Newsgroup: it.hobby.cucina
Titolo: [OT] Sono stato pwned.

Salve a tutti belli e brutti.
so che è un tema già trattato e ritrattato ed io sono sempre stato (come 
su tutte le cose tecnologiche) piuttosto pigro nell'adoperarmi per 
essere VIRTUOSO.
Banalmente mi iscrissi al sito "haveibeenpwned" che ti mostra se e su 
quanti ed eventualmente quali siti il tuo USER/PASS possono essere stati 
parte di un leak quindi i tui dati potenzialmente sono in mano ad HACKER 
più o meno competenti.
al netto di questo sito chiaramente è argomento di ogni giorno la 
sicurezza dei dati sensibili che utilizziamo tutti i giorni dal sito più 
banale a la reddit al più importante home banking.
chiaramente molti servizi oggi utilizzano autenticazioni a 2 fattori e 
rendono il tutto più sicuro ma arrivo alla conclusione di questa 
premessa interrogandovi su quale sia il modo migliore per mettersi "al 
sicuro".
Il mio utilizzo come credo quello di tutti o molti di voi è il seguente:
- pc ufficio
- pc casa e/o laptop e/o tablet
- smartphone (sottoscritto iOS)
il tutto quanto sopra con diversi browser, per esempio su smartphone 
utilizzo safari mentre su pc utilizzo chrome (o edge).
Chiaramente quando ti registri ad un nuovo sito il browser che utilizzi 
ti suggerisce una password sicura (che a volte manco va bene) per poi 
memorizzarla per gli utilizzi sucessivi. A volte scelgo questa opzione 
nonstante non sia comoda perchè utilizzando diversi browser poi devi 
andare al sucessivo login a RICORDARTI quale fosse il browser utilizzato 
al tempo del register piuttosto che andare a fare la PESCA sui vari memo 
password dei vari browser.
Ecco questo è il mio utilizzo attuale, vi volevo chiedere a voi che 
sicuramente siete più tecnologici del sottoscritto quale è secondo voi 
l'utilizzo più VIRTUOSO possibile della propria sicurezza digitale senza 
compromettere la "comodità".
Ci sono software che utilizzate o metodi?
insomma la vostra.
 
p.s. consapevole che "cambiare" tutte le password per passare a nuovo 
metodo sia e sarà una rottura di coglioni pesante.... però ecco vorrei 
farlo.

 più o meno competenti.
 
per fare cio', immagino tu abbia dovuto consegnare al sito le tue 
credenziali, altrimenti su che base (informazioni) potrebbe mai darti 
quel report?
 

 quel report?
 
 
semplicemente con la email.
non conosco l'affidabilità di quel portale ma il mio discorso andava oltre.
 
che ci abbia preso o meno io so che non sono VIRTUOSO nella gestione di 
USER/PASS e vorrei migliorarmi!
 

 Ci sono software che utilizzate o metodi?
 
  Intanto dividere gli account in due gruppi
-Quelli seri dove la sicurezza è fondamentale (home banking, posta 
elettronica etc.)
-Quelli meno seri dove basta poter recuperare con cellulare o mail tanto 
i soldi non te li prendono (facebook etc.)
 
Nei primi tendo a mettere psw più complesse anche se è più difficile 
ricordarsele (ultimamente con il MFA è un po' diminuta questa esigenza), 
nei secondi ho un mio algoritmo di generazione che posso facilmente 
ricordare e sono mediamente più semplici (se pur non banali ...hanno 
numeri, lettere, maiuscole, simboli e non sono significative a terzi 
...però sono simili fra loro per una bella parte).
 
Il tutto ovviamente salvato su un file criptato di keypass backuppato 
per ogni evenienza (anche se oggi consiglierei Bitwarden ...anche se mi 
fa fatica fare la migrazione).
 
Di fatto quello che uso abbastanza spesso lo ricordo, quando serve 
guardo il file. Non salvo le psw sui dispositivi se non qualche sito 
della seconda categoria.

 più o meno competenti.
 
Intanto se sei stato "pwned" niente panico, quel sito mostra i 
databreach che ci sono stati su alcuni noti siti che richiedono login 
per registrarsi, la cosa più probabile è che la tua mail sia finita in 
mano a degli spammer, per sicurezza cmq se è qualcosa di importante la 
pwd conviene sempre cambiarla.
 
Detto ciò, il modo migliore per stare al sicuro è...usare la testa! Es. 
non aprire MAI link sospetti o che rimandano a siti diversi da quello 
che viene mostrato nel link, cautela durante la navigazione, scegliere 
pass complesse, ma soprattutto non scegliere la stessa password per 
tutto! Capisco che è più comodo ma è anche l'alternativa meno sicura in 
assoluto.
Poi ci sono dei gestori delle password come sw esterni ma anche 
lì...boh... io non ne ho mai usati quindi non ti saprei dire.
Infine ti consiglio, per tutte quelle cose di poco conto come 
registrazioni a forum e simili, di usare una mail di "servizio" di cui 
non t'importa o magari quando possibile le email temporanee, e di dare 
in giro il meno possibile gli indirizzi email che ti servono per cose 
più serie.

 compromettere la "comodità".
 
Un pò di scomodità ci deve essere...
Io comunque suggerirei:
MAI far salvare le password al browser.
Usare sempre browser e sistema operativo aggiornati.
Usare un gestore di password come Keypass, che
ti permette di usare password complicate senza
bisogno di memoria.
Nel tuo caso la palla potrebbe essere che
dovresti tenere sincronizzato sui diversi
dispositivi il database di Keypass o di un
altro password manager.
Usando un password manager la sicurezza delle
tue password aumenta in maniera esponenziale.
Ultima cosa, cambiare comunque spesso le password,
ogni 3 o 6 mesi.
 
Non mi preoccuperei però più di tanto delle info
su haveibeenpwned a meno che non siano molto recenti,
concordo con Jaime su questo punto.
Probabilmente chiunque usa Internet da un pò è
su haveibeenpwned o simili.
Se poi sei stato in un ospedale di Modena
negli ultimi anni, ora i tuoi dati sono pure nel Dark Web:-)
 
bye
 
 
-- 
Non fidarsi dei pensieri che non sono nati all'aria aperta o in movimento.
F. Nietzsche

 fa fatica fare la migrazione).
 
vedo che keypass lo consiglia sotto anche freefred.
dalla via che devo iniziare da ZERO oggi, tu consigli bitwarden al posto 
di keypass che citate in due?
 
 

 assoluto.
 
ah quello sarebbe da fare ma diventa davvero un dramma
 

 
non solo.  io, ove disponibile, utilizzo l'autenticazione a impronta digitale.
 
   si, lo so che non è poi così infallibile, ma ha sicuramente il pregio di 
evitare lo sbatti "cambia pwd ogni 90/120 gg." come ti fanno fare i siti 
seri, che essendo seri poi non accettano pwd senza una maiuscola/carattere 
speciale/pelodelnaso/sequenza del tuo DNA
 
Ecco che in questo caso l'impronta digitale mi piace tanto
 
per la domanda iniziale:  ogni tanto ri-lanciano questi siti di verifica 
delle password bucate (succede quando lo stagista malpagato ricopia 
l'archivio del Daily Mail da cui prendono il 99% di queste storie).
   I miei compari del settore (bruttissime persone) mi hanno sconsigliato da 
subito:  e diamine, per verificare le tue password devono avere le tue 
password, aspettati brutte sorprese se aderisci!
 
  Paolo
 

 avanti coi tempi è, ovviamente, sempre più debole
 
Un altro consiglio un pò estremo è quello di usare sì password
cosiddette forti, senza però usare caratteri troppo strani o bizzarri,
che in caso di emergenza su un'altra tastiera (tipo all'estero) non si è 
poi in grado di riprodurre.


 delle password bucate
 
in realtà quel sito chiede solo la mail

 
 
ricordatevi comunque che utilizzando un gestore di pwd state comunque 
facendo un atto di fede, e mettendo TUTTE le vostre pwd in mano a 
qualcun altro....
io non lo farei.

 bisogno di memoria.
 
ne parlavo poc anzi di keypass mo ci guardo.
 
 

 io non lo farei.
 
 
ah in effetti se bucano poi il sito/software che ha i tuoi dati poi han 
tutto..... LOOOL.
vabbè li scrivo su un taccuino ho capito

 competenti.
 
Anche io, ieri sera per una mia gmail.
Ho resettato ieri sera tutte le pwd legate a quella mail.
Un attimo fa mi scrive google per mandarmi un codice di reset pwd 
perchè pare sia appena arrivata una richiesta (non da me sicuramente).
 
Un caso?
boh

 
 
 
fuck... siamo fottuti
 


io ho controllato ieri 3 delle mie mail e non è accaduto nulla del genere

 farlo.
 
Ti posso dire un "trucchetto" che uso io per avere password robuste e 
nello stesso tempo facili da ricordare! Io ho una password così composta 
praticamente per tutto:
 
Lllll_NOMESERVIZIO_NNNNNN!
 
Dove:
L = carattere maiuscolo
l = carattere minuscolo
(ovviamente possono essere un numero di lettere diverso da 5, 
l'importante è che sia una stringa che ricordi facilmente)
_ = _
NOMESERVIZIO = nome del servizio che stai utilizzando in lettere 
maiuscole (es. FACEBOOK, INSTAGRAM, LIBERO, BANCA (in realtà per l'home 
banking ho un'altra password ad essere sincero), AMAZON, TEMU, PAYPAL, 
YOUPORN, ARUBA, NEXI, POSTEPAY, ecc. ecc.)
N = cifre di un numero che ricordi facilmente
! = !

 io non lo farei.
 
No puoi tranquillamente utilizzare un db criptato in locale.
Se hai più dispositivi lo aggiornerai tu a mano.


 YOUPORN, 
 
BECCATO!

On 18/01/2024 12:26, Massy 🎸 wrote:

Ma lo sapete vero che questi post sono il sogno di ogni hacker?

 No puoi tranquillamente utilizzare un db criptato in locale.
 
non parlavo solo del fatto che i dati sono in rete, ma anche del fatto 
che quando installi un software quello che fa davvero quel software (e i 
dati che trasmette) lo sa solo chi ha scritto quel software...


XD

 praticamente per tutto:
 
 
ecco io un algoritmo personale lo avevo fatto ma poi negli anni risulta 
attaccabile secondo me.
cmq grazie è un bel consiglio

 Ma lo sapete vero che questi post sono il sogno di ogni hacker?
 
 
c'è talmente poca gente e poco interesse su usenet che ci scriverei le 
mie 24 parole segrete dei bitcoin


è vero, però i contenuti delle discussioni sono "indicizzati" da google 
e possono comparire fra i risultati del motore di ricerca, ergo non è 
una cosa così "isolata" come si potrebbe credere

 così "isolata" come si potrebbe credere
 
 
Un modo pratico per generare e richiamare le password codificate può essere 
quello di usare la serie di Fibonacci.
   La sua architettura a piramide, che posso intervallare con coppie di 
lettere, o così via, permette di avere stringhe di numeri e password non 
replicabili se non con bruteforce.
 
Paolo

 io non lo farei.
 
E' sempre un compromesso :-D  Dipende quanto è affidabile l'altro.
 
Da un certo punto di vista meglio il file locale criptato di keepass, ma 
da un'altro averlo in cloud automaticamente sincrono tra i dispositivi 
in emergenza potrebbe farti differenza.

 dati che trasmette) lo sa solo chi ha scritto quel software...
 
 
Puoi sempre fare un attenta analisi con Wireshark  :-D :-D

 di keypass che citate in due?
 
Hai il vantaggio di avere la lista aggiornata tra dispositivi diversi, 
può essere in certi casi più comodo. Ovviamente se c'è una qualche 
backdoor o falla potrebbe essere meno sicuro di un file criptato in 
locale (magari backuppato su chiavina). Ma è comunque un prodotto molto 
quotato si spera non abbia grosse pecche. :-D

 devono avere le tue password, aspettati brutte sorprese se aderisci!
 
Di solito non testano le password, ma se la mail/user è in qualche nota 
lista di dati rubati.

 Ma lo sapete vero che questi post sono il sogno di ogni hacker?
 
Hacker senza troppa fantasia direi.  :-D :-D :-D

 quotato si spera non abbia grosse pecche. :-D
 
 
ci sta.
questo dici bitwarden?

 dati che trasmette) lo sa solo chi ha scritto quel software...
 
Beh ma se non ti fidi di un software open source che esiste
da decenni ed è usato da milioni di persone, dovresti usare
un computer fabbricato da te e di cui tu hai scritto il sistema
operativo.
Poi sì, la memoria è più sicura, ma io di password
me ne ricorderò 2 o 3...



e tu sei capace di farla?

Per caso sapete se con l'app poste id è possibile gestire due account?
 
Maledetta Italia e i suoi numerosissimi uffici complicazione cose semplici.

 e tu sei capace di farla?
 
In vita mia l'ho usato una volta sola per craccare la password a una 
webcam axis inserita in un dispositivo scientifico che andava sostituita 
perché difettosa (senza passare dal produttore che chiedeva una cifra 
improponibile) e che doveva comunicare con un PC :-D :-D
Comunque se sai cosa vuoi cercare non è così complesso concentrarsi su 
quell' IP e porta.

 questo dici bitwarden?
 
si, poi sicuramente esiste pure altro.

 Maledetta Italia e i suoi numerosissimi uffici complicazione cose semplici.
 
qui dice questo
https://www.ilsoftware.it/focus/spid-piu-utenti-e-identita-digitali-sullo-stesso-smartphone_24759/
 
ma mi lascia perplesso
 
il numero da chiamare sarebbe lo 0697797777