Newsgroup: it.comp.os.win.xp
Titolo: Gravissima falla di sicurezza in Firefox 2.0 che permette ad un sito di rubare le password salvate

E' stata scoperta una gravissima falla di sicurezza in Firefox 2.0 che
permette ad un sito web di rubare le vostre password che avete salvato.
Qui c'è un test dimostrativo:
https://bugzilla.mozilla.org/attachment.cgi?id=245426
Dovete inserire in real name e in real password un nome ed una password
che vi pare (per es. name=pippo e password=pluto), poi clickate sul
pulsante real form. Quando Firefox 2.0 vi chiede se volete salvare la
password rispondete di si in modo che il nome utente e la password per
il sito 
bugzilla.mozilla.org
 venga salvato. A questo punto si aprirà
una nuova pagina; quindi tornate indietro nella pagina di prima e
noterete che il nome utente e la password è stata automaticamente
inserita nel fake form, infine premete sul pulsante fake form e vi si
aprirà una nuova pagina sul sito maligno d'esempio 
evil.mozilla.com
che vi mostra come sia riuscito a rubare il vostro nome utente e
password del sito 
bugzilla.mozilla.org
 al sito 
evil.mozilla.com
;
compare il nuovo url
http://evil.mozilla.com/stealpassword?name=pippo&password=pluto
Meditate gente... Meditate...
Saluti da P4
http://p4werterxyz.spaces.live.com/

 
non c'è che dire, la chiarezza è il tuo forte....
cmq dimenticavo:
Grazie.

 Grazie.
Quoto.

 Meditate gente... Meditate...
Mah, ancora non capisco cosa vi sia da meditare.
Stiamo invece ancora tutti aspettando con ansia le tue segnalazioni
sulle recenti falle di IE7 ed il post di Navigatore che ti rimprovera
per aver parlato di Firefox su icowx.
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 che avete salvato.
 Cut
Ho gia meditato!!
Intanto che fare? devo cancellare tutte le password?
--  
Postato da Virgilio Newsgroup: scopri i nuovi gruppi 
Eros, foto e video a 
http://newsgroup.eros.virgilio.it


invece di leggere e fidarti del commento scritto probabilmente da un 
Firefoxiano frustrato, prova tu stesso e vedrai che IE non č affatto 
vulnerabile, perchč non ha l'autocompletamento dell'utente (come fra l'altro 
ha giŕ detto P4 su it.comp.sicurezza.varie). 

 Si prega di notare il commento n.3.
questo è dovuto ad una falla nel cervello di p4/pastrono.....dopo il
secondo post non sa più con che nick posta e fa confusione......il pirla!!
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 
Quoto.

pastrono ha scritto:

Grazie.

 secondo post non sa più con che nick posta e fa confusione......il pirla!!
non sono p4.

 Si prega di notare il commento n.3.
cmq io ho notato il gestore delle password di firefox è una vergogna....cioè 
sono tutte in chiaro!!!!!!!
-- 
-------------------------------
SimBus82 --> 
www.simbus82.altervista.org
 --> Hi-Tech Content Inside
-------------------------------

 sono tutte in chiaro!!!!!!!
Se non imposti una master password sono oscurate, se imposti una master
password sono crittografate.
Se non imposti una master password saresti anche da definire pirla, in
ogni caso non sono in chiaro.


 
Ciao :-)
mi spieghi il concetto di master password, forse sono un pirla :-)
-- 
Pino ( vecchio e disincantato )
Non c'č nulla di cosě umiliante come vedere gli sciocchi riuscire nelle 
imprese in cui noi siamo falliti. (Flaubert)

 Intanto che fare? devo cancellare tutte le password?
t
Semplicemente mandare una email al demente che ha iniziato il thread, con un
subject tipo "coglione" o simili.

 vergogna....cioè sono tutte in chiaro!!!!!!!
Sarebero "tutte in chiaro" perchè il software ti da la possibilità di 
vederle?
Se non fossero riportabili in chiaro sarebbero inutilizzabili, visto 
che non potrebbero essere passate ai siti che ne hanno necessità.
Vuoi vedere, in chiaro, le password di internet explorer 6?
Accomodati:
http://www.nirsoft.net/utils/pspv.html
Ti servono anche quelle di ie7? Eccole:
http://www.nirsoft.net/utils/internet_explorer_password.html
Se sono comunque riportabili in chiaro allora dare la possibilità di 
vederle è una feature, non una vergogna.
FireFox ti da la possibilità di proteggere questa funzionalità con una 
master password.

 
A quel stato del BUG non è un commento di un firefoxiano  frustrato, 
anche IE7 è vulnerabile agli attacchi tramite  RCSR e nello caso 
specifico di Myspace avrebbero fregato anche IE perchè se l'utente 
completa il form le password vengono passate all'hacker trovandosi sullo 
stesso dominio.
Microsoft però non rende pubbliche le discussioni a riguardo e non 
compila pagine su cui testare le vulnerabilità.
Firefox avendo l'autocompletamento dei form aggrava la pericolosità del 
BUG in quanto si può nascondere il form con un'immagine e quando si 
clicca sull'immagine  i dati vengono passati senza che l'utente se ne 
accorga.
Soluzioni:
Strumenti -> Opzioni -> Sicurezza e togliere la spunta da "ricorda le 
password"
oppure usare password manager timeout che vi avverte ogni volta che 
vengono passati dati sensibili con un prompt (quindi anche se attivati 
tramite un click su una foto).
Nel caso di Myspace questa seconda soluzione non servirebbe perchè il 
form sembrava identico all'originale e l'utente darebbe il consenso 
convinto di completare il form autentico.
Ciao
-- 
Il mio Blog - 
http://www.gialloporpora.altervista.org/Blog
* Faq di /it-alt.comp.software.mozilla/: 
http://snipurl.com/mozfaq

 ogni caso non sono in chiaro.
come vedi il nostro caro FIREFOX di DEFAULT non ti fa impostare un bel 
cazzo..
quindi l'utente PIRLA non va a smanettare nelle impostazioni di sicurezza 
perchč IN TEORIA un programma dovrebbe essere sicuro DI DEFAULT!
quindi....stavolta girati a 180° e guarda il muro....asino!


 Accomodati:
cazzo me ne potrebbe fregare scusa delle password di ie7 e ie6??!??!
tanto io non le ho mai e poi mai fatte "ricordare" (rotfl...ricordare) a 
nessun browser....


 delle password di ie7 e ie6
Non mi sembri molto lucido.
Non è questione delle "password di ie6 e ie7"
Se salvi delle password che dovrai utilizzare per
autenticarti su dei siti *necessariamente* queste
dovranno essere in qualche modo riportabili in
chiaro. Quindi dovranno essere salvate:
(a) direttamente in chiaro
(b) offuscate con un algoritmo comunque reversibile
(c) criptate con chiave simmetrica
Con ie6 e ie7 le password sono facilmente riportabili
in chiaro coi tool che ti ho indicato: dunque (a) o (b)
Con firefox se vuoi puoi criptarle usando una master
password: dunque eventualmente anche (c).
Come vedi non è che ti convenga molto dar dell'asino
a destra e a manca quando non sai nemmeno di cosa
parli...

 Quoto.
??????????


 tramite un click su una foto).
E chi non lo usa merita questo ed altro.


 mi spieghi il concetto di master password, forse sono un pirla :-)
Edit -> Preferences -> Security -> Use a master password.
A differenza di IE, Firefox consente di memorizzare tutte le password ma
di proteggerle con una master password.
Quando su un sito FF esegue l'autocompletamento richiederą quindi la
master password e se questa č corretta compilerą i campi del form.
Inoltre cosģ non vi sono password in chiaro o solo oscurate sul disco.


 quindi....stavolta girati a 180° e guarda il muro....asino!
Hai chiaro il concetto di oscuramento?
Hai presente come fa IE a memorizzare le password?
Ecco, sono + o - la stessa cosa, con la differenza che in FF *puoi*
rendere il discorso + sicuro crittografando invece che oscurando.
Se sei capace di trovare un solo username o password in chiaro nel
profilo di firefox ti diamo il nobel per la fantasia.
Le informazioni *oscurate* sono nel file signons.txt
Ora piegati a 90° e raccogli la saponetta...


 secondo post non sa più con che nick posta e fa confusione......il pirla!!
Ancmatrix ha scritto:
che se sembra assurdo il loro IP è diverso. Dunque, in teoria, sono due 
"persone" distinte!!
Costantino

Co$t@ntino ha scritto:

SIAMO due persone, grazie a dio, ben diverse.... lui è un grande esperto,
ingegnere informatico, obiettivo, mai fazioso, simpatico e competente, io
sono solo un povero linuxiano=comunista=mangiabambini che rompo le balle a p4.
cercate su google gruppi, è meglio....

 
e quindi ciò dimostra che firefox, sotto questo aspetto, _può_ essere più
sicuro di ie7....
cmq non salverei mai le password nè in ff nè in exploder

 ma di proteggerle con una master password.
Come no? :-)
Su richiesta può farlo anche IE. In "Contenuto/Completamento automatico" 
trovi l'opzione:
Specifica se si desidera che venga chiesto di salvare una password 
quando viene utilizzata in una pagina Web. Quando si digita un nome 
utente già utilizzato, se la password era stata salvata, verrà inserita 
automaticamente.
Se questa casella è deselezionata, nessuna nuova password verrà 
memorizzata e sarà necessario digitare ogni volta nome utente e 
password.
Nota  Per motivi di protezione, la password non è visibile e nella 
casella vengono visualizzati asterischi (*) al posto dei caratteri 
digitati.
-- 
    * b *
  *   y   *
*   Piero   *
[ /carpe diem/ ] 

 cercate su google gruppi, è meglio....
http://groups.google.it/group/it.comp.os.win.xp/browse_thread/thread/90ff49d239c7a9fc/2d3cc375daed1ea5?lnk=st&q=P4+werterxyz+ingegnere&rnum=1#2d3cc375daed1ea5
LOOOOOOOOOOOOOOOOOOOOOOOOOOOOOOOOLLLLLLLLLLLLLL

 cmq non salverei mai le password nè in ff nè in exploder
E perché no? Non di certo quelle della banca o di Paypal, ma tutte
quelle dei 10000 siti cui ti registri? Meglio averle tutte diverse
(magari generate casualmente e di minimo 10 caratteri) e salvate
crittografate con Master Password che non averle salvate da nessuna
parte ma averle tutte uguali per non scordarsele.


> Allora scusa ma perchè ti quoti da solo?
E' uno dei tanti sfottimenti per peppe4.
Peppino4 ha creato diversi alias che utilizza per darsi man forte da solo. Un tipico suo post è questo:
Scoperta falla xxx su Firefox
E c'è gente che ancora sostiene che IE sia meno sicuro
Meditate gente, meditate
Saluti da peppe4
A questo punto utilizza uno dei suoi alias (i primi che mi vengono in mente sono Marco, Marchetto, Magilvia, Carogna etc, ma ce ne sono a decine) per autorispondersi, di solito con frasette semplici, tipo:
Quoto
Ecco spiegato l'arcano

 parte ma averle tutte uguali per non scordarsele.
Riciao.
Mi spieghi il procedimento per generarle casualmente??
E per cambiare "quella" che ho gia' e' possibile farlo in automatico o 
devo andare sui siti, uno per uno e variarla??
Ma poi, la Password principale e' sicura???
Grazie.


 Ma poi, la Password principale e' sicura???
Sì

 
C'è un'estensione di firefox fatta per questo
-- 
Scream - SORRIDI! :) Domani sarà peggio...

 cmq non salverei mai le password nè in ff nè in exploder
Dipende dal contesto.
Per il forum di gattologia che richiede la registazione
o per il trash-account che usi per quel tipo di
registrazioni puoi tranquillamente permetterti di salvare
la password, posto che non usi la stessa dell'home
banking...

Dimio ha scritto:

Infatti.

 C'č un'estensione di firefox fatta per questo
Ringrazio entrambi :-)
Ma tu, visto che hai fatto trenta, fai trentuno e dammi il link!! :-)


 Ma tu, visto che hai fatto trenta, fai trentuno e dammi il link!! :-)
https://addons.mozilla.org/firefox/135/
 ? ;-)
-- 
Vincenzo Di Russo
Microsoft® MVP - Most Valuable Professional
Windows - Internet Explorer since 2003
My home: 
http://mvp.support.microsoft.com/
My Blog:  
http://blogs.dotnethell.it/vincent/

 
https://addons.mozilla.org/firefox/135/
 ? ;-)
http://www.extenzilla.org/show_ext.php?id=371


 
-- 
Emanuele Torrenti
Registered Linux User #409659

 digitati.
Accidenti, che protezione!!!!
Addirittura gli asterischi!!!
Stavi facendo ironia, vero?

 Addirittura gli asterischi!!!
Pensa che all'avvento di nomoresecret (o un nome simile) che ti
"deasteriscava" le password salvate, io feci impazzire un amico,
che si vantava di poter leggere la password.
Resto' per mezz'ora a bestemmiare sul programmino che sulla mia
macchina non ne voleva sapere di funzionare.
Non funzionava perche' gli avevo memorizzato una  password composta solo
da asterischi.
Lui ci passava sopra, e non vedeva cambiamenti.
Se ne e' andato avvilito.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 
Grazie mille :-)
Peccato che per la 2.0 non sia compatibile :-(


 Peccato che per la 2.0 non sia compatibile :-(
Perchè c'è il trucco...
Scarica l'estensione sul desktop e cambia l'estensione in .zip anzichè .xpi
apri il file install.rdf con un blocco note e cambia 
<em:maxVersion>1.5</em:maxVersion> in <em:maxVersion>3.0</em:maxVersion>
Salva, chiudi il file e rizippa (se avevi dezippato) quindi riporti 
l'estensione da .zip a .xpi
Apri Firefox, Strumenti componenti aggiuntivi e trascini il file .xpi 
nella finestra per l'installazione del componente.
Good Password


 Ma poi, la Password principale e' sicura???
Ricordati la legge della catena: una catena fatta di quanti anelli vuoi
è tanto resistente quanto l'anello più debole.
Quindi la master password è sicura se la scegli sicura e tutte le altre
password sono al sicuro tanto quanto è sicura la master password che le
protegge.
Una password, al giorno d'oggi, non può essere considerata sicura se non
è almeno alfanumerica di 12 caratteri.
Considera che una password di 8 caratteri, composta da un set dei soli
caratteri digitabili sulla tastiera (+ o - 100 caratteri) la trovi senza
grossi problemi in circa un giorno con brute force, ma usando delle
rainbow table possono diventare pochi secondi.
Già una password di 12 lettere minuscole richiede 9 volte più tempo
rispetto agli 8 caratteri casuali di prima; se aggiungi anche le
maiuscole il divario sale a 39087 volte e se includi anche i numeri
(quindi 62 simboli totali) arrivi a 322626 volte più combinazioni, senza
contare che ad oggi non ci sono in giro rainbow table create sui 12
caratteri (AFAIK).
Se poi passi a 15 caratteri il divario diventa 76.890.970.494 volte più
combinazioni degli 8 caratteri, ovvero con brute force statisticamente
non la becchi e non puoi nemmeno creare rainbow table perché non
basterebbe probabilmente tutto lo storage sulla faccia della terra per
ospitarle.


 Stavi facendo ironia, vero?
Nemmeno per sogno!
Quello che ho riportato (e che tu hai quotato) è solo il testo 
dell'help.
Del mio post devi considerare solo:
« Come no? :-)
Su richiesta può farlo anche IE. In "Contenuto/Completamento automatico" 
trovi l'opzione: »


 Perchč c'č il trucco...
Domani ci provo.
Grazie.


 ospitarle.
Rigrazie :-)
-- 
Pino ( vecchio e disincantato )
Non c'è nulla di così umiliante come vedere gli sciocchi riuscire nelle 


 « Come no? :-)
Era l'unica parte che non avevo letto :-)