Newsgroup: it.sport.calcio.milan
Titolo: -OT- Password sicure

Per chi se ne intende, probabilmente sono banalità, ma per uno come me 
che non aveva idea di come facessero a beccare una password, 
l'intervista è interessante.
E il tizio è esteticamente inquietante.
 
Un hacker ci ha spiegato come creare una password a prova di bomba
 
https://motherboard.vice.com/it/article/xwzxn3/un-hacker-ci-ha-spiegato-come-creare-una-password-sicura
 
 
Sulla sicurezza delle password girano molti falsi miti. Un hacker che 
ha piratato Facebook, CIA e FBI ci ha spiegato come fare.
 
Tra i numerosi miti a proposito delle regole per creare una buona 
password circolano spesso informazioni infondate. Per questo abbiamo 
chiesto a uno che se ne intende abbastanza, visto che ha già hackerato 
la CIA, l'FBI e gli Hells Angels.
 
Per Matthias violare password è un'attività routinaria. L'hacker di 28 
anni, conosciuto con lo pseudonimo di "unnex" domina tutti gli arcani 
dei computer e dei sistemi informatici da anni. Il suo palma res è a 
dir poco spettacolare: Facebook, Paypal, Interpol, NSA, CIA, FBI, 
Bundeswehr e Hells Angels, ha messo tutti in ginocchio picchiando come 
un pazzo sulla sua tastiera grande quanto l'organo di una chiesa.
 
Eppure, la minaccia degli hacker non è appannaggio delle grandi 
istituzioni e gli utenti lambda dovrebbero conoscere i principi di base 
delle best practice in materia di sicurezza informatica. Raramente è 
così. Oggi hackerare un account facebook, un account di posta 
elettronica o un conto online non è così difficile, come provano gli 
articoli che postiamo regolarmente qui su Motherboard. Ovviamente è 
importante che il grande pubblico impari a utilizzare delle password 
sicure. Se non sarà così, la riservatezza delle informazioni personali 
di tutti sarà compromessa.
 
La maggior parte delle password che utilizziamo tutti i giorni sono 
degli inviti a essere hackerati. In Germania, per esempio, la password 
più utilizzata da svariati anni è "Hello", seguita da "password" e 
"hello123", il che dimostra a che punto sia terribile la mancanza di 
un'educazione in questo senso. Molti utenti si prendono la licenza 
poetica con dei meravigliosi "iloveyou" o "vivaipony", nascondendo 
dietro un velo di candore la loro relazione naif con la tecnologia.
 
Ma adesso è il tempo di ascoltare l'esperto. Matthias Ungethuem ci ha 
spiegato come costruire una password a prova di bomba, e ha 
destrutturato tutti i miti che circolano in proposito.
 
Motherboard: Quante password hai craccato nella vita?
Matthias Ungethuem: Difficile da dire. Un numero molto grande. Che si 
tratti di lavoro o di attività personali, passo praticamente le mie 
giornate a violare password. Sono esperto in test di sicurezza e 
verifico costantemente la stabilità di database privati.
 
Quali sono i più grandi miti sulle password ritenute "solide"?
Ce ne sono tre, principalmente. Da una parte ci sono degli utenti 
convinti di non essere bersaglio di hacking, e non si prendono la briga 
di inventare delle password leggermente elaborate. Inutile dire che 
fanno un sacco di cazzate. Gli attacchi, generalmente, sono orientati 
verso grossi siti web, non verso persone specifiche. Una volta che 
l'attacco è riuscito, gli hacker attaccheranno gli account in massa, 
senza pietà. Non decideranno di salvare l'uno o l'altro con cura dopo 
aver esaminato i dati.
 
Secondo mito: bisogna cambiare molto frequentemente le password di 
tutti i propri account. No, non è così automatico. Modificare 
costantemente le proprie password può essere un segno di incertezza. 
Alcune aziende chiedono ai loro dipendenti di modificare la password 
dell'intranet una volta a settimana, il che sarebbe una buona idea se 
solo tutti avessero una memoria d'elefante. Questo fatto in realtà 
spinge molti impiegati a scrivere le proprie password su un foglio di 
carta che lasciano bene in vista sulla scrivania. La tastiera diventa 
l'equivalente dello zerbino sotto cui si nascondono le chiavi di casa. 
Lo fanno tutti, è super-pericoloso e anche stupido.
 
E il terzo mito?
Questo è senza dubbio il più pericoloso: alcune persone pensano che 
concepire una password sensata, o generata secondo certe regole (un 
algoritmo semplice, per esempio) è un'ottima idea. Invece no. Se lo 
fate, fate un regalo enorme agli hacker, perché il principio basilare 
del cracking è trovare una coerenza interna. Più la struttura della 
password è logica, più è facile craccarla, più si è vulnerabili.
 
Ma come fa un hacker a sapere secondo quali regole io compongo la mia 
password? Le possibilità sono infinite.
In realtà no, la varietà dei sistemi utilizzati dalle persone è 
piuttosto ridotta. Le possibilità di trovare un sistema iper-originale, 
unico, è davvero remota. Da parte loro, gli hacker utilizzano quelle 
che chiamano "liste del dizionario": le liste di parole che contengono 
degli enormi archivi lessicali, delle espressioni idiomatiche, delle 
liste di nomi e delle password ibride. Una password ibrida è una 
password composta da numerose parti, di cui alcune hanno un senso e 
altre no, è il tipo di password più utilizzato. MarkusX1 per esempio, o 
qwerty493. La maggior parte delle password è costruita così, e non sono 
per niente robuste.
 
Da dove inizi per craccare una password?
In genere utilizzo una scheda grafica molto potente, come la Radeon RX 
580 Gaming X 8G di MSI. Costa circa 300 euro. Uno degli algoritmi 
migliori per le password è SHA1. La scheda grafica crea circa 4,3 
miliardi di opzioni cifrate da SHA1 al secondo. L'esempio qui sopra, 
"MarkusX1" sarà craccata in 14 ore circa.
 
Bisogna distinguere tra le password a cui si accede tentando di 
connettersi all'account via interfaccia e le password frammentate che 
si tenta di violare. Quando si cerca di volare una password frammentata 
si può lasciar lavorare la macchina da sola, senza bisogno di 
connessione internet. Se volete craccare un account Facebook il vostro 
successo dipenderà in parte dalla velocità della vostra connessione 
internet.
 
Ok. Allora qual è il segreto di una password ottimale?
Deve essere di 16 caratteri, di cui caratteri speciali, numeri, 
maiuscole e minuscole. Non deve avere senso né essere composta in 
maniera algoritmica. Poi non deve mai essere trasmessa in chiaro senza 
cifratura, né essere digitata su un sito non sicuro (privo del 
protocollo https, per esempio). Infine, non bisogna mai scriverla, deve 
restare nella vostra testa.
 
Quando si rispettano queste regole alla lettera, si è davvero tutelati? 
Voglio dire, se si ha un sistema capace di lanciare 4,3 miliardi di 
attacchi al secondo, nessuna password memorizzabile sarà mai ababstanza 
lunga e solida per tenere il colpo.
Puoi valutare la robustezza della tua password da solo. Basta prendere 
il numero di caratteri possibili e fattorizzarli con la lunghezza della 
password. Per esempio, "password" contiene solo lettere dell'alfabeto, 
e il numero di caratteri possibili è 26. Fai 26 per 8 (il numero di 
caratteri) e hai 208 miliardi di combinazioni possibili. Se aggiungi i 
maiuscoli, arrivi a 52 caratteri possibili (da a a z, e da A a Z). 
"PassWoRd" contiene dunque 52 possibilità per 8, che fa 53 milioni di 
combo possibili.
Basta paragonare i numeri ottenuti con le performance della tua 
attrezzatura. La mia carta grafica produce 4,3 miliardi di attacchi al 
secondo, il che mi permette di craccare la parola "password" in 48 
secondi. Per "PassWord" mi servono circa tre ore. Più il numero di 
caratteri possibili (minuscoli, maiuscoli, numeri, caratteri speciali) 
è elevato, e più la password è lunga più le possibilità aumentano, e 
chi attacca impiegherà più tempo per craccare la password.
 
In pratica non esistono password totalmente sicure, solo password che 
resistono più a lungo.
Esatto.
 
Un trucco può essere pensare a una frase facile da memorizzare, e poi 
creare una password che parta dalla prima lettera di ogni parola, 
lasciando anche i numeri. Per esempio "L'1 gennaio 20$$, le macchine 
prenderanno il controllo della terra", che fa L1g2$$LMPICDT. Tu che ne 
pensi?
Se la password ha un senso, sia a livello logico che di contenuto, ed è 
un grosso problema. Non sono il primo e nemmeno l'ultimo a utilizzare 
le liste di password complesse per generare questo tipo di codice. Di 
solito, funziona.
 
Recentemente c'è una nuova moda: smetterla di pensare in termini di 
password e inventare una frase segreta, ovvero una sequenza di parole 
apparentemente non legate tra loro ma di cui è possibile ricordarsi 
grazie alla mnemotecnica. Tipo: "Rozana Mars Gesù Karate". Le frasi 
segrete sono molto più lunghe di una password classica e ci vuole molto 
più tempo per craccarle. Che dici?
Mi sembra ancora peggio del metodo precedente; è molto facile creare 
una lista di parole che permettano di scoprire questo tipo di frasi 
segrete, soprattutto quando un po' di hacker si associano mettendole in 
comune.
 
Siamo realisti, nessuno può ricordare password da 15 parole complesse 
differenti. Cosa pensi dei database di gestione delle password?
La centralizzazione delle password non mi disturba per principio. Ma 
quando la chiave principale del database viene craccata, sei fottuto. 
Chi attacca ha accesso alla totalità delle password, per lui è una 
festa, piange di gioia. Anche se ci hai messo tutta la creatività del 
mondo, non servirà a niente. Si tratta di una soluzione estremamente 
rischiosa, secondo me. Metti tutte le uova nello stesso paniere, la tua 
password principale deve essere più complessa della complessità stessa.
 
E anche l'autenticazione a due fattori è una cazzata?
Sì. Dipende tutto dalla natura del secondo fattore: può essere 
attaccato in parallelo. Un sms per esempio può essere intercettato, se 
l'hacker ne ha voglia.
 
Mi sto deprimendo. Quindi non esiste nessuna regola che possa 
trasformare una sequenza di caratteri memorizzabile in una password 
solida?
No, è un approccio sbagliato. La password non deve essere basata su 
nessun motivo ricorrente, nessuna regola logica. L'uomo sarà sempre 
meno dotato della macchina. Dai non ti deprimere, basta memorizzare. 
Non è niente di inumano. L'ultimo consiglio che posso dare è di 
utilizzare la tastiera nella sua totalità. Prendi dei caratteri a 
destra o a sinistra, ma anche al centro, ancora meglio se usi anche i 
caratteri delle altre lingue, come quelli cirillici o ebraici. Questa 
cosa fa veramente strippare gli hacker.
 
Ti faccio un esempio di una password che segue tutte queste 
raccomandazioni: ß@h/9#02'+a!(DkÄ. Quanto tempo ci vuole per 
hackerarla?
Così a naso ci sono 37 combinazioni possibili a 10^30, ovvero un numero 
a 32 cifre. Con la mia attrezzatura un hacker avrebbe bisogno di 273 
miliardi di anni per craccarla. Direi una buona password.
 
Grazie Mathias. Ricapitolando: serve una password di 16 caratteri tra 
cui quelli speciali, le maiuscole, le minuscole, i numeri; le password 
non devono seguire alcuna logica ed essere totalmente destrutturate. Ma 
se le scrivete da qualche parte in chiaro o la mettete su un sito non 
sicuro, tutto questo non serve a niente.

che non aveva idea di come facessero a beccare una password, 
 
Se lo pubblicavi prima magari Gigio non metteva "MinoRaiola" come pw al suo
account

Tutto verissimo e alcuni siti ti costringono ad usare numeri maiuscole e caratteri speciali...
Pero diciamoci la verità, se mi devono hackerare il login ad un forum del cazzo, sinceramente non me ne po fregare di meno... 
quindi tutto ciò ha senso per password del mio account banca e poco più.
 
Sicuramente non è un problema banale quando ci dimentichiamo una pass perché ci costringono a mettere cose che non volgiamo mettere...
Andassero a fanculo gli hacker e tutte ste stronzate...
Non si può ucciderli, molto più semplicemente?

 interessante.
 
 
secondo me, dal punto di vista divulgativo, c'è un passaggio che va 
spiegato, altrimenti non si capisce niente.
 
Quando si parla di fare 4 miliardi di tentativi al secondo, non è che 
l'hacker si collega col sito di facebook (o di fineco, o di chi 
volete...) e può fare questo sproposito di tentativi di accesso.
 
Ovviamente la rete non è abbastanza veloce, e ancora più ovviamente 
dopo 4 o 5 tentativi l'account viene bloccato, altro che 4 miliardi al 
secondo.
 
Per fare tutti quei tentativi, l'hacker deve prima introdursi nel 
sistema e scaricarsi il file che contiene le password criptate. Solo a 
quel punto, avendo il file sul suo computer, può procedere con i 
tentativi.
 
Quindi: una cosa è la password "qwerty1234" che si può provare ad 
indovinare al volo, un'altra cosa è "$i,spdctcit6mdm", fatta con le 
iniziali di "$umma infame, sei peggio di collovati tu con i tuoi 6 
milioni di merda"
 
Il super hackerone sarà anche capace di trovarla perché è basata su uno 
schema, però prima deve violare il server, e poi deve dedicare 
parecchio tempo *a ciascuna* delle password da decifrare.
 
Infine, dal punto di vista della mnemotecnica, la distinzione che fanno 
è senza senso. Le tecniche di memorizzazione si basano proprio sul 
fatto di costruire una storia o una immagine a partire da una sequenza 
casuale di simboli. Per qualunque password si può, a posteriori, 
inventare un algoritmo per ricordarla.
 
-- 
El fútbol es uno de los mayores crímenes de Inglaterra.

 E il tizio è esteticamente inquietante.
 
Moltissimo

 E il tizio è esteticamente inquietante.
 
Moss e Roy avevano detto esplicitamente a Jen di non aprire quella 
cazzo di porta rossa ....
 
-- 
\     /
 O o
 =.=


LOL in effetti la somiglianza c'è     
https://vignette2.wikia.nocookie.net/offandonagain/images/9/99/Staring_richmond.jpg/revision/latest?cb=20091117145031
 

 ...non aveva idea di come facessero a beccare una password....
 
facile:
juvemerda
intermerda
fioremerda
ecc
Hai già beccato il 50% delle pass
 
-- 
"Sepolto qualcuno oggi?"
"Rapinato treno"
 

 tentativi
 
 cioè anche io non ho difficoltà a capire che un hacker non si mette lì a fare diversi tentativi di accesso su un sito con un account altrimenti dipo pochi tentativi sarebbe disattivato
però non ho capito cosa intendi tu quando dici "deve prima introdursi nel  sistema e scaricarsi il file che contiene le password criptate. Solo a 


 password criptate. Solo a  quel punto, avendo il file sul suo computer"
 
Penso che tu debba avere prima una emulazione del software di acesso 
del server che vuoi craccare e della banca dati "password" sottostante 
contenuta nel server stesso. Poi puoi fare mille prove, trovare le 
password dei singoli account e quindi introdurti su quelli.


 password criptate. Solo a  quel punto, avendo il file sul suo computer"
 
quando ti iscrivi ad un servizio (diciamo: una webmail) e scegli una 
password, questa deve ovviamente essere memorizzata sul server, per 
poter controllare se, quando fai login, metti la password giusta.
 
tantissimi anni fa le password venivano memorizzate in chiaro, in un 
file di testo semplicissimo del tipo:
 
Panelli   AmoBice
JorgeLuis AmoShakira
gaelvis   AmoINecri
 
ecc. ecc.
 
chiaramente chi ha accesso a quel computer fa il bello e il cattivo 
tempo. Già da tantissimi anni, quindi, quel file viene gestito 
criptando le password, e si presenta come:
 
Panelli   sj';ww24i232sfsnfkjsnf
JorgeLuis anwe23n2s's\95'4]]44ff
gaelvis   amd0093le\\@$%8uodl;22
 
chi legge il file, per sapere la password, deve decrittarlo. Si tratta 
di chiavi asimmetriche per cui, se si conosce la password, è immediato 
trovare la forma criptata, mentre il contrario non è possibile.
Procedendo per tentativi, l'hacker prova tutte le password finché 
scopre quella che genera sj';ww24i232sfsnfkjsnf, a quel punto sa che la 
tua password è AmoBice.



 
Mi stai dicendo che quelli dei film non sono veri hackers?!?!?!?!?!?!

 Mi stai dicendo che quelli dei film non sono veri hackers?!?!?!?!?!?!
 
No, sono anch'esse esseri umani nati in capsula che vivono una vita 
virtuale tramite imput nel cervello di una simulazione neuronale 
chiamata Matrix che altro non è che un software. All'interno della 
simulazione loro credono di essere hackers ma in realtà sono loro a 
vivere hackerati in pratica.
 
NO, non ho molto lavoro sulla scrivania in questo momento, sono in 
ufficio giusto per far credere alle maestranze che il capo è presente e 
onniscente.


 possibilità per 8, che fa 53 milioni di combo possibili.
 
Nota: Per fare l'Hacker non serve conoscere la matematica :D :D :D
 
 

 tua password è AmoBice.
 
Fin qui mi è tutto chiaro.
Quello che mi sfugge però è: come fa a sapere che la pwd è AmoBice e non Am0B!c3, per dire?
A priori non lo sa, quindi comunque deve tentare le combinazioni con 
Oppure prima prova solo quelle con le lettere e poi passa a quelle con i simboli?

 quelle con i simboli?
 
la seconda che hai detto. Prima prova tutte le parole comuni 
"password", "password1", ecc. prese da una lista, poi quelle corte solo 
di lettere, e così via.
 
Un tempo avevo usato un programmino di pubblico dominio che serviva 
allo scopo, si chiama JohnTheRipper ed è ancora facilmente accessibile.
 
http://www.openwall.com/john/
 



chiaro, grazie, so come sono memorizzati i file degli account, è che proprio non riuscivo a seguire il ragionamento
comunque l'articolo è scritto in modo fuorviante perchè lascia intendere che se hai una pwd semplice sarai più facilmente craccato con ochi tentativi
in realtà il vero problema è che i server sono a loro volta molto vulnerabili e da questi gli hacker tirano fuori le informazioni che gli servono
così come non capisco cosa ci faccia con una scheda grafica

 Che c'entra?
 
perché i processori delle schede grafiche ai nostri giorni sono più 
potenti del processore principale del computer, quindi i software più 
gravosi dal punto di vista della potenza di calcolo vengono fatti 
girare lì.
 
Si fa così con simulatori, reti neurali, tool per la progettazione 
assistita...
 
Chiaramente intanto che il tuo programmino frulla non puoi giocare a 
FIFA17 :-)


 vivere hackerati in pratica.
 
Grazie, stavo perdendo le certezze della mia vita. ;)

 FIFA17 :-)
 
Ecco perché non ci avevo mai provato...

 di lettere, e così via.
 
Ok: un attacco a dizionario quindi.
In teoria, usare parole semplici in qualche lingua poco diffusa potrebbe aiutare a creare una password facile da memorizzare ma sufficientemente robusta?
Chessò: balabiòtt, ad esempio?

Stefano V. ha spiegato il 11.07.2017 :

non c'è dubbio. Già la presenza di una lettera accentata è qualcosa che 
allarga parecchio il campo delle possibili combinazioni rispetto 
all'alfabeto inglese o ai classici 127 caratteri ASCII di base.
 
Poi tutto dipende da chi ha compilato il dizionario...


 sicuro, tutto questo non serve a niente.
 
R!g0r3P3r!lM1l@n
 
saluti
Roberto
FV

 robusta?
 
Ci sono file dizionario in varie lingue.
 
Comunque sia, se è veramente ostinato o gli serve proprio la password di 
quell'account, può passare al cracking via brute force.
Semplicemente prova tutte le combinazioni possibili di caratteri.
 
In quel caso solo la lunghezza della pass (e la capacità di calcolo della 
CPU) determinano quanto tempo ci vorrà.
 
 
 

 gaelvis   AmoINecri
 
 
LOLLE

 Hai già beccato il 50% delle pass
 
devo cambiare la mia password...

 R!g0r3P3r!lM1l@n
 
lol, questa mi sa che tiene