Newsgroup: it.comp.os.linux.iniziare
Titolo: [SEMI OT] Mi hanno craccato...

... l'account mail di yahoo.
Penso che sia di nuovo legata a uno dei crack che yahoo si e' beccata in questi anni.
Purtroppo uso quella mail per la registrazione ad alcuni siti, su cui ho password simili a quella yahoo.
il cracker ha gia' fatto dei danni hackerandomi l'account netflix (poca roba, oltretutto l'idiota s'e' fatto beccare subito perche' ha cambiato la mail di registrazione e il telefono, e ho contattato netflix che ha rimesso a posto),.
Stasera mi mettero' di buona voglia a cambiare tutte le password di tutti i siti.
Vi viene in mente qualcos'altro da fare, per evitare ancora danni (a parte buttare alle ortiche quell'account)?


Già che cambi le passwword, mettile tutte completamente diverse per
ogni sito, e usa keepass (io su archlinux uso KeepassXC) per
memorizzarle e inserirle automaticamente nelle maschere di login ;)
 
-- 
Tilt
 


prima di subito direi attivare l'autenticazione a due fattori ovunque 
possibile, in primis la mail (finché non la butti alle ortiche) perché il 
malfattore potrebbe essersi aperto una backdoor per recuperarsi l'account.
 

 malfattore potrebbe essersi aperto una backdoor per recuperarsi l'account.
 
sinceramente non mi fido a lasciare il mio numero di telefono in chiaro su quel colabrodo di yahoo.
una curiosita': come funziona la backdoor del genere? tipo inserire su una mail "furba" l'indirizzo di recupero?

 una mail "furba" l'indirizzo di recupero?
 
più o meno. potrebbe aver impostato un qualche metodo di recupero che 
mette a disposizione il provider, tipo una mail alternativa, un telefono, 
domande segrete, etc... oppure un forward.
 
un account email compromesso è una bella scocciatura. conviene prima di 
tutto chiudere bene la serratura, poi mettersi lì di buona lena a fare 
pulito controllando qualsiasi attività sospetta. con un forward ad 
esempio potrebbe ancora impossessarsi degli account sui siti dove la mail 
è utilizzata. disabilita se possibile anche pop3 e imap. 

 pulito controllando qualsiasi attività sospetta. 
 
gia' ieri sera mi trovo una mail "hai cercato di disicriverti alla mailing list libssh (alla quale io ERO iscritto) ma non sei iscritto". Segno che il figlio di cane e' ancora li' che pasticcia.
Oltretutto il carogna ha pure inserito un'annuncio sul mio account subito (che ho gia' eliminato).
Ieri sera ho controllato tutte le mail (oltre 4000) per vedere su quali siti ero iscritto con quella mail, e ho fatto che accedere a quei siti, cambiare password e, dove possibile, mail.
Per il resto dove possibile chiudero' quegli account, e dove no mandero' mail per richiedere la chiusura.
Sono tutti siti dove non ho lasciato carte di credito (paypal e amazon erano gli unici che avevano le mie carte, ma con password ben diverse), spero che si risolva.
Su paypal ho rimosso la mia carta e, al bisogno, faro' versamenti una tantum.
Il bastardo e' pure entrato su netflix e l'ha rinnovato perche' aveva un collegamento a paypal con rinnovo automatico.
 
Dici che e' meglio anche chiudere la carta di credito e farsene dare una nuova?

 non entri più.
 
E senza smartphone?
 
Voglio, ipoteticamente, tale "app" non
potrebbe girare sullo _stesso_ PC che
si usa per accedere all'account?
 
Posso capire vi siano molteplici ragioni
per cui non sarebbe opportuno, ma sarebbe
piu` pratico sicuramente...
 
bye,
 
-- 
 
piergiorgio


hai voglia, ci sono applicazioni per pc.
 
sul fatto sia più pratico è opinabile. in genere non si può attivare più 
di un dispositivo e averlo sul pc non è proprio il massimo se, ad 
esempio, vuoi accedere da un altro pc.
meglio su un dispositivo che ti porti sempre appresso.

 pasticcia.
 
ci sono anche quelli che usano un indirizzo di email altrui per 
spammare e anche se non lo fanno dall'account originale sui messaggi 
appare l'indirizzo nel campo From
 
a me mandano messaggi apparentemente originati dal mio account dove 
scrivono che lo hanno craccato (è su 
tin.it
), che controllano il mio 
PC, che mi hanno filmato mentre visito siti porno e altre idiozie 
assortite e pretendono di essere pagati in bitcoin
 
ovviamente tutte balle... sono anni che vanno avanti così... da me non 
hanno mai ricevuto e mai riceveranno un cent
 
-- 
bye
!(!1|1)
 

 E senza smartphone?
 
la mia impressione è che siano perfino meno sicuri dei PC... sia 
android che apple per non parlare delle personalizzazioni varie di 
android con vagoni di app proprietarie di dubbia utilità e ancor più 
dubbia sicurezza (e annesse invasioni di privacy)
 
se non fosse per il prezzo stratosferico (per le mie limitate esigenze 
di uso) opterei per un fairphone che almeno dovrebbe avere un android 
senza ulteriori schifezze aggiunte
 
-- 
bye
!(!1|1)
 

 meglio su un dispositivo che ti porti sempre appresso.
 
Che se perdi, pero`, hai due problemi.
 
Non sarei sicuro che *doversi* portare
appresso un dispositivo (anche se
smartphone, che potrebbe essere sempre
appresso) sia piu` pratico.
 
Installo tale SW *solo* sui PC dove mi
interessa usare tale SW.
 
Poi e` chiaro che se tali PC sono *tutti* i
PC, allora forse meglio un token portatile.
 
bye,
 
-- 
 
piergiorgio

 senza ulteriori schifezze aggiunte
 
Puoi sempre installare LineageOS su
molti smartphone.
 
Vi sono anche altri simili...
 
bye,
 
-- 
 
piergiorgio

 molti smartphone.
 
non lo conoscevo... grazie... ora indago :-)
 
-- 
bye
!(!1|1)

 token portatile.
 
beh ne basta 2, il pc di lavoro e quello di casa ad esempio.
 

 meglio su un dispositivo che ti porti sempre appresso.
 
una chiavetta USB 4g potrebbe funzionare come smartphone in tal senso?
app installate in un emulatore android (per esempio posteid, postepay, 
ecc.) su un PC con la chiavetta in questione funzionerebbero come su 
smartphone?
qualcuno ha provato?
 
-- 
bye
!(!1|1)
 

 meglio su un dispositivo che ti porti sempre appresso.
 
Si, ma quale sarebbe allora la differenza
tra questo (dual auth) ed una chiavetta
USB con un password manager e relativo DB?
 
Se perdo la chiavetta USB, in teoria, non
ho problemi dato che il DB e` crittato.
 
Le password sono sicure (generate a caso),
a cosa mi serve il dual auth?
Per evitare che qualcuno mi rubi la password
con un keylogger e poi la usi?
Oppure c'e` un altro scenario che mi sfugge?
 
bye,
 
-- 
 
piergiorgio

 Oppure c'e` un altro scenario che mi sfugge?
 
beh sulla opportunità di una 2fa non credo proprio ci siano dubbi. vedi 
il caso dell'op: intanto se era attiva sulla mail non glie l'avrebbero 
compromessa (in qualsiasi modo abbiano fatto), inoltre tutti quei siti 
collegati alla mail su cui l'avesse attivata non sarebbero stati in 
totale balia del malfattore come purtroppo lo sono.
 


se usi un emulatore non hai bisogno di una chiavetta usb, o meglio una 
connettività vale l'altra.
non ho provato perché lo trovo un esercizio inutile, ma in linea teorica 
la risposta è: dipende. generatori di totp non vedo motivi per cui non 
debbano funzionare, gli esempi che hai citato non ne ho idea.

 totale balia del malfattore come purtroppo lo sono.
 
Di nuovo: perche` dovrebbero essere in balia
di alcuno?
Ogni sito, una password diversa, gestita dal
password manager.
 
Sono sicuro mi sfugge qualcosa...
 
bye,
 
-- 
 
piergiorgio

 Ogni sito, una password diversa, gestita dal password manager.
 
eh. puoi avere anche la pwd più robusta del mondo, ma se si sono presi 
possesso della mail collegata se la possono resettare a piacimento...

 *dopo* che sono state validate le credenziali pricipali.
 
In ogni caso, mi sono letto la documentazione
di "authy" (il link che hai postato).
 
In effetti mi ha convinto, anche perche` io
consideravo un solo caso di dual auth, mentre
sono spiegate tutte le possibili varianti.
 
Quindi, grazie di nuovo del link.
 
Altra domanda, sai niente di qualche SW che
sia presente in un repository di Fedora?
 
Perche` "authy" non c'e` (e vorrei evitare
di installarmelo parallelamente, anche se
possibile).
 
Grazie!
 
bye,
 
-- 
 
piergiorgio

 parallelamente, anche se possibile).
 
authy se non sbaglio è su snap, quindi installabile su fedora. altri che 
siano su repo di fedora su due piedi non so dire.

 siano su repo di fedora su due piedi non so dire.
 
Un'altra cosa...
 
E per qualcosa come "fetchmail"?
 
Cioe`, usando POP3 o IMAP?
In maniera programmatica...
 
bye,
 
-- 
 
piergiorgio


Ah! Ritiro la domanda... :-)
 
Sono stupido io...
 
bye,
 
-- 
 
piergiorgio

 connettività vale l'altra.
 
avevo fatto una ricerca un paio di anni fa e non ricordavo perché non 
era possibile un semplice emulatore
ora ho trovato questo:
 
 > questo tipo di applicazioni usano SafetyNet, una libreria per
 > verificare che il software sta girando su un dispositivo certificato
 > da Google e che non abbia subito manomissioni lato software (root
 > fra tutti). Gli emulatori non sono certificati e di conseguenza non
 > passano il controllo SafetyNet. Quindi, se PosteID non va, l'unica è
 > prenderti uno smartphone.
 
altri però dicono che sono riusciti a far funzionare la app in un 
emulatore...
 
comunque ho già lo smartphone funzionante
vuol dire che lo userò solo per le app di banca, poste e renault senza 
installare niente altro... così dovrei eliminare la maggior parte dei 
rischi..
 
grazie per l'attenzione
 
-- 
bye
!(!1|1)
 

 
https://haveibeenpwned.com/
 
 
Tanto per discutere...
 
Se l'eventualita` piu` concreta e` che
il provider si perde le password, come
si puo` pensare che questi, che non sono
capaci di gestire una tecnologia facile e
vecchia di 50 anni, siano in grado di
gestire 2FA, che e` piu` recente e di gran
lunga piu` complesso?
 
A mio avviso, la differenza fondamentale e`
lo spostamento di responsabilita`'
Dal provider (che altrimenti ha tutta la
colpa), all'utente (che deve prendersi la
briga di usare 2FA).
 
Sempre tanto per discutere...
 
bye,
 
-- 
 
piergiorgio

 il provider si perde le password, come 
 
io mi domando come sia possibile che ci siano ancora dei provider, siti o simili che memorizzano in chiaro le password...


qualcuno c'è, e purtroppo c'è anche tanta gente che usa la stessa 
password. o password simili, per più siti. 
considera che anche quando vengono ciucciate le password hashed chi ha 
una password debole ha il culo alla finestra.
dirai: cavoli suoi. ma per questo dico che bisogna stare con la guardia 
alzata. shit happens.

 alzata. shit happens.
 
Sono pero` situazioni diverse con
responsabilita` diverse.
 
Se affido i miei dati, password od
altro, a qualcuno, mi aspetto che
questi non se li perdano.
Specialmente le password, dato che
esistono, come gia` scritto, metodi
comprovati per evitare / alleviare
il problema.
 
Se mi incarto io, con la password, e`
colpa mia.
 
Detto altrimenti, se lascio le chiavi
dell'auto al posteggiatore, sara` sua
responsabilita` non perdersele.
Se le dimentico io al ristorante, allora
sara` colpa mia.
 
Premesso questo, relativamente al primo
caso mi chiedo (di nuovo) se la dimostrata
incapacita` di assicurare le password non
si possa riflettere su una possibile
incapacita` di gestire 2FA (da parte del
provider, chiaramente).
 
Oppure e` semplicemente uno spostare la
responsabilita`.
 
Come se il posteggiatore dicesse:
 
"Aspetta qui che posteggio e poi ti restituisco
le chiavi."
 
Ti fa perder tempo e ti passa la palla...
 
bye,
 
-- 
 
piergiorgio

 alzata. shit happens.
 
il problema e' che se il tuo provider mail si fa fregare le password, puoi avere le password di registrazione su siti forti quanto vuoi, ma sei fregato lo stesso.
come e' successo a me, il bastardone ha guardato tutti i siti dove ero registrato, e' entrato e ha cliccato "ho dimenticato la password", resettandole. essendo per il 95% siti senza 2pa, il balordo ha cambiato tutte le password senza colpo ferire. 
certo, colpa anche mia che ho continuato a usare yahoo quando sono anni che e' bucato come un groviera.


bah. non mi pare sia questo il punto. la responsabilità non c'entra 
nulla, l'utente attiva la 2fa per proteggere il proprio account e perché, 
in generale, una autenticazione solo username+pwd non è più da 
considerarsi così sicura.

 considerarsi così sicura.
 
Perche` non e` sicura?
Tu mi dici perche` il provider si
perde (puo` perdersi) le password.
 
Allora siccome quello non sa fare
il suo mestiere, noi ci troviamo a
doverci complicarela vita.
 
Ma se non sa fare il suo mestiere
con un tecnologia vecchia di 50
anni ed anche banale, chi si assicura
che lo sappia fare con 2FA?
 
bye,
 
-- 
 
piergiorgio

 sei fregato lo stesso.
 
corretto, ma quando succedono queste cose a parte imprecare e 
(ovviamente) rimediare bisogna imparare la lezione. toccato con mano che 
l'account email è quello più critico bisogna alzarne il livello di 
protezione, sia migrando verso uno migliore che chiudendolo a doppia 
chiave lui per primo.
 

 ed anche banale, chi si assicura che lo sappia fare con 2FA?
 
se ti accontenti di dare la colpa al gestore e personalmente ti senti 
blindato, va benissimo così. non voglio convincere nessuno.

 blindato, va benissimo così. non voglio convincere nessuno.
 
Il punto di partenza era la tua
risposta sul fatto che questo
problema (provider che si perde
le password, cito):
 
è una delle eventualità più concrete:
 
https://haveibeenpwned.com/
 
 
Lo hai scritto tu, non io.
 
Quindi la domanda: se questa e`, secondo
quello che *tu* hai scritto, una delle
eventualita` piu` concrete, vuol dire
che il provider non sa fare il suo lavoro.
 
Chi mi dice che lo sappia fare con 2FA?
 
Non sara` che con 2FA, invece, se ne puo`
semplicemente lavare le mani?
 
Non sto mettendo in discussione la sicurezza
tra i vari metodi, in questo contesto.
 
La sicurezza non c'entra niente, la mia domanda
era sul fatto che il provider, con 2FA, di sicuro
ha _meno_ responsabilita`, senza pero` garantire
maggiore sicurezza (dato che non la garantiva
comunque neanche con le password).
 
bye,
 
-- 
 
piergiorgio

 blindato, va benissimo così. non voglio convincere nessuno.
 
Dimenticavo...
 
Il punto della questione e` proprio
questo: tu si senti blindato con il 2FA?
In base a cosa? Al design?
Anche la gestione delle password e` sicura
in base al design, ma l'implementazione no.
 
Quindi, no, non mi sento blindato con solo
le password, ma neanche con 2FA.
 
Per esempio, per la gestione di un account,
il TOTP andrebbe usato per ogni modifica
(come alcuni effettivamente fanno), non solo
per il login.
 
bye,
 
-- 
 
piergiorgio

 Non sara` che con 2FA, invece, se ne puo` semplicemente lavare le mani?
 
ma perché non se le lavano lo stesso? per caso quelli di yahoo si sono 
assunti la responsabilità di quanto accaduto all'op? 

 2FA?
 
è un secondo livello di sicurezza. non mi sento blindato ma mi sento 
molto più sicuro. sono anche consapevole che pure io sono tutt'altro che 
infallibile e potrei sbagliare, compiere una leggerezza, essere tratto in 
inganno, subire un attacco. tu pensala come vuoi ma i miei account email, 
paypal, amazon o github (per dirne alcuni) col piffero che li lascio 
senza 2fa.

 resettandole. 
 
Non ho letto tutto il thread, e magari dico cose già dette.
 
Questo accade però quando si memorizzano le email sul server senza mai 
cancellarle, quindi l'hacker che entra legge le mail di recupero dei 
vari siti e sa quindi dove andare.
 
Se invece si usa un client email scaricando tutto in locale e 
cancellando dal server le email scaricate (con TB puoi scegliere il 
periodo di conservazione sul server) il ladro non legge nulla o legge 
solo quelle eventualmente presenti in quel limitato periodo.
 
Si viene a perdere la possibilità di sincronizzazione tra dispositivi 
diversi, ma ne guadagni in sicurezza.

 vari siti e sa quindi dove andare
 
non esattamente. se il tipo viene in possesso della mia password, per prima cosa fa dei tentativi su tutti i principali siti su cui si possono spendere soldi.
oppure sta buono un po' di giorni, nel frattempo arrivano un po' di email dalle varie iscrizioni, si scrive tutto, e al momento buono, magari di notte, tira giu' tutto.

 spendere soldi.
 
sì infatti, non è che sia quello il problema.
 
con gmail c'è una feature interessante: la possibilità di avere alias 
impliciti. per esempio se hai l'indirizzo 
ti...@gmail.com
 un indirizzo 
tizio+qu...@gmail.com
 è un alias funzionante. quindi sui siti mi 
registro con un alias e chiunque tenti con l'indirizzo principale 
fallirebbe. 
 
non è da considerarsi una sicurezza però anche un po' sì, perché uno deve 
sapere anche con quale indirizzo mi sono registrato, che non è quello 
principale.