta rendere
esponenziali i tempi di risposta per tentativi ripetuti
a tempo d'inserimento disumani (naturalmente una minima complessità
è comunque da pretendere).
 
Altrimenti si sceglie la complessità spinta, si aggiungonpo
verifiche in due passaggi...a salire.
 
 


questo lo puoi fare se l'attacco brute force viene fatto direttamente alla 
login del sito. ma in quel caso ti difendi facile, hai il controllo, puoi 
anche bloccare l'utente dopo un certo numero di login falliti.
 
il problema è: cosa succede quando la password viene trafugata, come 
purtroppo avviene? in quel caso il malfattore ha in mano l'hash e può fare 
tutti i tentativi che vuole.

 tutti i tentativi che vuole.
 
Forse non ti seguo, se ha la psw entra alla prime e basta
(a meno che non ci sia qualche meccanismoa due passaggi).
 

 tutti i tentativi che vuole.
 
se hai una password decente, il tipo si stufa dopo aver provato un dizionario di password "idiote" tipo 1234, password o simili, a meno che tu non sia una persona molto importante, e allora puo' usare una botnet per un attacco bruteforce, ma per un utente "comune" un simile sbattimento non vale la candela.
Poi si spera che uno nel giro di tre mesi cambi la password, diciamo che perdere un hash non lo considero cosi' grave come avere una password debole.

 non ci sia qualche meccanismoa due passaggi).
 
normalmente le pwd non sono salvate in chiaro quindi chi le ruba si 
ritrova gli hash non le password. non può usarli direttamente però può 
farci un attacco brute force. 

https://www.hdblog.it/sicurezza/articoli/n549084/lastpass-hackerato-violazione-password/
 
 
fosse confermata la notizia, sarebbero dolori.
 
mi hanno consigliato diverse volte bitwarden, ma IMHO e ripeto IMHO un file locale criptato AES e' comunque la soluzione piu' sicura.
certo poi se uno ti buca il pc, ti inserisce un keylogger sei di nuovo panato, ma la vedo molto piu' dura.

 fosse confermata la notizia, sarebbero dolori.
 
beh in realtà non c'è notizia e l'ipotesi fornita da lastpass è 
decisamente la più plausibile.
in questi sistemi la master password non è proprio salvata in nessun modo, 
ergo è impossibile rubarla a loro.
se però usi come master password la stessa password che usi in un altro 
sito, o anche una variante, e questo sito viene bucato, è una cosa che può 
accadere. è stupido, ma fra tutti gli utenti vuoi che non ci sia chi lo 
fa?

 farci un attacco brute force.
 
 
Ok, capito.
 


per un po' di tempo configurai e amministrai un semplice
server sftp esposto su Internet con IP fisso e pubblico.
Mi sembra fosse proftpd.
 
Tutti i giorni, per tutto il tempo che e' stato su
(parliamo di anni), nei suoi log ci trovavo decine, se non
centinaia, di tentativi di accesso brute force.
 
Non sono mai entrati, le password erano ben robuste.
 
Per dire che 'sti script kiddies del belino più che
violare sistemi scaricano dei cosi, scritti da chi invece
ci sa fare, per giocare all'accher. E probabilmente
facendo girare questi tool trovati in rete s'inchiappettano
da soli perchè la vera infezione se la beccano loro.
 

 centinaia, di tentativi di accesso brute force. 
 
diciamo che e' una situazione un po' diversa.
tra latenza della connessione e il ritardo del server nel comunicare che la password e' errata, i tentativi possibili in un tempo ragionevole sono estremamente limitati (diciamo un 1000/2000 all'ora per ogni singolo ip).
avere un hash sul tuo hd, dove lo puoi attaccare di bruteforce con latenze minime, e senza ritardi, vuol dire forse 4 o 5 ordini di grandezza in piu' nel numero di tentativi/ora che puoi fare, nel tempo di "cambio password" calcolato su 120 giorni puoi gia' beccare password non cosi' sceme.
in entrambi i casi lo considero una perdita di tempo. quando hai una password seria e lunga, il lamer in questione si puo' tranquillamente attaccare al ca**o anche avendo a disposizione una sfilza di threadripper a disposizione.

 Non sono mai entrati, le password erano ben robuste.
 
se hai una macchina sul cloud (io ne ho un paio, per balocco) con dei 
servizi well known esposti è normale dopo neanche mezzora che l'hai tirata 
su incominci la baraonda. io la prima cosa che faccio è installare 
fail2ban. va benissimo le password forti ma quando una macchina è esposta 
su internet è buona norma tirar su le mutande di latta. 


Gli altri port su quella interfaccia di rete erano stealth e non
rispondeva a interrogazioni ICMP.
 
La parola "cloud" esisteva solo per indicare quelle in cielo,
ed io la uso tuttora solo cosi'. :-D