Newsgroup: it.lavoro.professioni.webmaster
Titolo: salvare le password in chiaro

Conoscete qualche servizio che salva le password dei propri utenti in 
chiaro sui propri server?
Cosa pensate dei gestori dei siti che hanno impostato le cose in questo 
modo?

 modo?
 
e che vuoi pensare? da semplici cialtroncelli a criminali, a seconda
di quanto è rilevante la riservatezza dei dati in quel sito.
 

 modo?
 
tutto il male possibile.
 
che ci vuole ad usare una md5() o una sha1()?  ok, mo' pare siano
malsicure pure quelle, ma almeno facciamo finta di provarci.

l...@email.it
 ha scritto:

Come utente di uno dei più famosi siti di informazione informatica 
italiano (o forse il più famoso), mi sono fatto spedire il promemoria 
per password dimenticata, e mi è arrivata in chiaro. Sto metidando di 
cancellarmi come utente.

 cancellarmi come utente.
 
Capisco la sensazione e l'idea di cancellarti.
Pero' secondo me c'e' da valutare un aspetto, quali tuoi dati sono 
presenti in quel db? Se i dati non sono di vitale importanza e comunque 
il servizio a cui sei registrato ti interessa fosse per me controllerei 
solo di non usare una pass che uso da altre parti e continuerei a 
rimanere utente.
Certamente chiederei spiegazioni ai gestori del sito (una volta lo feci 
ricevendo risposte fumose, ma poche settimane dopo cambiarono la 
procedura di ricorda password, probabilmente simulando solo di non aver 
le pass in chiaro).
 
Ciao
-- 
MMM


In diverse situazioni è necessario, Ad esempio i meccanismi di 
autenticazione challenge/response prevedono di avere in locale la password 
in chiaro.
 
Inoltre, se viene bucato il web server è probabile che l'attacker abbia 
accesso anche ai dati inviati al server che comprendono la password in 
chiaro.
 
È paradossalmente più sicuro avere le password in chiaro su una seconda 
macchina che risponde via challenge/response.
 
Ciao,
 
-- 
  Daniele "Vihai" Orlandi
  Bieco Illuminista #184213

 macchina che risponde via challenge/response.
 
Aggiungo: tanto quando anche hanno bucato un servizio che se ne fanno della 
tua password che OVVIAMENTE è diversa da tutte le altre che usi su altri 
siti, VERO???


 cancellarmi come utente.
 
capisco.  mi raccomando comunque anche di usare pw robuste e diverse
dappertutto.

 presenti in quel db? Se i dati non sono di vitale importanza
 
Il tuo è un atteggiamento sbagliato: è sufficiente che qualcuno si
impadronisca dei miei dati di login per accere al forum e iniziare a
diffamare a destra e sinistra per farmi passare i guai.
 
Poi vai a dimostrare ad un giudice italiano che il sistema informatico
era mal progettato e che quindi i tuoi dati sono stati rubati con
facilità permettendo a terzi non autorizzati di impadronirsi della tua
identità per fare i peggio comodi loro...
 
Un incubo.
 
-- 
DeepVoid
www.deepvoid.it
 
 

 diffamare a destra e sinistra per farmi passare i guai.
 
Dipende come questo qualcuno si impadronisce dei tuoi dati, per esempio se avviene perche' hai un malware installato nel pc non puoi dare la colpa al sito, insomma la materia e' molto complessa ed articolata.
 
Per dire se mi inculano i dati per il login nella banca perche' li ho messi in un sito di phishing non e' colpa del sistema della banca.
 
 
Daltrocanto se bucano il server della banca possono anche esserci le password criptate che ti ciulano i soldi lo stesso.
 
Lo storing delle pwd criptate e "salate" serve solo perche' in caso di furto il ladro non possa usare lo stesso ash per accede pwd ad altri servizi, che forse e' il motivo della tua preoccupazione, bho mi sono un po' perso.
 
 
J.

 tua password
 
Usurpazione di identità, tanto per dirne una. E ti arano via il conto in
banca, tanto per dirne una. O ti sottraggono informazioni personali. O
si comprano 10.000 brani musicali addebitandoli sul tuo conto. Ecc. ecc.
 
Esistono sistemi challenge-response molto affidabili che non richiedono
alcuna password in chiaro sul database. Anzi, sul database la password
non dovrebbe *proprio* essere registrata, al limite un hash robusto, che
significa generato da un algoritmo ancora non forzato, e soprattutto
debitamente sottoposto a salting.
 
-- 
DeepVoid
www.deepvoid.it
 
 

 in chiaro.
 
questo può essere, ma se il sito ti chiede per l'autenticazione di
fornirgli le credenziali vuol dire che siamo di fronte ad un'altra
cosa.

 bho mi sono un po' perso
 
Sě :-)
 
-- 
DeepVoid
www.deepvoid.it
 
 

 Lo storing delle pwd criptate e "salate" serve solo perche' in caso di furto il ladro non possa usare lo stesso ash per accede pwd ad altri servizi, che forse e' il motivo della tua preoccupazione, bho mi sono un po' perso.
 
non direi proprio.
la password rappresenta la credenziale dell'utente, ovvero è ciò che
lo accredita sul sito. la prima preoccupazione, ovviamente, è il furto
di identità attraverso il quale si possono effettivamente subire dei
notevoli danni.

 identità per fare i peggio comodi loro...
 
Quanto ti ci va a dimostrarlo? Ci sono i log, e verosimilmente non sarai 
l'unico ad aver subito lo stesso torto.
Se poi invece la stessa password la utilizzi anche per un altro servizio 
diventa piu' difficile da dimostrare, ma per questo vale la regola non 
scritta (a dir la verita' scritta da tanti), ovvero di non utilizzare la 
stessa password per servizi diversi.
 
 
Quindi non facciamo confusione, uno che si impadronisce dei tuoi dati di 
login (bucando il db del servizio), potra' accedere solo a quel servizio 
a tuo "nome". Ma come dicevo ci vanno 5 minuti per dimostrare che non 
sei tu. Oltretutto se si parla di un forum o social network, 
difficilmente sara' credibile uno che scrive al tuo posto per diffamare. 
Se io sono abituato ad essere corretto ed educato e di punto in bianco 
comincio ad insultare a destra e sinistra, il sospetto agli altri utenti 
verra' immediatamente.
 
Ciao
-- 
MMM
 

 si comprano 10.000 brani musicali addebitandoli sul tuo conto. Ecc. ecc.
 
Ohibo' e tu tieni su un servizio che non ritieni sicuro gli stessi 
accessi di banca, paypal e servizi vari su cui sono storati i dati della 
tua carta di credito? E sull'usurpazione d'identita' ti ho risposto 
sopra, ti ci vanno 5 minuti a dimostrare che non sei stato tu.
Certo, uno sbattimento comunque, non lo metto in dubbio, ma problemi 
seri ne dubito...
 
Ciao
-- 
MMM

 Sì :-)
 
 
Immaginavo
 
J.

 notevoli danni.
 
E' quello che dicevo io, hash + salt della password per salvaguardare l'identita' su un sito terzo non sul sito che viene bucato
 
J.

 genere per diffamare una persona.
 
Be, insomma, un conto è scrivere migliaia di messaggi contanto non 
sull'anonimato ma sulla protezione della tua identità, un conto è 
scriverli pubblicamente col tuo nome.
Ma soprattutto ci sono i miei messaggi privati con altri utenti, dove si 
parla dei cose molto personali. Appena riesco li cancello tutti. E 
lancio un'idea: sostituire i messaggi privati nelle piattaforme di forum 
con semplici servizi di inoltro dei messaggi alle caselle di posta 
eletronica dei destinatari.
 
Inoltre, tanto per fare un'altra segnalazione, anche la mia compagnia di 
assicurazioni, una tra le più grandi in Italia, salva le password in chiaro.

 che mi sono perso?
 
che bucando il server di una banca si possono rubare dati, non soldi. se 
fra questi dati c'è la tua password dispositiva in chiaro allora può 
entrare a colpo sicuro nel tuo home banking e lì fotterti dei bei soldi, 
per esempio facendo un bel bonifico a tuo nome verso un conto straniero.
 

 solo nel terzo caso ho un incremento della sicurezza nella protezione della tua identita
 
Qualche giorno fa ho scritto un articolo sull'argomento:
 
http://www.deepvoid.it/apriti-sesamo/
 
 
Sto preparando la seconda parte, più tecnica e meno divulgativa, ma con 
questo caldo il neurone che uso per scrivere non ne vuole sapere di 
mettersi al lavoro...
 
-- 
DeepVoid
www.deepvoid.it
 
 

 non forzato, e soprattutto debitamente sottoposto a salting.
 
Poco utile quando chi ha bucato il servizio si copia le password dal 
contenuto del POST.
 
Ciao,


 del secret nel database non sia utile per replicare la response.
 
BTW, se mi citi SRP siamo d'accordo però ora pensa a quanti ne fanno uso :)


 
 
Molto interessante.
 
Per quanto riguarda la scelta della password (se non si utilizzano password manager) dove consigli una password non di dizionario (e qui siamo tutti daccordo), io penso sia piu' sicura una serie di parole che non una serie casuale di caratteri, intendo che un bruteforce non interessa la password, ad esempio "CavalloVerdeVolanteIppopotamo" e piu' sicura di "sRf4,Jy3" perche' e' anche piu' facile da ricordare e non dovremmo scriverla sul post-it attaccato al monitor o nel file password.txt nel desktop (giuro che lo ho visto usare!).
 
Inoltre in alcuni casi dimenticare la password potrebbe essere un grosso problema, penso a partizioni di HD criptate o cose del genere
 
 
J.


Chi ha accesso al server puo' decriptare/decodificare/ricomporre o fare quello che serve per verificare la password, o l'hash.
 
Non credo che si possa fare molto contro qualcuno che ha accesso al server, come non credo si possa fare molto per salvaguardare chi ha un bel malware sulla propria macchina.
 
Ma se ci sono possibili soluzioni mi interessa molto l'argomento.
Questo progetto a me sembra piuttosto interessante: 
http://openpgpjs.org/
 
 
J.

 per esempio facendo un bel bonifico a tuo nome verso un conto straniero.
 
Non so come vengano gestito il sistema informativo delle banche, ma se 
uno ha accesso ai server di una banca, cosa gli vieta di cambiare i 
numeri relativi ai soldi sul conto?
 
Ciao
-- 
MMM

 io penso sia piu' sicura una serie di parole che non una serie casuale di caratteri
 > "CavalloVerdeVolanteIppopotamo" e piu' sicura di "sRf4,Jy3"
 
hiihhiih il cavallo
http://xkcd.com/936/
 
:-)
 
comunque penso anche io sia più sicuro.
 
aggiungo anche una cosa:
ad esempio per la mail e altri servizi molto sensibili consiglio sempre 
password complesse (e magari da cambiare)
 
però alla fine, per l'uso "sporadico" si usa un po' sempre la stessa 
password (lo shop online dove compri due cose l'anno, ...)
per questo invece è comodo usare un sistema che leghi la password al 
sito, ad esempio inserendo la prima lettera del dominio, o le prime due 
e l'estensione, tipo
amazon.com
 : passwordamcom
negozio.it
: passwordneit

 continuerei a rimanere utente."
 
ovvio ognuno valuta in base al proprio, però è bene tener conto che
non si ha sempre una completa percezione di quanti e quali dati
"interessanti" possono essere raccolti, direttamente o indirettamente,
con una sostituzione di persona all'interno di un profilo. da notare
che, come l'ingegneria sociale insegna, per la raccolta di
informazioni interessanti su un profilo non necessariamente deve
essere violato *quel* profilo. insomma per dirla breve se uno si
accorge che un sito ha una gestione blanda della sicurezza è un buon
motivo per cancellare la registrazione.
 


beh anche ad intuito diverse cose lo impediscono.
ammesso e non concesso che violando un server su internet si possa
avere accesso ai dati in modo da cambiare i numeri (il che non è
vero), se modifichi il saldo senza il relativo movimento si genera una
squadratura ed è facile immaginare che una banca abbia dei controlli
di quadratura per cui il saldo ti verrebbe come minimo rettificato.

 Chi ha accesso al server puo' decriptare/decodificare/ricomporre o fare quello che serve per verificare la password, o l'hash.
 
ma anche no. ovvero, se la password è correttamente cifrata e
sufficientemente complessa (abbastanza lunga e non appartenente ad un
dizionario) "quello che serve" per decriptarla è un attacco di forza
bruta il quale richiede abbastanza tempo da consentire di prendere
tutte le dovute contromisure e con tutta la dovuta calma.

 
 
Grande l'hai trovata!
 
La ho cercata prima di postare ma non la ho ritrovata, quindi ho scritto :)



Ho scritto per "verificare" indedo che se ho accesso al server e' facile per me guadagnare accesso al servizio simulando di essere te senza dover craccare password o hash o cose del genere
 
J

 Ho scritto per "verificare" indedo che se ho accesso al server e' facile per me guadagnare accesso al servizio simulando di essere te senza dover craccare password o hash o cose del genere
 
no, non solo non è facile ma non è nemmeno possibile. semplicemente
perché la fase di che attribuisce l'identità richiede la password e
non la sua hash, e se vuoi guadagnare accesso simulando la mia
identità non puoi (ovviamente) prescindere da questa fase.
capisci che se fosse come dici te vorrebbe dire che ci siamo
raccontati una quarantina di anni di frottole.
 
 


Se io ho accesso al server:
caso 1) Vedo dai log che il per 
mioservizio.it/login/
 la richiesta e' user=Jeff77&pwd=CavalloBiancoDiNapoleone, a me non me ne frega proprio nulla di come la pwd e' salvata nel db, faccio la stessa richiesta ed ecco che entro
 
caso 2) Vedo nel codice che cacchio succede quando viene invocato /login/
 
caso 3) Ho accesso al server cambio direttamente la pwd nel db e quindi tu no hai piu' accesso ed io si
 
case 4) Sbianco tutte le pwd nel db e provo ad entrare senza inserire la pwd
 
caso 5) scrivo nell'url 
servizio.it/db.ini
 e vedo le conf del database (giuro che ho visto pure questo)
 
Tutti casi che sono capitati
 
Cioe' non c'e' santo che tenga, se il server e' compromesso (o la macchina locale, perche' te la succhio (la password) col keylogger o con uno sniffer) gli algoritmi di hash o protezione diventano inutili.
 
Quello che voglio dire e' che tutto l'ambiente deve essere sicuro e affidabile
 
J.
 
Ps: google groups non fa vedere l'albero dei post quindi non sto capendo a chi sto rispondendo, dho!

 di quadratura per cui il saldo ti verrebbe come minimo rettificato.
 
Si certo, ma se metto -100 a te e +100 a me...
 
Poi ovviamente stiamo parlando di aria fritta, non sappiamo come vengono 
gestite le cose :)
 
Ciao
-- 
MMM

 Cioe' non c'e' santo che tenga, se il server e' compromesso (o la macchina locale, perche' te la succhio (la password) col keylogger o con uno sniffer) gli algoritmi di hash o protezione diventano inutili.
 
e ciò del tutto falso. esistono regole di sicurezza, alcune
elementari, tali per cui il fatto che server esposto su internet
(quindi per sua natura a rischio) sia compromesso non comporti che lo
sia l'intero sistema. i 5 esempi che hai fatto faccio fatica anche a
classificarli perché, francamente, sono tutti casi che non possono
accadere in un posto dove il qi degli admin è appena superiore a
quello di un criceto. nell'ordine:
 
1) la login risponde in post e non in get, quindi i parametri non sono
nella query string e non vengono (ovviamente) loggati nella request
2) quello che succede nella /login non è un segreto, quando l'hai
visto sei punto e accapo
3) se non conosci il salt generi degli hash che non sono validi
4) lol, lasciamo perdere...

 Si certo, ma se metto -100 a te e +100 a me...
 
è uguale. basta vedere l'estratto conto scalare, hai un saldo iniziale
e uno finale nel mezzo tutti i movimenti, se aggiungi o togli 100 ad
un saldo ottieni una squadratura fra il saldo e la somma algebrica dei
movimenti. squadratura che emerge al primo check.
 

o hash o cose del genere
 
No.
 
Quello che PUOI fare e' aspettare che l'utente effettui il login, e con una
challenge che TU avrai generato chiedergli, "Dammi la password e vediamo se
e' buona... si' si', e' buona, grazie"
 
Leonardo
 
-- 
What would'st thou do, my squire so gay, that rides beside my reine
Were ye Glenallan's Earl this tide, and I were Roland Cheyne?
To turn the rein were sin and shame, to fight were wondrous peril:
What would ye do now, Roland Cheyne, were ye Glenallan's Earl?

 movimenti. squadratura che emerge al primo check.
 
Appunto per quello ti dico che fai un movimento di -100 a te e +100 a me 
e non hai nessuna squadratura... Non dico di toglierlo al totale, ma se 
"simulo" un pagamento la quadratura rimane tale...
 
Ciao
-- 
MMM

 e non hai nessuna squadratura...
 
no, la squadratura c'è perché manca chiaramente il movimento
(bonifico, giroconto, addebito, accredito, etc...) che lo giustifica.
scusa ma se nell'estratto conto tu trovassi un ammanco di 1000 euro
rispetto alla somma algebrica dei movimenti dare/avere non lo
troveresti una squadratura?
 

 troveresti una squadratura?
 
Evidentemente non mi riesco a spiegare :P
 
Se nel tuo conto indico un movimento (che ne so, commissioni o altro) la 
somma algebrica sara' giusta. Idem nel mio, se metto un movimento (dal 
tuo conto) in ingresso, anche in quel caso la somma algebrica sarebbe 
corretta.
 
Ti ho fatto un esempio in cui palesemente si troverebbe la falla (e' 
chiaro che se vedo un bonifico nel mio conto di 100 euro verso uno che 
non conosco reclamo). Ma se facessi un giochetto su 10k conti, in cui ad 
ognuno metto una spesa nel conto come commissione di 1 euro, e nel mio 
conto da ognuno di questi metto un trasferimento di 1 euro, dove si 
creerebbe la squadratura?
 
Ciao
-- 
MMM

 conto da ognuno di questi metto un trasferimento di 1 euro, 
 
Avresti un "utile" di 10k euro.... una truffa troppo poco interessante. 
Facciamo 1M di c/c cui sottrarre 10 euro... e poi via verso le Cayman! :-)
 
 
ciao
Filippo B.
-- 
http://www.danzainsieme.it
 
http://www.boschetti.info
 

 3) se non conosci il salt generi degli hash che non sono validi
 
se ho accesso al server e' molto probabile che conosca il salt o che capisca come viene generato, tutto dipende dal grado di accesso.
 
J.
 

 modo?
 
Anche Yahoo s'è fatta beccare dai cracker con le password in chiaro?
 
http://www.businessinsider.com/yahoo-voices-hack-400000-passwords-2012-7